Hoci bola medzičasom chyba opravená, nebezpečenstvo predstavujú všetky screenshoty uložené v minulosti.
- Smartfóny Google Pixel mali vážnu zraniteľnosť.
- Citlivé údaje zostali v screenshotoch aj v prípade, že ich používateľ orezal či premaľoval.
- Firma už chybu opravila, pre staré snímky obrazovky sa však problém vyriešiť nedá.
- Vždy treba dôkladne zvážiť, čo sa rozhodnete zvečniť na fotografii alebo snímke obrazovky.
Dvojica bezpečnostných výskumníkov odhalila vážnu zraniteľnosť týkajúcu sa smartfónov značky Pixel od Googlu. Pri použití vstavaného nástroja na úpravu snímok obrazoviek (screenshotov) sa aj po uložení orezaného alebo premaľovaného obrázka dá naďalej odhaliť jeho pôvodná podoba. Téme sa venoval web XDA Developers.
Chyba objavená Simonom Aaronsom a Davidom Buchananom dostala pomenovanie "acropalypse" a sledovaná je pod kódom CVE-2023-21036. Predstavuje veľké bezpečnostné riziko pre používateľov, ktorí pomocou snímok obrazovky v minulosti zachytili nejaké svoje citlivé údaje.
Mohlo ísť napríklad o poštovú adresu, rodné číslo, číslo dokladov alebo údaje platobnej karty. Aj keď používateľ po odfotení screenshotu tieto údaje z obrázka odrezal alebo ich premaľoval, dodnes sa dajú zo súboru obnoviť.
Len vstavaný nástroj Pixelov
Dôležité je dodať, že zraniteľnosť ohrozuje len používateľov, ktorí na úpravu snímky obrazovky využili vstavaný nástroj Markup v smartfónoch Google Pixel. Iných aplikácií na úpravu obrázkov sa tento problém netýka, ani iných značiek smartfónov.
Spoločnosť Google navyše chybu opravila spolu s marcovými bezpečnostnými záplatami systému Android. Pokiaľ teda máte softvér zariadenia aktualizovaný na najnovšiu dostupnú verziu, pri screenshotoch upravených po nainštalovaní marcového updatu sa už žiadneho úniku údajov obávať nemusíte.
Čo sa však týka snímok obrazoviek upravených v dávnejšej minulosti, ako sme spomenuli, z nich môžu kriminálnici naďalej "vydolovať" údaje, ktoré ste sa pokúsili ukryť. Obrázky uložené vo vašom smartfóne môžete odstrániť, no pokiaľ ste ich už niekomu odoslali, nemáte sa ako brániť.
V čom spočíva zraniteľnosť?
Chyba, ktorú dvojica výskumníkov odhalila, nastáva konkrétne pri ukladaní screenshotov upravených cez nástroj Markup v smartfónoch Pixel. Ako na svojom blogu podrobne vysvetlil David Buchanan, softvér prepíše upravenú časť obrázka, no pôvodné a už nepotrebné dáta nezahodí.
V praxi to vyzerá tak, že pri úprave snímky obrazovky softvér prepíše len toľko bajtov súboru, koľko je potrebných na uloženie nového obrázka. Keď teda dôjde k orezaniu screenshotu a zároveň výraznej redukcii jeho veľkosti, veľká časť súboru zostane nedotknutá. To sa navonok prejaví tiež tým, že hoci používateľ svoj obrázok orezal, veľkosť súboru sa kvôli zachovaným dátam nezmenila.
Odborníci navyše prišli na spôsob, ako sa na základe zachovaných údajov dajú spätne dorátať tie, ktoré boli pri úprave screenshotu prepísané. Umožnil im to fakt, že obrázky sú do súborov kódované takzvaným Huffmanovým kódovaním. Keď sa skombinujú bloky známych dát a známa štruktúru súboru, dajú sa odvodiť takisto stratené údaje.
Na demonštráciu svojho objavu pripravila dvojica aj samostatnú webovú stránku acropalypse.app. Stačí na nej vybrať model smartfónu, z ktorého screenshot pochádza, a nahrať upravenú alebo orezanú verziu obrázka. Stránka následne obnoví snímku obrazovky do pôvodnej podoby. K dispozícii je tiež zdrojový kód exploitu na GitHube.
Pozor na to, čo screenshotujete
Na záver dodajme, že vo všeobecnosti nie je dobrým nápadom zachytávať snímky citlivých údajov. Dokonca ani v prípade, ak sa chystáte snímku upraviť a údaje z nej odstrániť. Okrem zraniteľností ako je "acropalypse" predstavujú potenciálnu hrozbu tiež cloudové služby, ktoré zvyknú nové obrázky zálohovať okamžite po ich uložení.
Aj keď obrázok upravíte a do cloudu sa neskôr nahrá jeho novšia verzia, služby často zachovávajú kompletnú históriu súborov. Myšlienkou je zaistiť, aby ste si dôležité dokumenty či fotografie v prípade problémov vedeli obnoviť späť. V tomto prípade to však predstavuje problém, pretože kriminálnici by vďaka tomu po získaní prístupu do vášho cloudového účtu vedeli stiahnuť aj pôvodné, neupravené podoby screenshotov.