Google wis ngumumake informasi babagan panggunaan sertifikat saka sawetara pabrikan smartphone kanggo mlebu aplikasi jahat kanthi digital. Kanggo nggawe teken digital, sertifikat platform digunakake, sing digunakake dening pabrikan kanggo menehi sertifikasi aplikasi istimewa sing kalebu ing gambar sistem Android utama. Antarane manufaktur sing sertifikat digandhengake karo teken aplikasi angkoro yaiku Samsung, LG lan Mediatek. Sumber bocor sertifikat durung dingerteni.
Sertifikat platform uga menehi tandha aplikasi sistem "android", sing nganggo ID pangguna kanthi hak istimewa paling dhuwur (android.uid.system) lan nduweni hak akses sistem, kalebu data pangguna. Validasi aplikasi angkoro kanthi sertifikat sing padha ngidini supaya bisa dieksekusi nganggo ID pangguna sing padha lan tingkat akses sing padha menyang sistem, tanpa nampa konfirmasi saka pangguna.
Aplikasi jahat sing diidentifikasi ditandatangani karo sertifikat platform ngemot kode kanggo nyegat informasi lan nginstal komponen jahat eksternal tambahan menyang sistem. Miturut Google, ora ana jejak publikasi aplikasi jahat sing ana ing katalog Google Play Store sing diidentifikasi. Kanggo luwih nglindhungi pangguna, Google Play Protect lan Build Test Suite, sing digunakake kanggo mindhai gambar sistem, wis nambahake deteksi aplikasi jahat kasebut.
Kanggo mblokir panggunaan sertifikat sing dikompromi, pabrikan ngusulake ngganti sertifikat platform kanthi ngasilake kunci umum lan pribadi anyar kanggo dheweke. Produsen uga kudu nindakake investigasi internal kanggo ngenali sumber bocor lan njupuk langkah kanggo nyegah kedadeyan sing padha ing mangsa ngarep. Disaranake uga nyilikake jumlah aplikasi sistem sing ditandatangani nggunakake sertifikat platform kanggo nyederhanakake rotasi sertifikat yen ana bocor bola-bali ing mangsa ngarep.
Source: opennet.ru