Bildiğiniz üzere Android, açık kaynak kodlu bir işletim sistemi ve bu yüzden iOS’ta var olan kısıtlamalar Android işletim sistemlerinde yok. Bu noktada pek çok kullanıcı, Android’i tercih etmesindeki sebebin özelleştirilebilir ve özgür bir işletim sistemi olmasından kaynaklandığını söylüyor. Ancak Google’ın geçtiğimiz aylarda yayınladığı bir güncelleme, NFC teknolojisiyle ilgili oldukça ciddi bir güvenlik açığını ortaya çıkardı.
Olayı daha iyi kavramak için kısaca özetlemek gerekirse NFC, Android Beam olarak bilinen dahili bir Android OS servisi üzerinden çalışır. Bu hizmet, bir Android cihazının Wi-Fi veya Bluetooth'a alternatif olarak NFC radyo dalgalarını kullanarak yakındaki bir cihaza görüntüler, dosyalar, videolar ve hatta uygulamalar gibi verileri göndermesine olanak tanır.
NFC üzerinden gönderilen uygulamalar (APK dosyaları) genellikle diskte depolanır ve ekranda bir bildirim gösterilir. Ekranda çıkan bu bildirim, cihaz sahibine NFC servisinin bilinmeyen bir kaynaktan uygulama yüklemesine izin vermek isteyip istemediğini sorar.
Bildirime dokunmak kötü amaçlı yazılımı cihaza kuruyor:
Y. Shafranovich adlı bir güvenlik araştırmacısı, Android 8 (Oreo) veya sonraki sürümlerde NFC ile gönderilen uygulamaların bu bildirimi göstermediğini keşfetti. Shafranocivh’e göre güvenlik açığına neden olan bu bildirim, kullanıcıya herhangi bir güvenlik uyarısında bulunmadan tek bir dokunuşla uygulamayı yüklemeye olanak sağlıyor.
Bu noktada herhangi bir bildirimin olmayışı önemsiz görünse de bu, Android'in güvenlik modelinde oldukça önem teşkil ediyor. Google, Android işletim sistemi kullanan cihazların uygulamaları 'bilinmeyen kaynaklardan' yüklemelerine izin vermiyor ve resmi Google Play Store dışından kurulan herhangi bir aplikasyonu güvenilmez ve doğrulanmamış olarak kabul ediyor.
Milyonlarca kullanıcıyı risk altında bırakan bu açık, eğer kullanıcıların NFC ve Android Beam servisi etkinse, yakındaki bir saldırgan tarafından telefonlarına kötü amaçlı yazılım yerleştirilmesine olanak sağlıyor. Birçok kullanıcının, telefonlarına gelen bildirimin Google Play Store'dan gelmiş olabileceğini veya bir güncelleme olduğunu düşünerek uygulamayı kurma tehlikesi bulunuyor. Bilinmeyen bir kaynaktan yükleme bildirimi gelmediği için de bildirime dokunmak, kötü amaçlı uygulamanın kurulumunu başlatıyor.
Kendinizi nasıl korumalısınız?
Ülkemizde yaygın olarak kullanılmayan NFC özelliği, çoğunlukla yeni satılan tüm cihazlarda varsayılan olarak etkin bir şekilde geliyor. İşin kötü yanıysa pek çok Android kullanıcısının, bu özelliğin cihazlarında aktif olduğunu bilmemesi.
İyi haber şu ki; NFC teknolojisi ancak iki cihaz birbirine 4 cm veya daha yakın bir mesafede konumlanırsa aktif hale geliyor. Bu, bir saldırganın bir şekilde telefonunu mağdurun oldukça yakınına götürmesi gerektiği anlamına geliyor ki bu her zaman mümkün olabilecek bir şey değil.
Güvende kalmak ve riske girmemek içinse hem NFC özelliğini hem de Android Beam servisini devre dışı bırakmanızı tavsiye ederiz. Ayrıca eğer NFC’yi bir ödeme yöntemi olarak kullanıyorsanız, bu durumda NFC'yi etkin fakat Android Beam hizmetini devre dışı bırakabilirsiniz. Bu şekilde NFC dosya transferini engellerken diğer NFC işlemlerine izin verebilirsiniz.
