كشفت مبادرة الثغرات الأمنية لشركاء Android من Google عن العديد من الثغرات الأمنية في آلية الثقة بمفاتيح توقيع النظام الأساسي لنظام Android.
مبادرة الثغرات الأمنية لشركاء أندرويد
كشفت مبادرة الثغرات الأمنية لشركاء Android من Google ، في إقرار تسرب أمني كبير ، عن ثغرة أمنية رئيسية جديدة أثرت على الهواتف الذكية التي تعمل بنظام Android من العلامات التجارية الكبرى مثل Samsung و LG وغيرها.
نظرًا لتسريب مفاتيح التوقيع التي يستخدمها المصنّعون الأصليون لنظام التشغيل Android ، يمكن أن تتنكر تطبيقات المحتال أو البرامج الضارة على أنها تطبيقات “موثوقة”.
تم الإبلاغ عن هذه المشكلة في وقت سابق في مايو من هذا العام ، وبعد ذلك اتخذت العديد من الشركات بما في ذلك Samsung إجراءات للسيطرة على الثغرة الأمنية.
تم الكشف عن الخلل الأمني من قبل موظف Google Łukasz Siewierski ( عبر Esper’s Mishaal Rahman).
كشف Sirwierski ، من خلال تغريداته ، كيف تم استخدام شهادات النظام الأساسي لتوقيع تطبيقات البرامج الضارة على Android.
يكمن جوهر المشكلة في وجود ثغرة أمنية في آلية الثقة في نظام Android الأساسي والتي يمكن استغلالها من قبل المهاجمين الضارين.
حسب التصميم ، يثق Android في أي تطبيق يستخدم مفتاح توقيع نظام أساسي شرعي ، والذي يتم استخدامه لتوقيع تطبيقات النظام الأساسية ، من خلال نظام معرف المستخدم المشترك لنظام Android.
جزء آخر مثير للقلق بشأن الثغرة الأمنية هو أنه لا يتطلب بالضرورة من المستخدم تثبيت تطبيق جديد أو “غير معروف”.
يمكن أيضًا استخدام مفاتيح النظام الأساسي المسربة لتوقيع التطبيقات الموثوقة الشائعة مثل تطبيق Bixby على جهاز Samsung .
لن يرى المستخدم الذي قام بتنزيل مثل هذا التطبيق من موقع ويب تابع لجهة خارجية تحذيرًا عند تثبيته على هاتفه الذكي ، حيث ستتطابق الشهادة مع تلك الموجودة على نظامه.