![]() |
Пред. тема | След. тема | ||
Форум Разговоры, обсуждение новостей | |||
---|---|---|---|
Изначальное сообщение | [ Отслеживать ] |
"Атака Pixnapping, определяющая содержимое экрана для перехвата 2FA-кодов в Android" | +/– | ![]() |
Сообщение от opennews (??), 14-Окт-25, 11:15 | ||
Группа исследователей из четырёх американских университетов разработала технику атаки Pixnapping (CVE-2025-48561), позволяющую из непривилегированных Android-приложений, не запрашивающих дополнительных полномочий, определить содержимое, выводимое на экран другими приложениями. В качестве примера практического применения атаки продемонстрировано определение кодов двухфакторной аутентификации, показываемых приложением Google Authenticator. Так же показано как можно применить атаку для извлечения конфиденциальных данных, выводимых на экран при работе с Gmail, Signal, Venmo и Google Maps... | ||
Ответить | Правка | Cообщить модератору |
Оглавление |
Сообщения | [Сортировка по ответам | RSS] |
3. Сообщение от Аноним (-), 14-Окт-25, 11:22 | +4 +/– | ![]() |
Разве эта уязвимость не решается таким же образом, как и уязвимость TapTrap? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
4. Сообщение от Аноним (-), 14-Окт-25, 11:23 | +4 +/– | ![]() |
> Атака Pixnapping сводится к вызову целевого приложения, выводу поверх него своего окна | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
5. Сообщение от Аноним (5), 14-Окт-25, 11:24 | –3 +/– | ![]() |
Это потому что не вейланд? А вот не надо было пускать всякую шляпу в интернет. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #12, #97 |
6. Сообщение от Аноним (6), 14-Окт-25, 11:33 | –4 +/– | ![]() |
> требовало 30 минут на GPU AMD Ryzen 7 4800U и 215 минут на GPU Intel i7-8700 | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #13, #50, #118, #137, #140 |
9. Сообщение от anonymous (??), 14-Окт-25, 11:35 | +/– | ![]() |
А вот нефиг аутентификацию строить через картиночки | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #29 |
10. Сообщение от Аноним (-), 14-Окт-25, 11:36 | +/– | ![]() |
> На смартфоне Samsung Galaxy S25 исследователям не удалось уложиться в 30-секундный интервал из-за шума, вносимого работой других приложений | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #14, #101 |
12. Сообщение от Аноним (12), 14-Окт-25, 11:37 | +/– | ![]() |
Там и не иксы. И как ты по другому наложишь одно на другое и сообщишь что наложил? Рандомно задержка будешь добавлять или специально ждать чтобы всегда рисовалось за одинаковое время? Это преждевременная оптимизация. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #5 Ответы: #127 |
13. Сообщение от Имя (?), 14-Окт-25, 11:37 | +9 +/– | ![]() |
Прочитать полностью новость религия не позволяет? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #6 |
14. Сообщение от Аноним (12), 14-Окт-25, 11:39 | +/– | ![]() |
То что тебя проще ломануть через любое приложение чем через сабж тебя конечно же не смущает. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #10 Ответы: #49, #116 |
24. Сообщение от Сосиска (-), 14-Окт-25, 11:56 | +3 +/– | ![]() |
Насколько я помню, для орисовки приложений поверх других должны быть специальные разрешения. А кто их будет давать случайной апке? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #52, #122 |
29. Сообщение от а (?), 14-Окт-25, 12:03 | +3 +/– | ![]() |
эээ, дык любой логин/пароль/пин код на экране - это набор пикселей - то бишь картинка | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #9 Ответы: #31, #119, #132 |
30. Сообщение от Аноним (-), 14-Окт-25, 12:06 | +1 +/– | ![]() |
И это дополнительный аргумент в копилку того, что тайминг-атаки это не что-то специфичное для процессоров со спекулятивным выполнением, а фундаментальная угроза. Ещё тогда, когда тайминг-атаки на криптоалгоритмы начали демонстрировать, это было понятно всем, но не борцунам со спекулятивным выполнением. Я думаю, что и сейчас они не поймут, что бороться надо не со спекуляциями, а разрабатывать нечто фундаментальное, чтобы такие атаки делать невозможными. Любой shared ресурс, будь то процессор, оперативка, видеопамять, жёсткий диск, файловая система на нём, ядро ОС, шина d-bus, сетевая карта... всё это -потенциальные инструментальные цели для атак. И новый подход должен как-то всё это укладывать в одну теоретическую модель, иначе это не фундаментальный подход, а латание отдельных дыр. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #36, #44, #53, #95 |
