Onderzoekers presenteren methode om pixels van Android-telefoons uit te lezen

Beveiligingsonderzoekers hebben een proof of concept laten zien van een methode om pixels op diverse Android-telefoons uit te lezen, waardoor ze claimen gevoelige informatie te kunnen stelen. De aanval kent wel veel beperkingen.

De Amerikaanse onderzoekers van onder meer de University of California noemen de aanval 'Pixnapping', een samentrekking van pixels en kidnapping. In het rapport beschrijven zij de methode, die erop leunt de tijd te meten die het kost om een pixel te renderen op het scherm. Daaruit is af te leiden of de pixel een bepaalde kleur heeft.

De aanval bestaat uit enkele stappen. Eerst probeert de aanval met verborgen api's in Android te achterhalen welke interessante apps er op het systeem staan en die met intents informatie te laten weergeven.

De app zou die informatie normaal op de voorgrond weergeven, maar Pixnapping legt daar het eigen scherm overheen. Het is geen manier om het scherm helemaal in één keer uit te lezen. Om bijvoorbeeld een code voor tweetrapsauthenticatie binnen dertig seconden uit te lezen, pakt Pixnapping enkele pixels per getal om af te leiden welk getal het moet zijn. Het proces van de hele code stelen duurde daarbij vaak rond de 25 seconden, net snel genoeg om de code in te kunnen voeren.

Doordat het niet snel gaat, kent de aanval de nodige beperkingen. De belangrijkste is dat de gebruiker zelf de app om de aanval uit te voeren moet openen en open moet houden. Google bracht in september een patch uit tegen een deel van de aanval en belooft de aanval onmogelijk te maken in december.

Reacties (11)

[Joseph]

Dit illustreert waarom het zo'n vreemde beslissing van Google is om de sourcecode van de security patches van Android pas later te publiceren - en enkel de vendors onder embargo eerder toegang te geven (de binary patches mogen wel eerder worden verspreid).

Het is een utopie om te denken dat die patches niet in handen van, bijvoorbeeld, de NSO-group vallen. Gevolg: een grote groep Android telefoons is maandenlang niet beschermd, oftewel omdat de OEM niet snel is met het uitrollen van de updates, oftewel omdat iemand een alternatieve ROM draait en de makers daarvan simpelweg geen toegang hebben tot de sourcecode.

GrapheneOS heeft de patches nu al in hun security preview release zitten, waardoor mensen die GOS gebruiken nu in principe al beschermd zijn.

Google maakt de laatste tijd wel vaker keuzes waar ik mijn vraagtekens bij zet. Dat de sourcecode van Android 16 QPR1 nog steeds niet is vrijgegeven, zit me ook niet lekker. Waarom niet is speculeren, maar het is wel duidelijk wie er last van heeft. En dat zijn de mensen die er in de regel niet happig op zijn om data met Google te delen.

Ik hoop dat het niet al te lang meer duurt voordat er een fatsoenlijk alternatief voor Android en iOS komt, want dit duopolie zit wat mij betreft aan de maximale houdbaarheidsdatum.

[supersnathan94]

Ik hoop dat het niet al te lang meer duurt voordat er een fatsoenlijk alternatief voor Android en iOS komt, want dit duopolie zit wat mij betreft aan de maximale houdbaarheidsdatum.

Mja, en wat doe je daar zelf nu aan? Want met hopen gaat het niet opgelost worden.

Ik zit zelf ernstig te twijfelen aan een FP5 met Ubuntu touch. Puur om de volgende redenen.

