La clave de firma criptográfica de un desarrollador es uno de los principales pilares de la seguridad de Android. Siempre que Android actualice una aplicación, la clave de firma de la aplicación anterior en su teléfono debe coincidir con la clave de la actualización que está instalando. Las claves coincidentes aseguran que la actualización sea de la empresa que creó originalmente su aplicación y no sea un complot de piratería malicioso. Si se filtrara la clave de firma de un desarrollador, cualquiera podría distribuir actualizaciones de aplicaciones maliciosas y Android las instalaría felizmente, pensando que son legítimas.
En Android, el proceso de actualización de la aplicación no es solo para las aplicaciones descargadas de una tienda de aplicaciones, también puede actualizar las aplicaciones integradas del sistema creadas por Google, el fabricante de su dispositivo y cualquier otra aplicación integrada. Si bien las aplicaciones descargadas tienen un conjunto estricto de permisos y controles, las aplicaciones integradas del sistema Android tienen acceso a permisos mucho más poderosos e invasivos y no están sujetas a las limitaciones habituales de Play Store (razón por la cual Facebook aún paga para ser una aplicación integrada). ). Si un desarrollador externo perdiera su clave de firma, sería malo. si un Fabricante de equipos originales de Android nunca perdió la clave de firma de la aplicación del sistema, eso sería muy, muy malo.
¡Adivina qué pasó! Łukasz Siewierski, miembro del equipo de seguridad de Android de Google, publicó sobre el rastreador de problemas de la Iniciativa de vulnerabilidad de socios de Android (AVPI). claves de certificado de plataforma filtradas que se utilizan activamente para firmar malware. El mensaje es solo una lista de claves, pero recorriendo cada una de ellas APKMirror o la de Google VirusTotal el sitio pondrá nombres a algunas de las claves comprometidas: Samsung, LGy mediatek son los grandes bateadores en la lista de claves filtradas, junto con algunos OEM más pequeños como Ver de nuevo y Szroco, que hace Onn tabletas de Walmart.
Estas empresas de alguna manera filtraron sus claves de firma a extraños, y ahora no puede creer que las aplicaciones que afirman ser de estas empresas sean realmente de ellas. Para empeorar las cosas, las «claves de certificado de plataforma» que perdieron tienen permisos serios. Para citar la publicación de AVPI:
Un certificado de plataforma es el certificado de firma de la aplicación que se usa para firmar la aplicación «android» en la imagen del sistema. La aplicación «android» se ejecuta con una identificación de usuario altamente privilegiada, android.uid.system, y tiene permisos del sistema, incluidos los permisos para acceder a los datos del usuario. Cualquier otra aplicación firmada con el mismo certificado puede declarar que desea ejecutarse con el mismo ID de usuario, lo que le otorga el mismo nivel de acceso al sistema operativo Android.
