Google telah mendedahkan maklumat tentang penggunaan sijil daripada beberapa pengeluar telefon pintar untuk menandatangani aplikasi berniat jahat secara digital. Untuk membuat tandatangan digital, sijil platform telah digunakan, yang digunakan oleh pengeluar untuk memperakui aplikasi istimewa yang disertakan dalam imej sistem Android utama. Antara pengeluar yang sijilnya dikaitkan dengan tandatangan aplikasi berniat jahat ialah Samsung, LG dan Mediatek. Punca kebocoran sijil masih belum dikenal pasti.
Sijil platform juga menandatangani aplikasi sistem "android", yang dijalankan di bawah ID pengguna dengan keistimewaan tertinggi (android.uid.system) dan mempunyai hak akses sistem, termasuk kepada data pengguna. Mengesahkan aplikasi berniat jahat dengan sijil yang sama membolehkan ia dilaksanakan dengan ID pengguna yang sama dan tahap akses yang sama kepada sistem, tanpa menerima sebarang pengesahan daripada pengguna.
Aplikasi berniat jahat yang dikenal pasti ditandatangani dengan sijil platform mengandungi kod untuk memintas maklumat dan memasang komponen hasad luaran tambahan ke dalam sistem. Menurut Google, tiada kesan penerbitan aplikasi berniat jahat yang dipersoalkan dalam katalog Gedung Google Play telah dikenal pasti. Untuk melindungi pengguna lagi, Google Play Protect dan Build Test Suite, yang digunakan untuk mengimbas imej sistem, telah menambah pengesanan aplikasi berniat jahat tersebut.
Untuk menyekat penggunaan sijil yang terjejas, pengilang mencadangkan menukar sijil platform dengan menjana kunci awam dan peribadi baharu untuknya. Pengilang juga dikehendaki menjalankan penyiasatan dalaman untuk mengenal pasti punca kebocoran dan mengambil langkah untuk mencegah kejadian serupa pada masa hadapan. Ia juga disyorkan untuk meminimumkan bilangan aplikasi sistem yang ditandatangani menggunakan sijil platform untuk memudahkan penggiliran sijil sekiranya berlaku kebocoran berulang pada masa hadapan.
Sumber: opennet.ru