Samsung, LG এবং Mediatek শংসাপত্রগুলি ক্ষতিকারক Android অ্যাপগুলিকে প্রমাণীকরণ করতে ব্যবহৃত হয়৷

গুগল দূষিত অ্যাপ্লিকেশনগুলিতে ডিজিটালি স্বাক্ষর করার জন্য বেশ কয়েকটি স্মার্টফোন নির্মাতার শংসাপত্রের ব্যবহার সম্পর্কে তথ্য প্রকাশ করেছে। ডিজিটাল স্বাক্ষর তৈরি করতে, প্ল্যাটফর্ম শংসাপত্রগুলি ব্যবহার করা হয়েছিল, যার সাহায্যে নির্মাতারা বিশেষাধিকারপ্রাপ্ত অ্যাপ্লিকেশনগুলিকে প্রত্যয়িত করে যা অ্যান্ড্রয়েড সিস্টেম চিত্রগুলির প্রধান রচনার অংশ। যেসব নির্মাতার শংসাপত্রগুলি ক্ষতিকারক অ্যাপ্লিকেশনগুলির স্বাক্ষরের সাথে যুক্ত, তাদের মধ্যে Samsung, LG এবং Mediatek সনাক্ত করা যেতে পারে। সার্টিফিকেট ফাঁসের উৎস এখনো সনাক্ত করা যায়নি।

প্ল্যাটফর্ম শংসাপত্রটি অ্যান্ড্রয়েড সিস্টেম অ্যাপ্লিকেশনকেও স্বাক্ষর করে, যা ব্যবহারকারীর আইডির অধীনে সর্বোচ্চ বিশেষাধিকার (android.uid.system) এর অধীনে চলে এবং ব্যবহারকারীর ডেটা সহ সিস্টেম অ্যাক্সেসের অধিকার রয়েছে। একই শংসাপত্র সহ একটি দূষিত অ্যাপ্লিকেশনের শংসাপত্র ব্যবহারকারীর কাছ থেকে কোনও নিশ্চিতকরণ না পেয়েই এটিকে একই ব্যবহারকারী আইডি এবং সিস্টেমে একই স্তরের অ্যাক্সেসের সাথে কার্যকর করার অনুমতি দেয়।

প্ল্যাটফর্ম শংসাপত্রের সাথে স্বাক্ষরিত চিহ্নিত দূষিত অ্যাপ্লিকেশনগুলিতে তথ্য আটকানো এবং সিস্টেমে অতিরিক্ত বাহ্যিক দূষিত উপাদান ইনস্টল করার কোড রয়েছে৷ গুগলের মতে, গুগল প্লে স্টোর ক্যাটালগে প্রশ্নবিদ্ধ দূষিত অ্যাপ্লিকেশনগুলির প্রকাশনার কোনও চিহ্ন সনাক্ত করা যায়নি। ব্যবহারকারীদের আরও সুরক্ষার জন্য, Google Play Protect এবং সিস্টেমের ছবি স্ক্যান করতে ব্যবহৃত বিল্ড টেস্ট স্যুট ইতিমধ্যেই এই ধরনের দূষিত অ্যাপ্লিকেশনগুলির সনাক্তকরণ যোগ করেছে৷

আপোসকৃত শংসাপত্রের ব্যবহার ব্লক করতে, নির্মাতা তাদের জন্য নতুন পাবলিক এবং প্রাইভেট কী তৈরি করে প্ল্যাটফর্ম শংসাপত্রগুলি পরিবর্তন করার প্রস্তাব করেছে। নির্মাতাদের ফাঁসের উত্স সনাক্ত করতে এবং ভবিষ্যতে অনুরূপ ঘটনা রোধে পদক্ষেপ নেওয়ার জন্য একটি অভ্যন্তরীণ তদন্ত পরিচালনা করার নির্দেশ দেওয়া হয়েছে। ভবিষ্যতে বারবার ফাঁসের ক্ষেত্রে শংসাপত্রগুলিকে ঘোরানো সহজ করতে, সাইন করার জন্য একটি প্ল্যাটফর্ম শংসাপত্র ব্যবহার করে এমন সিস্টেম অ্যাপ্লিকেশনগুলির সংখ্যা কমিয়ে আনারও সুপারিশ করা হয়৷

উত্স: opennet.ru