Det meste som har blitt skrevet om FREAK (Factoring RSA-Export Keys), en type dataangrep som kan brukes til å avlytte krypterte nettverksforbindelser, har dreid seg om forbindelser mellom webservere og nettlesere. Men de samme krypteringsteknologiene benyttes også av andre typer systemer, blant annet mange e-postservere.
25 000 apper testet
Denne uken publiserte IT-sikkerhetsselskapet FireEye en rapport om hvorvidt mobilapper kan være berørt. Selskapet har undersøkt omtrent 11 000 av de mest populære Android-appene i Google Play og 14 000 av de mest populære iOS-appene i App Store, for se om appene kommuniserer med servere via forbindelser som er sårbare for FREAK-angrep. Dette forutsetter at både server og klient har sårbarheter eller er satt opp slik at FREAK-angrep, som tvinger nett sikkerhetsnivået til forbindelsen, kan utføres.
Mer om FREAK: Enklere enn ventet å utnytte FREAK
771 av iOS-appene benytter slike forbindelser. De aller fleste benytter et kryptobibliotek som er inkludert i iOS, og dette ble oppdatert med iOS 8.2. Dermed der disse appene bare sårbare i eldre utgaver av iOS. De resterende sju appene er utstyrt med en egen utgave av OpenSSL-biblioteket, og utgaven disse benytter er sårbar.
Gammel OpenSSL
Drøyt halvparten av de 1228 sårbare Android-appene er sårbare fordi de benytter OpenSSL-biblioteket som leveres med Android. Fordi de færreste leverandører av Android-enheter tilbyr jevnlige oppdateringer av operativsystemet, er det lite håp om at dette biblioteket vil bli erstattet med det første, i alle fall på eldre enheter. Men gjennom Google Play Service tilbyr oppdateringer som skal kunne beskytte mot angrep som utnytter sårbarheter i OpenSSL. Om FREAK er eller kommer til å bli blant disse, er uklart.
De resterende, sårbare Android-appene inkluderer en egen, sårbar versjon av OpenSSL. I disse tilfellene kan app-leverandørene løse problemet ved å oppdatere appene med en oppdatert OpenSSL-versjon.
Serverne må fikses
Men som nevnt avhenger angrepene av at både klient og server er sårbare. Dersom app-leverandørene får orden på serverne sine, vil det også være til hjelp. I alle fall så lenge app-brukerne bare bruker internett-tilkoblinger de kan stole på.
Ifølge FireEye er det FREAK-sårbare multimedie- og kommunikasjonsapper som berører flest brukere. Selskapet presenterer også et diagram over hvor mange av de opprinnelig berørte appene som har blitt fikset mellom den 5. og den 10. mars. Det er langt under halvparten, men mange kan ha blitt fikset i den drøye uken som har gått siden da.
