Stagefright 聽起來น่ากลัว เพราะมันจริงๆ น่ากลัว อาจเป็น Exploit ใหญ่ที่สุดที่พบใน Android ย้อนกลับไป Android 2.2 Froyo ส่งผลต่อ Android phones ประมาณ 900 ล้านเครื่อง ทำงานผ่าน MMS ผู้รับ ไม่ต้องทำอะไรเลย ถ้าใช้ Hangouts หรือ Messaging app เริ่มต้น แอปจะ Auto-download และ Process MMS เพื่อเล่น และนั่นคือทั้งหมดที่ Exploit ต้องการ
Stagefright เป็น Core library เล่น Multimedia เช่น MP4 วิดีโอ ทำให้ส่ง Malicious code ไป Android ง่ายมาก Code นั้นเป็นอะไรก็ได้ ตามที่แฮกเกอร์ต้องการ มีวิดีโอแสดงการทำงาน
ตรวจสอบ Vulnerability ของอุปกรณ์
Google แพทช์ Bug ใน Android ล่าสุด (Flagship Samsung/Moto ควรปลอดภัย) แต่ทุกคนไม่ได้ใช้ Android ล่าสุด ต้องรอ Manufacturer Push อัปเดต
บริษัทที่ كشف Bug คือ Zimperium ปล่อยแอป Stagefright Detector ทดสอบ Vulnerability โหลดแอป รัน Test ในไม่กี่วินาทีได้คำตอบ
ถ้า Vulnerable รออัปเดตล่าสุด และอัปเกรดทันที
ลองวิธีต่อไปนี้ด้วย
ป้องกันตัวเองจาก Stagefright
Stagefright 埋ลึกใน Android OS ไม่มี Tool ปิดฟีเจอร์ ต้องใช้ Workaround
รู้ว่า Exploit ทำงานตอน MMS Auto-download ปิดฟีเจอร์นี้
Hangouts: ใช้ Hangouts สำหรับ SMS แตะเมนู Hamburger > Settings > SMS ยกเลิกติ๊ก "Auto-retrieve MMS"
Messenger by Google: ใช้ Messenger ของ Google แตะเมนู 3 จุด > Settings > Advanced ปิด "Auto-retrieve"
Messaging: Android เก่า มักมี Messaging app ติดตั้ง แตะ Menu > Settings หา "Multimedia (MMS) messages" ยกเลิก "Auto-retrieve"
ไม่ว่าจะ SMS app ไหน ควรมีตัวเลือกนี้ใน Settings หาและปิด
ถ้า Paranoid มาก ปิดข้อความจาก Contact ไม่รู้จัก ถ้า SMS app รองรับ
ตอนนี้ App ไม่ Auto-download MMS แล้ว
ถ้าอยู่พื้นที่ MMS ยังแพร่หลาย อย่าเปิด MMS จากคนไม่รู้จัก
นี่คือการป้องกันที่ดีที่สุดตอนนี้ — จนกว่าจะได้อัปเดตที่แพทช์แล้ว อยากแก้เอง Root โทรศัพท์ ติด CyanogenMod (หรือ CM-based ROMs) เพื่อ Security update รวดเร็ว CM แก้ Bug ใน Nightly version แล้ว ควรออก Stable เร็วๆ นี้
Android Security Debate
Stagefright Bug ก่อให้เกิด Debate ความปลอดภัย Android ใหม่ คุณคิดว่า Android ไม่น่าเชื่อถือกว่า iOS? หรือเป็นราคาที่จ่ายสำหรับ Open-source core OS ที่รันบน >1 พันล้านอุปกรณ์? แชร์มุมมองในความคิดเห็น!
