Samsung, LG र Mediatek प्रमाणपत्रहरू खराब एन्ड्रोइड अनुप्रयोगहरू प्रमाणित गर्न प्रयोग गरियो

Google ले दुर्भावनापूर्ण अनुप्रयोगहरूमा डिजिटल हस्ताक्षर गर्न धेरै स्मार्टफोन निर्माताहरूबाट प्रमाणपत्रहरूको प्रयोगको बारेमा जानकारी खुलासा गरेको छ। डिजिटल हस्ताक्षरहरू सिर्जना गर्न, प्लेटफर्म प्रमाणपत्रहरू प्रयोग गरियो, जुन निर्माताहरूले मुख्य एन्ड्रोइड प्रणाली छविहरूमा समावेश विशेषाधिकार प्राप्त अनुप्रयोगहरू प्रमाणित गर्न प्रयोग गर्छन्। उत्पादकहरू जसका प्रमाणपत्रहरू खराब अनुप्रयोगहरूको हस्ताक्षरसँग सम्बन्धित छन् सैमसंग, LG र Mediatek छन्। प्रमाणपत्र चुहावटको स्रोत अझै पत्ता लागेको छैन।

प्लेटफर्म प्रमाणपत्रले "एन्ड्रोइड" प्रणाली अनुप्रयोगमा पनि हस्ताक्षर गर्दछ, जुन प्रयोगकर्ता आईडी अन्तर्गत उच्चतम विशेषाधिकारहरू (android.uid.system) अन्तर्गत चल्छ र प्रयोगकर्ता डेटा सहित प्रणाली पहुँच अधिकारहरू छन्। एउटै सर्टिफिकेटको साथ एक खराब अनुप्रयोगलाई मान्य गर्नाले प्रयोगकर्ताबाट कुनै पुष्टिकरण प्राप्त नगरी, समान प्रयोगकर्ता आईडी र प्रणालीमा पहुँचको समान स्तरको साथ कार्यान्वयन गर्न अनुमति दिन्छ।

प्लेटफर्म प्रमाणपत्रहरूसँग हस्ताक्षर गरिएका पहिचान गरिएका दुर्भावनापूर्ण अनुप्रयोगहरूमा सूचना अवरोध गर्ने र प्रणालीमा थप बाह्य मालिसियस कम्पोनेन्टहरू स्थापना गर्ने कोड समावेश छ। गुगलका अनुसार, गुगल प्ले स्टोर क्याटलगमा प्रश्नमा रहेको खराब अनुप्रयोगहरूको प्रकाशनको कुनै ट्रेसहरू पहिचान गरिएको छैन। प्रयोगकर्ताहरूलाई थप सुरक्षित गर्न, Google Play Protect र Build Test Suite, जुन प्रणाली छविहरू स्क्यान गर्न प्रयोग गरिन्छ, पहिले नै त्यस्ता दुर्भावनापूर्ण अनुप्रयोगहरूको पहिचान थप गरिसकेको छ।

सम्झौता प्रमाणपत्रहरूको प्रयोगलाई रोक्नको लागि, निर्माताले प्लेटफर्म प्रमाणपत्रहरूलाई नयाँ सार्वजनिक र निजी कुञ्जीहरू उत्पन्न गरेर परिवर्तन गर्ने प्रस्ताव राख्यो। उत्पादकहरूले चुहावटको स्रोत पहिचान गर्न र भविष्यमा यस्तै घटनाहरू रोक्नको लागि उपायहरू लिन आन्तरिक अनुसन्धान गर्न आवश्यक छ। भविष्यमा दोहोर्याइएको चुहावटको अवस्थामा प्रमाणपत्रहरूको रोटेशनलाई सरल बनाउन प्लेटफर्म प्रमाणपत्र प्रयोग गरेर हस्ताक्षर गरिएका प्रणाली अनुप्रयोगहरूको संख्यालाई कम गर्न पनि सिफारिस गरिन्छ।

स्रोत: opennet.ru