Kūrėjo kriptografinis pasirašymo raktas yra vienas iš svarbiausių „Android“ saugos ramsčių. Kaskart, kai „Android“ atnaujina programą, senos programos pasirašymo raktas telefone turi atitikti diegiamo naujinio raktą. Atitinkantys raktai užtikrina, kad naujinys iš tikrųjų būtų iš įmonės, kuri iš pradžių sukūrė jūsų programą, ir tai nėra kenkėjiška užgrobimo schema. Jei nutekėjo kūrėjo pasirašymo raktas, bet kas gali platinti kenkėjiškų programų naujinimus, o „Android“ mielai juos įdiegs, manydama, kad jie teisėti.

Sistemoje „Android“ programos naujinimo procesas neapsiriboja programomis, atsisiųstomis iš „App Store“, bet ir „Google“, jūsų įrenginio gamintojo sukurtomis sistemos programėlėmis ir bet kokiomis kitomis programėlėmis. Nors atsisiųstos programos turi griežtą leidimų ir valdiklių rinkinį, susietos „Android“ programos turi prieigą prie galingesnių ir invazinių leidimų ir joms netaikomi įprasti „Play“ parduotuvės apribojimai (todėl „Facebook“ visada siekia būti įtraukta į programą). Jei trečiosios šalies kūrėjas praras savo pasirašymo raktą, tai būtų blogai. jei buvo Android OEM Pamečiau sistemos programos pasirašymo raktą, būtų tikrai blogai.

Atspėk, kas atsitiko! Łukaszas Siewierski, „Google“ „Android“ saugos komandos narys, paskelbė „Android Partner Issue Tracker“ (AVPI) įrašą, kuriame išsamiai aprašoma Nutekėjo platformos sertifikato raktai kurie aktyviai naudojami kenkėjiškų programų pasirašymui. Įrašas yra tik jungiklių sąrašas, tačiau kiekvienas iš jų yra įjungtas APKMirror arba google VirusTotal Svetainėje bus pateikti kai kurių pažeistų raktų pavadinimai: samsungIr LGIr mediatech Jie yra pagrindiniai nutekėjusių jungiklių sąrašo lyderiai, taip pat kai kurie mažesni originalios įrangos gamintojai, pavyzdžiui peržiūra ir Szroco, kuri gamina Onn diskai iš Walmart.

Šių įmonių pasirašymo raktai kažkokiu būdu buvo nutekinti nepažįstamiems žmonėms, ir dabar negalite pasitikėti, kad programos, teigiančios, kad yra iš šių įmonių, iš tikrųjų yra iš jų. Dar blogiau, jų prarastuose „platformos sertifikato raktuose“ buvo keletas rimtų leidimų. Cituoti iš AVPI įrašo:

Platformos sertifikatas yra programos pasirašymo sertifikatas, naudojamas „android“ programai pasirašyti prie sistemos vaizdo. „Android“ programa veikia su labai privilegijuotu vartotojo ID – android.uid.system – ir turi sistemos leidimus, įskaitant leidimus pasiekti vartotojo duomenis. Bet kuri kita programa, pasirašyta tuo pačiu sertifikatu, gali pareikšti, kad nori veikti su tuo pačiu vartotojo ID, suteikdama jai tokio pat lygio prieigą prie „Android“ operacinės sistemos.