2022-12-04 18:41:44
Samsung потерял свои ключи,
которые теперь в руках хакеров
Криптографический ключ подписи разработчика является одним из основных стержней безопасности Android. Каждый раз, когда Android обновляет приложение, ключ подписи старого приложения на вашем телефоне должен совпадать с ключом обновления, которое вы устанавливаете.
Совпадающие ключи гарантируют, что обновление действительно исходит от компании, которая изначально создала ваше приложение, а не является каким-то злонамеренным заговором.
Если произойдет утечка ключа подписи разработчика, кто угодно сможет распространять вредоносные обновления приложений, и Android с радостью установит их, считая их законными.
В Android процесс обновления приложений предназначен не только для приложений, загруженных из магазина приложений, вы также можете обновлять встроенные системные приложения, созданные Google, производителем вашего устройства, и любые другие связанные приложения.
В то время как загруженные приложения имеют строгий набор разрешений и элементов управления, встроенные системные приложения Android имеют доступ к гораздо более мощным и инвазивным разрешениям и не подпадают под обычные ограничения Play Store (вот почему Facebook всегда платит за пакетное приложение).
Если сторонний разработчик когда-либо потеряет свой ключ подписи, это будет плохо.
Если OEM-производитель Android когда-либо потеряет ключ подписи своего системного приложения, это будет очень, очень плохо.
Угадайте, что случилось?
Лукаш Северски, член команды Google по безопасности Android, опубликовал сообщение в системе отслеживания проблем Android, в котором подробно описаны утечки ключей, которые активно используются для подписи вредоносных программ.
Samsung Electronics, LG Electronics, Revoview и Mediatek в свое время допустили утечку ключей которые теперь эксплуатируются хакерами.
Любой может создать вредоносное приложение, которое под видом обновления заменит системное, при этом Android не заметит проблемы.
Примечательно что
Samsung продолжает использовать скомпрометированные ключи с 2016 года.
Google сообщает, что уже уведомила всех затронутых производителей о злоупотреблениях и рекомендовала им сменить сертификаты и расследовать утечку, чтобы выяснить, как она произошла, и свести к минимуму количество приложений, подписанных их сертификатами.
По данным компании, «все затронутые стороны уже приняли меры по исправлению положения, чтобы свести к минимуму воздействие на пользователей».
116 views15:41
А