31. Сообщение от Самый Лучший Гусь (?), 14-Окт-25, 12:12 | +3 +/– | ![]() |
Идея для стартапа: карманный матричный принтер для печати одноразовых кодов | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #29 Ответы: #33, #38, #41, #43, #99 |
33. Сообщение от Имя (?), 14-Окт-25, 12:35 | +3 +/– | ![]() |
Миленько. Но если только полюбоваться на себя, такого защищённого. А потом появится исследование, как по звуку распечатывания узнать, какие символы отображаются на бумаге. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #31 |
34. Сообщение от Аноним (34), 14-Окт-25, 12:40 | +/– | ![]() |
Cтрашная-престрашная уязвимость, которую можно закрыть просто рандомизировав цвета текста и фона. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #51, #61, #129 |
36. Сообщение от Аноним (36), 14-Окт-25, 12:48 | +3 +/– | ![]() |
Короче, надо с солонками вопрос решать радикально. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #30 |
38. Сообщение от хуняо (?), 14-Окт-25, 12:57 | +1 +/– | ![]() |
зачем матричный если есть термо, китайцы по 10 баксов делают уже | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #31 |
41. Сообщение от Sadok (ok), 14-Окт-25, 13:08 | +/– | ![]() |
фигня. иголки разные символы с разным звуком бьют например "." и "Щ". по звукам уже шпионили за пишмашинками в пошлом тысячелетии. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #31 Ответы: #55 |
43. Сообщение от Аноним (43), 14-Окт-25, 13:32 | +/– | ![]() |
карманный генератор кодов | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #31 |
44. Сообщение от ProfessorNavigator (ok), 14-Окт-25, 13:39 | –1 +/– | ![]() |
Метод такой есть)) Только он - не технический. Социально-экономический. Сделайте так, чтобы реализовать украденное было не возможно, и кражи моментально сойдут на нет. Как именно это можно сделать - задачка со звёздочкой. Подумайте на досуге - полезно будет)) | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #30 Ответы: #128 |
49. Сообщение от Аноним (49), 14-Окт-25, 13:51 | +/– | ![]() |
он покупает новый телефон самсунга, сравнивая количество блотвари, ну как мегапиксели считают :) "смотри, а у тебя нет этой программы". | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #14 Ответы: #54 |
50. Сообщение от Аноним (50), 14-Окт-25, 13:51 | +/– | ![]() |
ну на последнем amd epyc это было бы уже 2 минуты. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #6 Ответы: #98 |
51. Сообщение от Аноним (49), 14-Окт-25, 13:52 | +/– | ![]() |
а еще буквы переставить в тексте и будет идеально, прямо перестановочный шифр :) | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #34 |
52. Сообщение от Аноним (52), 14-Окт-25, 13:52 | +1 +/– | ![]() |
Кстати, да. В моем не самом свежем андроид го вообще не работает эта функция, хотя она как бы присутствует и разрешения давать можно. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #24 Ответы: #72 |
53. Сообщение от Аноним (49), 14-Окт-25, 13:54 | +/– | ![]() |
Любое кеширование это и есть тайминговая разница! Тут надо понимать где его надо использовать. А любые криптографические операции совершать на ЦПУ общего назначения - бред!!! | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #30 |
54. Сообщение от Аноним (54), 14-Окт-25, 13:54 | +/– | ![]() |
Их покупают за длительную поддержку. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #49 Ответы: #56 |
55. Сообщение от trolleybus (?), 14-Окт-25, 13:55 | +/– | ![]() |
> в пошлом тысячелетии. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #41 Ответы: #124 |
56. Сообщение от Аноним (49), 14-Окт-25, 14:19 | +1 +/– | ![]() |
> у Самсунга на некоторые модели до 8 лет. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #54 Ответы: #60, #65 |
60. Сообщение от Аноним (54), 14-Окт-25, 14:32 | –1 +/– | ![]() |
Нет. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #56 |
61. Сообщение от Ан339ним (?), 14-Окт-25, 14:36 | +1 +/– | ![]() |
Без разницы какая уязвимость. Цель всех подобных публикаций - чтобы ты побежал выкидывать свой смартфон в мусорку и бежал брать последний пиксель или самсунг, наяривал на обновления и даже не смел смотреть в сторону других брендов. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #34 Ответы: #120 |
64. Сообщение от Аноним (64), 14-Окт-25, 14:43 | +/– | ![]() |
