「Android 5.xでパスワードを設定したロック画面をバイパス可能な脆弱性」記事へのコメント

時間がかかるといっても

[Anonymous Coward]

タレコミにある動画によれば約8分で突破されているわけですよね（最後まで観ていませんが）。
どこかに置き忘れて、後で誰かに届けてもらったようなケースでは、端末にフルアクセスされていることを覚悟しないといけないということになるわけで、
パスワードをアプリに保存しっぱなしの場合が多いことを考えると、結構嫌な脆弱性ではないかと思います。
で、例によって自分の端末にいつアップデートが配布されるのかわからない、と。

重要度「中」に評価するのは別にとやかくいいませんが、少なくとも
「今パスワードロックを使っている人はPINに変えろ」という情報くらいは広くアナウンスすべきじゃないかなあ。
（もうしてたらすみません）

Re:時間がかかるといっても

[headless (41064)]

全機種で再現するかどうかは不明なので、気になる場合は

1. 再現実験をする
2. スラドで報告する
   メーカー:
   機種:
   キャリア:
   バージョン:
   ビルド:
   状況:
3. 再現した場合はPINコードでのアンロックに変更する

緊急通報画面でコピペできない機種もありますが、パスワード入力画面で長い長い文字列を直接入力すれば再現する可能性もあるので、がんばって入力する必要があります。

Re:時間がかかるといっても

[Anonymous Coward]

headless氏が参考にしなかったこちらのタレコミ [srad.jp]によるとコピペによる倍々ゲームで増やしていって163,840文字程度必要だったとか書いてるので、コピペができなかったらがんばって入力するとかいうレベルではないような。

Re:時間がかかるといっても

[headless (41064)]

その数字はおそらく動画を見て数えたものでしょうね。緊急通報画面では「フィールドの内容が選択できなくなるまで」、パスワード入力画面では「UIがクラッシュするまで」、なるべく多く繰り返すと発見者が書いているので、回数は変動していたのでしょう。実際に別の動画 [youtube.com]ではもっと少ない回数でロックが解除されていますし、あまり意味のない数字です。

Re:

[Anonymous Coward]

それじゃあクラッシュすることの証明はクラッシュすればできるけど、クラッシュしないことを自分でテストして証明するのは事実上不可能ではありませんか(悪魔の証明)。

Re:時間がかかるといっても

[headless (41064)]

入力可能な長さに制限がかけられていないとしても無限に入力できるわけではないので、どこかの時点で止まるはずです。その時点で何が起こるかという話ですね。

Re:

[Anonymous Coward]

メカニカルな補助器具があればまだブルートフォースでいけそうだけど。

Re:

[Anonymous Coward]

USBキーボード繋げて漬物石でも乗っけておけば楽に達成できそうね。