تم تسريب مفتاح توقيع تطبيق Android الخاص بشركة Samsung ويتم استخدامه للتوقيع على البرامج الضارة

Dsimic

يعد مفتاح التوقيع المشفر للمطور أحد الركائز الأساسية لأمان Android. عندما يقوم Android بتحديث أحد التطبيقات ، يجب أن يتطابق مفتاح التوقيع الخاص بالتطبيق القديم على هاتفك مع مفتاح التحديث الذي تقوم بتثبيته. تضمن مفاتيح المطابقة أن التحديث من الشركة التي أنشأت تطبيقك في الأصل وليس مخطط اختراق ضار. إذا تم تسريب مفتاح توقيع أحد المطورين ، فيمكن لأي شخص توزيع تحديثات التطبيقات الضارة وسيسعد Android بتثبيتها ، معتقدًا أنها شرعية.

على نظام التشغيل Android ، لا تقتصر عملية تحديث التطبيق على التطبيقات التي يتم تنزيلها من متجر التطبيقات فحسب ، بل يمكنك أيضًا تحديث تطبيقات النظام المضمنة التي أنشأتها Google والشركة المصنعة لجهازك وأي تطبيق آخر مدمج. بينما تحتوي التطبيقات التي تم تنزيلها على مجموعة صارمة من الأذونات وعناصر التحكم ، تتمتع تطبيقات نظام Android المضمنة بإمكانية الوصول إلى أذونات أكثر قوة وتغلغلًا ولا تخضع لقيود متجر Play المعتادة (وهذا هو السبب في أن Facebook لا يزال يدفع ليكون تطبيقًا مجمّعًا ). إذا فقد مطور طرف ثالث مفتاح التوقيع الخاص به ، فسيكون ذلك سيئًا. إذا فقد OEM Android مفتاح توقيع تطبيق النظام ، فسيكون ذلك سيئًا حقًا.

احزر ماذا حدث! نشر Łukasz Siewierski ، وهو عضو في فريق أمان Android في Google ، مقالة تعقب مشكلات مبادرة شركاء Android (AVPI) التي توضح بالتفصيل مفاتيح شهادات النظام الأساسي المسربة التي تُستخدم بنشاط لتوقيع الأجهزة. البرامج الضارة. الرسالة هي مجرد قائمة بالمفاتيح ، ولكن تشغيل كل منها عبر APKMirror أو موقع Google VirusTotal سيضع أسماء على بعض المفاتيح المخترقة: Samsung و LG و Mediatek هم الضاربون الأثقل في قائمة المفاتيح المسربة ، بالإضافة إلى بعض الشركات المصنعة للمعدات الأصلية الأصغر مثل Revoview و Szroco ، التي تصنع أقراص Walmart's Onn اللوحية.

تم تسريب مفاتيح التوقيع الخاصة بهذه الشركات بطريقة ما إلى جهات خارجية ، والآن لا يمكنك تصديق أن التطبيقات التي تدعي أنها من هذه الشركات هي بالفعل كذلك. ومما زاد الطين بلة ، أن "مفاتيح شهادات النظام الأساسي" التي فقدوها لها أذونات خطيرة. للاقتباس من مشاركة AVPI:

شهادة النظام الأساسي هي شهادة توقيع التطبيق المستخدمة لتوقيع تطبيق "android" على صورة النظام. يعمل تطبيق "android" مع معرف مستخدم ذي امتيازات عالية - android.uid.system - ويحمل أذونات النظام ، بما في ذلك أذونات الوصول إلى بيانات المستخدم. يمكن لأي تطبيق آخر موقّع بنفس الشهادة الإعلان عن رغبته في العمل بنفس معرف المستخدم ، مما يمنحه نفس مستوى الوصول إلى نظام التشغيل Android.

كما هو الحال دائمًا ، نشر الكاتب الفني الأول في Esper ، مشعل الرحمن ، بعض المعلومات الرائعة حول هذا الموضوع على Twitter. كما يشرح ، فإن الحصول على تطبيق يستحوذ على نفس المعرف الفريد لنظام Android ليس وصولاً إلى الجذر تمامًا ، ولكنه قريب ويسمح للتطبيق بالخروج من أي وضع حماية محدود حالي للتطبيقات. يمكن لهذه التطبيقات التواصل مباشرة مع (أو ، في حالة البرامج الضارة ، التجسس على) تطبيقات أخرى على هاتفك. تخيل نسخة أكثر شرًا من خدمات Google Play ، وستحصل على الفكرة. Samsung: في الواقع ، تم اختراق مفتاحنا منذ سنوات

إن Samsung ليست فقط أكبر مُصنّع Android مُصنّع لتسريب مفتاح توقيع ، بل هي أيضًا أكبر مستخدم لمفتاح مُسرب. يوضح رابط APKMirror السابق هذا مدى سوء الأمر. يتم استخدام مفتاح Samsung المخترق في كل شيء: Samsung Pay و Bixby ...