સેમસંગ, LG અને Mediatek પ્રમાણપત્રોનો ઉપયોગ દૂષિત Android એપ્લિકેશનોને પ્રમાણિત કરવા માટે થાય છે

Google એ દૂષિત એપ્લિકેશનોને ડિજિટલી સાઇન કરવા માટે સંખ્યાબંધ સ્માર્ટફોન ઉત્પાદકોના પ્રમાણપત્રોના ઉપયોગ વિશેની માહિતી જાહેર કરી છે. ડિજિટલ હસ્તાક્ષર બનાવવા માટે, પ્લેટફોર્મ પ્રમાણપત્રોનો ઉપયોગ કરવામાં આવ્યો હતો, જેનો ઉપયોગ ઉત્પાદકો મુખ્ય Android સિસ્ટમ છબીઓમાં સમાવિષ્ટ વિશેષાધિકૃત એપ્લિકેશનોને પ્રમાણિત કરવા માટે કરે છે. ઉત્પાદકોમાં જેમના પ્રમાણપત્રો દૂષિત એપ્લિકેશનના હસ્તાક્ષર સાથે સંકળાયેલા છે તેમાં સેમસંગ, એલજી અને મીડિયાટેકનો સમાવેશ થાય છે. પ્રમાણપત્ર લીક થવાનો સ્ત્રોત હજુ સુધી ઓળખાયો નથી.

પ્લેટફોર્મ પ્રમાણપત્ર "એન્ડ્રોઇડ" સિસ્ટમ એપ્લિકેશન પર પણ સહી કરે છે, જે સર્વોચ્ચ વિશેષાધિકારો (android.uid.system) સાથે વપરાશકર્તા ID હેઠળ ચાલે છે અને વપરાશકર્તા ડેટા સહિત સિસ્ટમ ઍક્સેસ અધિકારો ધરાવે છે. સમાન પ્રમાણપત્ર સાથે દૂષિત એપ્લિકેશનને માન્ય કરવાથી તે વપરાશકર્તા તરફથી કોઈપણ પુષ્ટિ પ્રાપ્ત કર્યા વિના, સમાન વપરાશકર્તા ID અને સિસ્ટમની સમાન સ્તરની ઍક્સેસ સાથે ચલાવવાની મંજૂરી આપે છે.

પ્લેટફોર્મ પ્રમાણપત્રો સાથે હસ્તાક્ષર કરાયેલ ઓળખાયેલ દૂષિત એપ્લિકેશન્સમાં માહિતીને અટકાવવા અને સિસ્ટમમાં વધારાના બાહ્ય દૂષિત ઘટકોને ઇન્સ્ટોલ કરવા માટેનો કોડ છે. ગૂગલના જણાવ્યા અનુસાર, ગૂગલ પ્લે સ્ટોર કેટેલોગમાં પ્રશ્નમાં દૂષિત એપ્લિકેશનના પ્રકાશનના કોઈ નિશાનો ઓળખાયા નથી. વપરાશકર્તાઓને વધુ સુરક્ષિત કરવા માટે, Google Play Protect અને Build Test Suite, જેનો ઉપયોગ સિસ્ટમ ઈમેજીસને સ્કેન કરવા માટે કરવામાં આવે છે, તેમાં આવી દૂષિત એપ્લિકેશનની શોધ પહેલેથી જ ઉમેરવામાં આવી છે.

ચેડા થયેલા પ્રમાણપત્રોના ઉપયોગને અવરોધિત કરવા માટે, ઉત્પાદકે પ્લેટફોર્મ પ્રમાણપત્રોને તેમના માટે નવી જાહેર અને ખાનગી કી જનરેટ કરીને બદલવાની દરખાસ્ત કરી. ઉત્પાદકોએ લીકના સ્ત્રોતને ઓળખવા માટે આંતરિક તપાસ હાથ ધરવી અને ભવિષ્યમાં સમાન ઘટનાઓને રોકવા માટે પગલાં લેવા પણ જરૂરી છે. ભવિષ્યમાં પુનરાવર્તિત લીક થવાના કિસ્સામાં પ્રમાણપત્રોના પરિભ્રમણને સરળ બનાવવા માટે પ્લેટફોર્મ પ્રમાણપત્રનો ઉપયોગ કરીને હસ્તાક્ષર કરેલ સિસ્ટમ એપ્લિકેશન્સની સંખ્યા ઘટાડવાની પણ ભલામણ કરવામાં આવે છે.

સોર્સ: opennet.ru