• Stimuleren van Europese technologie-ontwikkeling
  Door Europese hardware (Fairphone) en een Europees open-source besturingssysteem (UBports community) te gebruiken, steun je de ontwikkeling van technologie binnen de EU.
• Stimuleren van Nederlandse technologie-ontwikkeling
  Fairphone is een Nederlands bedrijf dat inzet op ethische productie en repareerbaarheid — zeldzaam in de smartphone-industrie.
• Stimuleren van een 3e OS dat kans heeft om een grote speler te worden
  Ubuntu Touch heeft de potentie om een alternatief ecosysteem te worden naast Android en iOS, vooral in de open-source en enterprise-hoek.
• Afhankelijkheid van de VS beperken
  Door los te komen van Apple (VS) en Google (VS) verklein je geopolitieke afhankelijkheid van Amerikaanse big tech.
• Vergroten van digitale soevereiniteit
  Je behoudt controle over data, updates en apps zonder verplicht gebruik van gesloten ecosystemen of cloud-backends in het buitenland.
• Volledige transparantie in software
  Ubuntu Touch is volledig open-source, waardoor backdoors, tracking of telemetrie uitgesloten kunnen worden.
• Privacy by design
  Geen advertentietracking, geen data harvesting, geen verborgen dataverkeer naar derden.
• Steunen van ethische elektronica-productie
  Fairphone betaalt hogere lonen en werkt aan transparante supply chains in conflictvrije gebieden.
• Ontsnappen aan vendor lock-in
  Geen afhankelijkheid van Apple-ID, Google-account of een app-store die alles bepaalt.
• Meer experimenteervrijheid voor ontwikkelaars
  Je kunt rechtstreeks in de kernel, roottoegang houden, en zonder beperkingen apps of tools bouwen.
• Betere interoperabiliteit met Linux-omgevingen
  Voor wie op desktop al Linux gebruikt, sluit Ubuntu Touch perfect aan qua tools, SSH, package management, etc. Als DevOpser een mooie uitbreiding van de toolset.
• Kans om actief bij te dragen aan de community
  Door een toestel te gebruiken dat door vrijwilligers onderhouden wordt, kun je concreet bijdragen aan bugreports, feedback en testing.
• Symbolische daad richting duurzame technologiepolitiek
  Het laat aan anderen zien dat ethiek, duurzaamheid en autonomie ook in tech-keuzes mogelijk zijn.
• Geen kunstmatige beperkingen of ‘planned obsolescence’
  Updates worden niet stopgezet omdat een nieuw model uit is; jij bepaalt hoe lang je toestel meegaat.
• Europese datacompliance out-of-the-box
  Geen noodzaak om te vertrouwen op Amerikaanse clouddiensten, eenvoudiger voldoen aan AVG/DSGVO.

Wel zal ik daadwerkelijk mijn net nieuwe iPhone blijven gebruiken als daily driver. Ik vind bovenstaande punten we belangrijk, maar niet allemaal en lang niet dusdanig dat ik er ook echt principieel voor ga zijn.

Maar ik wil wél Nederland op de kaart behouden als technologische kern. Een Kennisland waar de EU wat van leren kan. Het kunnen maken van een electronisch apparaat in-house (dus het behoud van een ASML en Nexperia is daarvoor essentieel!) is een gigantisch belangrijk strategisch target voor de EU.

Ik vind de DMA een gedrocht van regelgeving die mij in mijn persoonlijk leven ontzettend dwars zit. Maar ik vind het dan ook hypocriet om er dan niet voor te zorgen dat die regelgeving overbodig gemaakt kan worden. Het groot krijgen van een 3e speler (Ubuntu touch heeft wat mij betreft echt potentie) is de enige manier om daar wat aan te doen.

Google is steeds verder bezig het open source android geslotenere te maken op allerlei fronten. We zijn volledig afhankelijk van Alphabet als het neerkomt op grote bugfixes en AOSP major fixes. Data is niet meer veilig in de cloud in de VS en straks ook niet meer in de EU (chat control achtige zaken) dus alles lokaal kunnen opslaan en dat goed doen (kijk naar een immich en nextcloud) is voor mij in principe wel degelijk een prioriteit.

[Reactie gewijzigd door supersnathan94 op 14 oktober 2025 17:57]

[Toppe]

[quote]Ik hoop dat het niet al te lang meer duurt voordat er een fatsoenlijk alternatief voor Android en iOS komt, want dit duopolie zit wat mij betreft aan de maximale houdbaarheidsdatum.[/]

Al zou er een alternatief komen, wat de markt goed in beweging kan brengen, dan is het over 10 jaar het zelfde laken en pak.

Uiteindelijk draait het allemaal om de euro’s

[t_o_c]

Doordat het niet snel gaat, kent de aanval de nodige beperkingen. De belangrijkste is dat de gebruiker zelf de app om de aanval uit te voeren moet openen en open moet houden

Kan je dit nog wel echt een aanval noemen als de gebruik eerst zelf een app moet installeren en die vervolgens ook nog open moet houden?

[MneoreJ]

Ja, omdat er niet voor niets allerlei beperkingen in het OS zitten om te voorkomen dat malafide apps er met data van andere apps aan de haal kunnen gaan. Natuurlijk is het het beste om om te beginnen geen malafide app te installeren, maar de verwachting is dat zelfs als de gebruiker dat doet de schade beperkt zou moeten zijn tot de interacties met die app (naar best effort). En het idee is dan uiteraard dat de app zich presenteert als iets met een leuke functie die je open wil houden, terwijl het op de achtergrond data uitleest.

