Büyük bir güvenlik sızıntısı, Samsung, LG ve başka aygıtlarda tüm Android işletim sistemine erişim sağlayabilen makus emelli yazılım uygulamalarının oluşturulmasına yol açtı. Bu durum hakkında açıklama yapan Google, şirketlerin alabileceği tedbirlerden bahsetti.
Sorunun özü, birden epey Android OEM’in platform imzalama anahtarlarının ilgili şirketlerinin dışına sızdırılmış olmasıdır. Bu anahtar, aygıtınızda çalışan Android sürümünün üretici tarafınca oluşturulmuş legal olduğundan emin olmak için kullanılır. Aynı anahtar, ferdî uygulamaları imzalamak için de kullanılabilir.
Kötü hedefli yazılım uygulamaları, kullanıcı etkileşimi olmadan sisteme erişim sağlayabilir
Tasarım gereği Android, işletim sisteminin kendisini imzalamak için kullanılan birebir anahtarla imzalanmış tüm uygulamalara güvenir. Bu uygulama imzalama anahtarlarına sahip berbat niyetli bir saldırgan, etkilenen bir aygıtta makus hedefli yazılıma sistem seviyesinde müsaadeler vermek için Android’in paylaşılan kullanıcı kimliği sistemini kullanabilir. Temelde, etkilenen bir aygıttaki tüm datalar bir saldırgan tarafınca kullanılabilir.
Google’ın hususla ilgili kısa açıklamasına bakılırsa etkilenen şirketler içinde teknoloji devlerinden LG ve Samsung’da bulunmakta. Google bu durum karşısında şirketlerin hemen Android platformu imzalama anahtarlarını artık sızdırılanları kullanmayacak biçimde değiştirmesini önerdi.
Sorunun özü, birden epey Android OEM’in platform imzalama anahtarlarının ilgili şirketlerinin dışına sızdırılmış olmasıdır. Bu anahtar, aygıtınızda çalışan Android sürümünün üretici tarafınca oluşturulmuş legal olduğundan emin olmak için kullanılır. Aynı anahtar, ferdî uygulamaları imzalamak için de kullanılabilir.
Kötü hedefli yazılım uygulamaları, kullanıcı etkileşimi olmadan sisteme erişim sağlayabilir
Tasarım gereği Android, işletim sisteminin kendisini imzalamak için kullanılan birebir anahtarla imzalanmış tüm uygulamalara güvenir. Bu uygulama imzalama anahtarlarına sahip berbat niyetli bir saldırgan, etkilenen bir aygıtta makus hedefli yazılıma sistem seviyesinde müsaadeler vermek için Android’in paylaşılan kullanıcı kimliği sistemini kullanabilir. Temelde, etkilenen bir aygıttaki tüm datalar bir saldırgan tarafınca kullanılabilir.
Google’ın hususla ilgili kısa açıklamasına bakılırsa etkilenen şirketler içinde teknoloji devlerinden LG ve Samsung’da bulunmakta. Google bu durum karşısında şirketlerin hemen Android platformu imzalama anahtarlarını artık sızdırılanları kullanmayacak biçimde değiştirmesini önerdi.