Android'deki kilit ekranı açığı, Gemini'nin doğrulama olmadan SMS göndermesine izin veriyor

Android cihazlarda bulunan bir güvenlik açığı, kilit ekranı üzerinden çağrılan Gemini'nin normalde PIN doğrulaması gerektiren işlemleri gerçekleştirmesine neden olabiliyor. Sorun, özellikle kullanıcıların Gemini'nin Mesajlar gibi uygulamalara erişimini önceden devre dışı bırakması durumunda dikkat çekiyor. Normal şartlarda kilitli bir cihaz üzerinden Gemini'den SMS göndermesi istendiğinde sistemin PIN kodu talep etmesi gerekiyor. Ancak belirli bir işlem sıralaması, bu güvenlik kontrolünün aşılmasına neden olabiliyor. Bir kullanıcı tarafından paylaşılan videoda, Gemini'nin kilit ekranından çağrılmasının ardından "Ek dosya ekle" ve "Devam et" düğmelerine aynı anda basılmasıyla PIN ekranının atlandığı görülüyor. Bu aşamadan sonra cihazın, kullanıcı doğrulaması olmadan mesaj gönderme gibi işlemlere izin verebildiği belirtiliyor. Güvenlik araştırmacıları tarafından bu tür açıklar genellikle kimlik doğrulama atlatma veya kilit ekranı bypass açığı olarak değerlendiriliyor.

Gemini'nin kapatılmış uygulama erişimini yeniden etkinleştirebildiği görülüyor

Açığın etkisi yalnızca SMS göndermekle sınırlı görünmüyor. Paylaşılan videoda, daha önce Gemini ayarlarından erişimi kapatılmış olan WhatsApp'ın da benzer bir yöntemle yeniden kullanılabilir hale getirildiği görülüyor. Bu durum, güvenlik açığının yalnızca tek bir uygulamanın işlevini etkilemediğini ve Gemini'nin kilit ekranı üzerinden sahip olduğu özel yetkilerin farklı işlemler için kötüye kullanılabileceğini gösteriyor. Kullanıcıların uygulama erişimlerini bilinçli olarak kısıtlamasına rağmen bu kısıtlamaların belirli bir işlem dizisiyle aşılabilmesi, sorunun temel güvenlik mekanizmasıyla ilgili olduğunu düşündürüyor. Normal şartlarda kilit ekranı, cihazın fiziksel erişime sahip kişiler tarafından kullanılmasını sınırlandıran en önemli güvenlik katmanlarından biri olarak çalışıyor. Ancak bu tür bir açık, saldırganın cihazın kilidini tamamen açmasına gerek kalmadan bazı hassas işlemleri gerçekleştirmesine imkan tanıyabiliyor. Özellikle SMS gönderme yeteneği, doğrulama mesajları ve kişisel iletişim bilgileri nedeniyle güvenlik açısından dikkat çekici bir risk oluşturuyor.

Açık Android 16'da mayıs ayından beri bildiriliyor

Söz konusu güvenlik açığının Android 16'da mayıs ayından bu yana rapor edildiği ve Google'ın sorundan haberdar olduğu belirtiliyor. Şirketin problem için bir düzeltme üzerinde çalıştığı ifade edilirken, güncellemenin ne zaman yayınlanacağı konusunda kesin bir tarih paylaşılmadı. Sorunun yalnızca Google Pixel cihazlarıyla sınırlı olmadığı ve daha fazla Android cihazını etkileyebileceği belirtiliyor. Bununla birlikte, hangi Android sürümlerinin ve hangi cihaz modellerinin kesin olarak savunmasız olduğu konusunda şu aşamada net bir liste bulunmuyor. Bu nedenle Android kullanıcılarının cihazlarında kullanılabilir güvenlik güncellemelerini kontrol etmesi önem taşıyor. Özellikle kilit ekranından Gemini kullanımına izin veren ve mesajlaşma uygulamalarına erişim sağlayan kullanıcıların, Google tarafından yayınlanacak düzeltmeyi takip etmesi gerekiyor. Açığın belirli bir işlem sırasına bağlı olması riski sınırlıyor gibi görünse de, fiziksel olarak kilitli bir cihaza erişebilen bir kişinin bu yöntemi deneyebilmesi güvenlik açısından göz ardı edilemeyecek bir durum oluşturuyor.

Kilit ekranı açıkları yalnızca Android'e özgü değil

Kilit ekranı güvenlik açıkları, karmaşık mobil işletim sistemlerinde zaman zaman ortaya çıkabiliyor ve bu durum yalnızca Android'e özgü değil. Hem Android hem de iOS, kilitli cihazlarda belirli özelliklerin kullanılmasına izin veriyor ve bu özellikler kullanıcı deneyimini kolaylaştırırken yeni güvenlik riskleri de yaratabiliyor. Özellikle yapay zeka asistanlarının mesaj gönderme, uygulamalara erişme ve cihazdaki çeşitli işlevleri kontrol etme yeteneklerinin genişlemesi, kilit ekranı güvenliği konusunu daha önemli hale getiriyor. Geçmişte iPhone'ların kilidini aşmaya yönelik özel toplulukların da benzer güvenlik açıklarını araştırdığı biliniyor. Bu çalışmaların bazıları yalnızca mesaj gönderme gibi işlemlerle sınırlı kalmayıp, çalınan cihazların kilidini açarak yeniden satmaya yönelik daha ciddi amaçlar taşıyabiliyor. Android'deki Gemini açığı şu an için bu ölçekte bir cihaz kilidi açma yöntemi olarak değerlendirilmiyor. Ancak bir yapay zeka asistanının kullanıcı doğrulaması olmadan hassas işlemler gerçekleştirebilmesi, mobil cihazlarda güvenlik ve kullanım kolaylığı arasındaki dengenin yeniden tartışılmasına neden olabilir.