三星丢失了它的 Android 应用程序签名密钥——而且没有更换它

这篇文章由 VPN 技术总工程师 Pete Membrey 撰写, ExpressVPN

当您丢失房门钥匙时,通常的做法是更换门上的锁——尤其是当这些钥匙上有您的姓名和地址时。 为什么要冒有人会用这些钥匙打开您的门或在归还钥匙之前复制这些钥匙的风险呢? 更换锁不仅更安全(它会使丢失的钥匙变得无用),而且还可以让您高枕无忧。 您不必再担心这些密钥是否会被滥用。

在软件世界中也是如此。 当您希望有人信任您的应用程序时,您需要证明实际上是您发布了它。 这是通过签名密钥完成的。 您希望该密钥非常安全,因为如果其他人拿到了它,他们将能够 像您一样签署任何软件.

这就是为什么一旦您得知您的密钥已被泄露、丢失或被盗,您就会希望尽快撤销并更换它。 这只是最佳实践,完全没有争议。

因此,您可能会感到惊讶,三星处理其泄露的签名密钥的方法是什么都不做。 也就是说,该公司没有更换其密钥(据 Arstechnica 报道).

当你意识到三星多年来一直知道这件事时,这就变得更加令人担忧,而当它的官方立场似乎是该公司并不认为它是一个问题时,这就变得非常令人不安。 难以置信? 这是三星的回复 亚当·康威 在 XDA 开发者论坛上(强调我的):

三星非常重视 Galaxy 设备的安全性。 自 2016 年以来,我们在意识到该问题后发布了安全补丁, 并且没有关于此潜在漏洞的已知安全事件. 我们始终建议用户使用最新的软件更新使他们的设备保持最新状态。

这很有趣,因为它看起来,根据 阿尔乔姆·鲁萨科夫斯基,可以追溯到 2016 年的恶意软件已使用此密钥签名:

让我们退后一步,问一些重要的问题。

什么是 Android 应用签名密钥?

发布者使用 Android 应用程序签名密钥对其应用程序进行签名,以便 Android 设备能够验证该应用程序是否合法以及是否来自其声称的发布者。 这是平台安全模型的核心,因此保持该密钥安全至关重要。 如果其他人可以访问您的密钥,他们可以签署任何应用程序并声称是您发布并批准了它。

这与三星有什么关系?

泄露的密钥是三星的 Android 应用签名密钥。 这是三星用来签署其所有 Android 应用程序的密钥,也是 Android 能够识别官方三星应用程序以进行更新的方式。 此密钥用于下载的应用程序(例如来自 Play 商店),但更令人不安的是用于签署手机附带的系统应用程序。

什么是系统应用程序?

虽然来自 Play 商店的应用程序在能做什么和不能做什么方面有许多重要限制(以及强大的许可模型),但 OEM 提供的应用程序(称为系统应用程序)对系统的访问权限要大得多因此被认为具有更高的特权。 因此,确保这些应用程序保持最新且值得信赖非常重要,因为如果安装恶意应用程序,造成损害的可能性要高得多。

操作系统更新呢?

这里唯一的好消息是不同的密钥用于签署三星的操作系统更新。

泄露的密钥可以做什么?

使用此密钥,恶意行为者可以将恶意软件签名为三星官方软件。 如果他们能找到让您尝试安装该软件的方法,您的手机就会将其视为正版三星软件,因为它带有三星签名。 这意味着即使您的设备未获得 root 权限,也可能会在您的手机上安装恶意软件或间谍软件。

怎样区分恶意软件和正版软件?

由于两者都具有来自三星密钥的有效签名,因此 Android 无法确定一个是真实的,一个是假的。 这才是真正的风险来源。 通常要安装恶意软件,必须解决许多安全功能。 但是,使用有效的签名密钥,这些安全功能将无济于事。

三星能做什么?

三星只能做一件事:更换其签名密钥。 好消息是,这应该完全在公司的控制范围内。 他们可以做到这一点。

三星为什么不更换钥匙?

这是一个很好的问题,目前还不清楚为什么它会使用相同的密钥,尤其是三星似乎已经知道妥协已有一段时间了。 自从已知密钥被泄露以来,已经有许多更新和发布,那么为什么他们当时不更改密钥呢? 同样,我们真的不知道,只能推测,但很难为此找到任何理由。 毕竟,它使用户面临安全漏洞的严重风险。

好的,但是我能做些什么来保护自己呢?

目前,由于已经存在恶意软件,确保您安全的最佳做法是将手机重置为出厂默认设置(以便您运行干净的三星映像),然后仅安装或更新Play 商店。 请注意您正在安装的内容,即使是从那里安装的,并留意任何看起来可疑的东西,例如与流行应用程序具有非常相似名称或图标的应用程序。 我们希望三星能在不久的将来发布新密钥,因此这只需要执行一次,而不是作为重复措施。

概括

三星的 Android 应用程序签名密钥已经泄露,而且似乎已经泄露多年。 更糟糕的是,三星似乎已经知道这件事至少很多年了,但仍未撤销其密钥。 尽管自 2016 年以来已使用其密钥签名的恶意软件在野外传播,但三星声称对整个事情似乎非常悠闲,三星声称没有已知的漏洞利用。这种缺乏意识和缺乏基本安全卫生将始终是一个问题,但在主要 OEM 中看到它非常令人不安。

您可以采取基本步骤来帮助确保您的隐私得到保护,并且您没有按照上述步骤安装任何恶意软件。 不过截至发稿时,泄露的密钥仍在使用中,并未被三星撤销。