दुर्भावनापूर्ण एंड्रॉइड एप्लिकेशन को प्रमाणित करने के लिए सैमसंग, एलजी और मीडियाटेक प्रमाणपत्रों का उपयोग किया गया था

Google ने दुर्भावनापूर्ण अनुप्रयोगों पर डिजिटल हस्ताक्षर करने के लिए कई स्मार्टफोन निर्माताओं के प्रमाणपत्रों के उपयोग के बारे में जानकारी का खुलासा किया है। डिजिटल हस्ताक्षर बनाने के लिए, प्लेटफ़ॉर्म प्रमाणपत्रों का उपयोग किया गया था, जिनका उपयोग निर्माता मुख्य एंड्रॉइड सिस्टम छवियों में शामिल विशेषाधिकार प्राप्त अनुप्रयोगों को प्रमाणित करने के लिए करते हैं। जिन निर्माताओं के प्रमाणपत्र दुर्भावनापूर्ण एप्लिकेशन के हस्ताक्षर से जुड़े हैं उनमें सैमसंग, एलजी और मीडियाटेक शामिल हैं। प्रमाणपत्र लीक के स्रोत की अभी तक पहचान नहीं की गई है।

प्लेटफ़ॉर्म प्रमाणपत्र "एंड्रॉइड" सिस्टम एप्लिकेशन पर भी हस्ताक्षर करता है, जो उच्चतम विशेषाधिकारों (android.uid.system) के साथ उपयोगकर्ता आईडी के तहत चलता है और उपयोगकर्ता डेटा सहित सिस्टम एक्सेस अधिकार रखता है। किसी दुर्भावनापूर्ण एप्लिकेशन को समान प्रमाणपत्र के साथ मान्य करने से इसे उपयोगकर्ता से कोई पुष्टि प्राप्त किए बिना, समान उपयोगकर्ता आईडी और सिस्टम तक समान स्तर की पहुंच के साथ निष्पादित करने की अनुमति मिलती है।

प्लेटफ़ॉर्म प्रमाणपत्रों के साथ हस्ताक्षरित पहचाने गए दुर्भावनापूर्ण एप्लिकेशन में जानकारी को इंटरसेप्ट करने और सिस्टम में अतिरिक्त बाहरी दुर्भावनापूर्ण घटकों को स्थापित करने के लिए कोड शामिल थे। Google के अनुसार, Google Play Store कैटलॉग में विचाराधीन दुर्भावनापूर्ण एप्लिकेशन के प्रकाशन का कोई निशान नहीं पहचाना गया है। उपयोगकर्ताओं को और अधिक सुरक्षित करने के लिए, Google Play प्रोटेक्ट और बिल्ड टेस्ट सूट, जिसका उपयोग सिस्टम छवियों को स्कैन करने के लिए किया जाता है, ने पहले से ही ऐसे दुर्भावनापूर्ण एप्लिकेशन का पता लगाना जोड़ दिया है।

समझौता किए गए प्रमाणपत्रों के उपयोग को रोकने के लिए, निर्माता ने उनके लिए नई सार्वजनिक और निजी कुंजी उत्पन्न करके प्लेटफ़ॉर्म प्रमाणपत्रों को बदलने का प्रस्ताव रखा। निर्माताओं को रिसाव के स्रोत की पहचान करने और भविष्य में इसी तरह की घटनाओं को रोकने के लिए उपाय करने के लिए आंतरिक जांच करने की भी आवश्यकता है। भविष्य में बार-बार लीक होने की स्थिति में प्रमाणपत्रों के रोटेशन को सरल बनाने के लिए प्लेटफ़ॉर्म प्रमाणपत्र का उपयोग करके हस्ताक्षरित सिस्टम अनुप्रयोगों की संख्या को कम करने की भी सिफारिश की गई है।

स्रोत: opennet.ru