12 лет кто-то с некто этим пользовался, а волноваться начали только сейчас. В чём тут безопасность не совсем тема раскрыта. Видимо,тем кто не получает свежий срез Андроида должно стать плохо. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #71 |
65. Сообщение от Аноним (65), 14-Окт-25, 14:45 | +1 +/– | ![]() |
А если апдейты прилетают, то забитые неудоляймой рекламными приложениями на уровне системы. Впрочем, это же Android. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #56 Ответы: #131 |
69. Сообщение от Аноним (69), 14-Окт-25, 15:05 | +/– | ![]() |
>из непривилегированных Android-приложений, не запрашивающих дополнительных полномочий | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #130 |
71. Сообщение от Ан339ним (?), 14-Окт-25, 15:09 | +/– | ![]() |
И ведь немало тех, кого запугали подобными новостями, и они исправно ставят обновления ради обновлений. Причём десктопов тоже касается. Даже на LTS нет спасения от извечных обновлений безопасности. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #64 |
72. Сообщение от Ан339ним (?), 14-Окт-25, 15:12 | +/– | ![]() |
Очень удобная функция, так то. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #52 |
73. Сообщение от Аноним (73), 14-Окт-25, 15:25 | +/– | ![]() |
Надо просто выводить любые важные данные в виде капчи. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
95. Сообщение от Аноним (95), 14-Окт-25, 17:01 | +/– | ![]() |
> разрабатывать нечто фундаментальное, чтобы такие атаки делать невозможными | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #30 |
97. Сообщение от Аноним (-), 14-Окт-25, 17:06 | +2 +/– | ![]() |
> Это потому что не вейланд? А вот не надо было пускать всякую шляпу в интернет. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #5 |
98. Сообщение от Аноним (-), 14-Окт-25, 17:10 | +/– | ![]() |
> ну на последнем amd epyc это было бы уже 2 минуты. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #50 |
99. Сообщение от Аноним (-), 14-Окт-25, 17:11 | +/– | ![]() |
> Идея для стартапа: карманный матричный принтер для печати одноразовых кодов | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #31 |
101. Сообщение от Аноним (-), 14-Окт-25, 17:12 | +/– | ![]() |
> А параноики еще гнали на то, что слишком много приложений по умолчанию | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #10 |
116.
Сообщение от Васян![]() | +/– | ![]() |
Ну он же не параноик, чего там.... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #14 |
117. Сообщение от Аноним (117), 14-Окт-25, 22:50 | +/– | ![]() |
я не понял, а зачем на телефоне с аутентификатором находятся какие-то другие приложения? что, так сложно найти на помойке отдельный киткат чисто для аутентификатора? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #121 |
118. Сообщение от Аноним (118), 14-Окт-25, 23:05 | +/– | ![]() |
Много ли андроидов на Core i7 | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #6 Ответы: #133 |
119. Сообщение от Аноним (118), 14-Окт-25, 23:06 | +1 +/– | ![]() |
Пароль обычно ******* такой | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #29 |
120. Сообщение от Аноним (118), 14-Окт-25, 23:09 | +/– | ![]() |
Я скорее YubiKey побегу покупать. Но только они чёто с ценами заигрались. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #61 |
121. Сообщение от Аноним (118), 14-Окт-25, 23:12 | +1 +/– | ![]() |
Один для маха, другой для банкинга, третий для мессенджеров, четвёртый для браузера, пятый дял аутентификатора, шестой для keepass, седьмой для биткоинов, восьмой чтоб звонить, девятый для фоток. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #117 Ответы: #141 |
122. Сообщение от Аноним (122), 14-Окт-25, 23:14 | +/– | ![]() |
Совсем в этом не разбираюсь и по ссылкам из новости не ходил, но написано: | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #24 |
124. Сообщение от Аноним (124), 15-Окт-25, 00:01 | +/– | ![]() |
И так сойдет, потому что что то что это - правда. Поколение то еще, "звенящая пошлость" © Барин | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #55 |
125. Сообщение от Аноним (125), 15-Окт-25, 00:15 | +/– | ![]() |
Интересно, а в браузере через айфреймы сработает? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
126. Сообщение от Аноним (126), 15-Окт-25, 00:23 | +/– | ![]() |
Аккурат после того как Гугл заявил что не будет делиться обновлениями безопасности тут ему объясняют что не он один такой умный. Хе-хе... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
