Samsungs Android-App-Signaturschlüssel ist durchgesickert und wird zum Signieren von Malware verwendet

Der kryptografische Signaturschlüssel eines Entwicklers ist eine der wichtigsten Säulen der Android-Sicherheit. Jedes Mal, wenn Android eine App aktualisiert, muss der Signaturschlüssel für die alte App auf Ihrem Telefon mit dem Schlüssel für das Update übereinstimmen, das Sie installieren. Übereinstimmende Schlüssel stellen sicher, dass das Update tatsächlich von dem Unternehmen stammt, das Ihre App ursprünglich erstellt hat, und kein böswilliges Hijacking-Schema ist. Wenn der Signaturschlüssel eines Entwicklers geleakt wird, kann jeder bösartige App-Updates verteilen, und Android wird sie gerne installieren, weil es glaubt, dass sie legitim sind.

Unter Android ist der App-Aktualisierungsprozess nicht nur auf Apps beschränkt, die aus dem App Store heruntergeladen wurden, sondern auch auf gebündelte System-Apps von Google, Ihrem Gerätehersteller und alle anderen gebündelten Apps. Während heruntergeladene Apps strenge Berechtigungen und Kontrollen haben, haben gebündelte Android-Apps Zugriff auf leistungsfähigere und invasivere Berechtigungen und unterliegen nicht den üblichen Play Store-Einschränkungen (weshalb Facebook immer darauf drängt, eine gebündelte App zu sein). Wenn ein Drittentwickler seinen Signaturschlüssel verliert, wäre das schlimm. wenn es war Android-OEM Ich habe den Signaturschlüssel der Systemanwendung verloren, das wäre wirklich schlimm.

Rate, was passiert ist! Łukasz Siewierski, ein Mitglied des Android-Sicherheitsteams von Google, hat einen ausführlichen Beitrag zum Android Partner Issue Tracker (AVPI). Durchgesickerte Schlüssel für Plattformzertifikate die aktiv zum Signieren von Malware verwendet werden. Der Beitrag ist nur eine Liste von Schaltern, aber jeder ist eingeschaltet APKSpiegel oder googlen VirusTotal Die Website listet die Namen einiger der kompromittierten Schlüssel auf: SamsungUnd die LGUnd die Medientechnik Sie sind die Schwergewichte in der Liste der durchgesickerten Schalter, zusammen mit einigen kleineren OEMs wie Rückblick und Szroco, das macht Onn-Discs von Walmart.

Die Signaturschlüssel dieser Unternehmen sind irgendwie an Fremde weitergegeben worden, und jetzt können Sie nicht mehr darauf vertrauen, dass Apps, die vorgeben, von diesen Unternehmen zu stammen, tatsächlich von ihnen stammen. Um die Sache noch schlimmer zu machen, enthielten die verlorenen „Plattform-Zertifikatsschlüssel“ einige schwerwiegende Berechtigungen. Um aus dem AVPI-Beitrag zu zitieren:

Das Plattformzertifikat ist das Anwendungssignaturzertifikat, das verwendet wird, um die „Android“-Anwendung beim Systemabbild zu signieren. Die „Android“-Anwendung wird mit einer hochprivilegierten Benutzer-ID – android.uid.system – ausgeführt und verfügt über Systemberechtigungen, einschließlich Berechtigungen für den Zugriff auf Benutzerdaten. Jede andere Anwendung, die mit demselben Zertifikat signiert ist, kann erklären, dass sie mit derselben Benutzer-ID ausgeführt werden möchte, wodurch sie dieselbe Zugriffsebene auf das Android-Betriebssystem erhält.