[Reactie gewijzigd door MneoreJ op 14 oktober 2025 17:24]

[jacobras]

Als die app vervolgens vermomd als een app met bijvoorbeeld kattenplaatjes, dan wel. Zo staat malware tenslotte ook "normaal" in de store: als deel van een legitiem ogende app.

[laurxp]

Vergeet niet dat "malafide app" in principe óók "website in browser" zou kunnen zijn.

Je telefoon draait een hele hoop code die niet 100% te vertrouwen is. Combineer deze bug met een bug in de isolatie van de browser (waardoor een website ineens hetzelfde kan doen als een lokale app), en het openen van een GoT-link naar een leuke blog is ineens genoeg om je 2FA codes kwijt te raken...

[sint_ignucius]

Maar euhm is dit niet gewoon het process gekend als "Diffusion" als in "Stable Diffusion"? Het zelfde process staat wordt ook toegepast om aan OCR te doen, kan op een scherm aka digitaal maar de MNIST database welke "Met de Hand geschreven cijfers en letters" diende te herkennen werd in 1988 gemaakt..

Als ik de visuele presentatie van dit process vergelijkt met hoe MNIST wordt uitgelegd met afbeeldingen, lijkt het mij bijna 40 jaar oude technologie in een nieuw jasje... met een andere naam dan...

Het kan gewoon ook ik zijn die hier verkeerd is en te dom ben om dit te begrijpen..

[MneoreJ]

Het herkennen van beelden aan de hand van pixels is inderdaad al heel oud. De truc zit hem niet zozeer daarin, als wel dat ze een originele (hoewel zeer omslachtige) methode hebben gevonden om de pixels uit te lezen van toepassingen waarvan ze normaal de pixels helemaal niet uit zouden mogen lezen. Het is een schoolvoorbeeld van een side-channel attack.

[laurxp]

Het cruciale detail is dat de aanvallende app blind is: hij kan zelf wel op het scherm tekenen, maar niet zien wat andere apps hebben getekend. Dit zou een traditionele "maak een screenshot-equivalent en doe karakterherkenning" aanval onmogelijk moeten maken.

De kwetsbaarheid zit hem er in dat tekenen van een schermupdate niet altijd even lang duurt. De echte aanval is uiteraard wat complexer, maar je kan je inbeelden dat het wit verven van een witte muur een heel stuk sneller is dan het wit verven van een zwarte muur, en het witten van een geheel witte muur is een klein beetje sneller dan het witten van een grotendeels witte muur met een klein zwart vakje.

Stel je voor dat je een schilder hebt die twee dingen kan doen: de eerste optie is om een geheime vaste streepjescode op de muur te schilderen, de tweede optie is om een streepjescode van jouw keuze op de muur te schilderen. Je kan niet in de kamer zelf kijken, maar je kan wél meten hoe lang de schilder nodig heeft. Laat eerst een volledig witte muur verven. Meet hoe lang het duurt om de geheime streepjescode er overheen te verven. Laat vervolgens de muur grotendeels wit verven, maar maak de eerste streep zwart. Meet nogmaals hoe lang het duurt om de geheime streepjescode er overheen te verven.

Aan het verschil in verftijd kan je afleiden of de eerste streep van de geheime streepjescode wit is, of zwart! Het wit schilderen van een zwarte streep of zwart schilderen van een witte streep duurt namelijk langer dan het wit schilderen van een witte streep of zwart schilderen van een zwarte streep. Zelfs als dat maar een héél klein tijdsverschil is, kan je daar met genoeg meetpogingen iets statistisch significants uit halen. Herhaal dat voor genoeg pixels, en je kan pixel-bij-pixel het scherm uitlezen.

[Reactie gewijzigd door laurxp op 14 oktober 2025 18:04]

[supersnathan94]

nieuws: 'Google vertraagt Android-beveiligingsupdates en dat geeft aanvallers kansen'

Google bracht in september een patch uit tegen een deel van de aanval en belooft de aanval onmogelijk te maken in december.

Hadden we met Project treble eindelijk een manier om vendoren en ISPs wat meer buiten spel te zetten zodat updates sneller kwamen ... Gaat Google zelf dit soort domme dingen doen.