127. Сообщение от Аноним (127), 15-Окт-25, 00:30 | +1 +/– | ![]() |
>И как ты по другому наложишь одно на другое и сообщишь что наложил? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #12 |
128. Сообщение от Аноним (127), 15-Окт-25, 00:39 | +1 +/– | ![]() |
>Сделайте так, чтобы реализовать украденное было не возможно | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #44 Ответы: #134, #138 |
129. Сообщение от Аноним (127), 15-Окт-25, 00:42 | +/– | ![]() |
>Cтрашная-престрашная уязвимость, которую можно закрыть просто рандомизировав цвета текста и фона. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #34 |
130. Сообщение от а (?), 15-Окт-25, 01:29 | +/– | ![]() |
там "поверх" - это типо спавн активити другого приложения из атакующего, видимо. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #69 |
131. Сообщение от самсунг с рекламой (?), 15-Окт-25, 02:14 | +/– | ![]() |
С этого момента хотелось бы поподробнее. А то я пользователь смартфонов самсунг с многолетним стажем и после вашего комментария мне стало казаться, что я что-то упускаю. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #65 Ответы: #136 |
132. Сообщение от anonymous (??), 15-Окт-25, 07:21 | +1 +/– | ![]() |
> эээ, дык любой логин/пароль/пин код на экране - это набор пикселей - то бишь картинка | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #29 Ответы: #135 |
133. Сообщение от Аноним9444935593 (?), 15-Окт-25, 07:33 | –1 +/– | ![]() |
Чукча писатель? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #118 |
134. Сообщение от ProfessorNavigator (ok), 15-Окт-25, 11:59 | +/– | ![]() |
> То есть запретить наличные и капитализм вообще | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #128 Ответы: #143 |
135. Сообщение от а (?), 15-Окт-25, 13:54 | –1 +/– | ![]() |
и как вы пришедший в смс код в виде звездочек будете вводить куда-то? | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #132 |
136. Сообщение от Аноним (49), 15-Окт-25, 14:15 | +/– | ![]() |
> С этого момента хотелось бы поподробнее. А то я пользователь смартфонов самсунг | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #131 |
137. Сообщение от Аноним (-), 15-Окт-25, 15:41 | +/– | ![]() |
> Разве это уязвимость? Ни один чел не будет ждать 30 мин., пока этот пикснаппинг | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #6 |
138. Сообщение от Аноним (-), 15-Окт-25, 15:43 | +/– | ![]() |
> То есть запретить наличные и капитализм вообще, поработить всех граждан | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #128 Ответы: #139 |
139. Сообщение от Аноним (127), 15-Окт-25, 15:47 | +/– | ![]() |
> Забыли придумать сущую мелочь - что делать с бартером... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #138 Ответы: #142 |
140. Сообщение от Аноним (140), 15-Окт-25, 17:25 | +/– | ![]() |
Отвечаю чукчам-читателям и им подобным. Вы сами внимательно почитайте до конца. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #6 |
141. Сообщение от Аноним (142), 15-Окт-25, 18:29 | +/– | ![]() |
первый, если использовать кипапс — тотп в нём уже есть. его же можно совместить со звонилкой (запись звонков) и койнами. макс и банкинг логично совмещаются на втором аппарате для госов. мессенджеры, фотки и браузеры — на третьем. при желании можно дополнить первый аппарат красноглазием. итого три аппарата без особого риска утечки. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #121 |
142. Сообщение от Аноним (142), 15-Окт-25, 18:35 | +/– | ![]() |
у любого человека от рождения всегда есть кое-что, что можно продать. чаще всего востребованы женские экземпляры, но бывают и исключения... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #139 |
143. Сообщение от Аноним (-), 15-Окт-25, 18:52 | +/– | ![]() |
> И запретами тут вообще ничего не достичь. Запреты не работают в принципе, и обычно приводят к ровно обратному эффекту. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #134 Ответы: #144 |
144. Сообщение от ProfessorNavigator (ok), 15-Окт-25, 19:32 | +/– | ![]() |
> Куча запретов вполне работают, что ПДД, что админ/уголовный кодекс. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #143 |
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
Закладки на сайте Проследить за страницей |
Created 1996-2025 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |