Google маълумотро дар бораи истифодаи сертификатҳои як қатор истеҳсолкунандагони смартфонҳо барои имзои рақамии замимаҳои зараровар ифшо кардааст. Барои эҷоди имзоҳои рақамӣ сертификатҳои платформа истифода шуданд, ки истеҳсолкунандагон барои тасдиқи замимаҳои имтиёзнок, ки ба тасвирҳои асосии системаи Android дохил мешаванд, истифода мебаранд. Дар байни истеҳсолкунандагон, ки шаҳодатномаҳои онҳо бо имзои барномаҳои зараровар алоқаманданд, Samsung, LG ва Mediatek мебошанд. Манбаи ихроҷи шаҳодатнома то ҳол мушаххас нашудааст.
Шаҳодатномаи платформа инчунин замимаи системаи "android" -ро имзо мекунад, ки зери ID корбар бо имтиёзҳои баландтарин (android.uid.system) кор мекунад ва дорои ҳуқуқи дастрасӣ ба система, аз ҷумла ба маълумоти корбар мебошад. Тасдиқи барномаи зараровар бо ҳамон сертификат имкон медиҳад, ки он бо ҳамон ID корбар ва ҳамон сатҳи дастрасӣ ба система бидуни гирифтани ягон тасдиқи корбар иҷро карда шавад.
Барномаҳои шубҳаноки муайяншуда, ки бо сертификатҳои платформа имзо шудаанд, дорои рамзи боздоштани иттилоот ва насб кардани ҷузъҳои иловагии зараровар ба система буданд. Ба гуфтаи Google, ҳеҷ осори нашри барномаҳои зараровар дар каталоги Google Play Store ошкор нашудааст. Барои ҳифзи минбаъдаи корбарон, Google Play Protect ва Build Test Suite, ки барои скан кардани тасвирҳои система истифода мешавад, аллакай ошкор кардани чунин барномаҳои зарароварро илова кардаанд.
Барои бастани истифодаи сертификатҳои вайроншуда, истеҳсолкунанда тағир додани сертификатҳои платформаро тавассути тавлиди калидҳои нави ҷамъиятӣ ва хусусӣ барои онҳо пешниҳод кард. Истеҳсолкунандагон инчунин вазифадоранд, ки барои муайян кардани манбаи ихроҷ тафтишоти дохилӣ гузаронанд ва барои пешгирии чунин ҳодисаҳо дар оянда чораҳо андешанд. Инчунин тавсия дода мешавад, ки шумораи замимаҳои системавие, ки бо истифода аз сертификати платформа имзо карда мешаванд, барои содда кардани гардиши сертификатҳо дар сурати ихроҷи такрорӣ дар оянда кам карда шаванд.
Манбаъ: opennet.ru