@ 2013.07.05 , 00:36
44

Android爆出一个已经存在四年的重大漏洞,可以绕过数字签名

[-]

Bluebox Security 实验室一个团队的安全研究人员发现Android有一个已经存在四年的漏洞,可以允许恶意软件修改经过验证的安全应用程序,然后感染软件设备,而用户则完全无法察觉到这个恶意软件的存在。

通常情况下每一个应用程序都是有数字签名的,软件开发者拥有密钥,供软件开放人员更新软件。如果密钥不匹配的话,就会被系统拒绝。而这个漏洞则可以绕过数字签名光明正大的修改APK文件,也就是说恶意代码完全可以在不被用户察觉的情况下完成对软件的修改。

该团队说,这个BUG早在Android 1.6 的时候就存在,所以现在这个漏洞将会影响到99%的Android系统的手机。这个BUG已经在今年的2月份已经通知了谷歌了,并且制作了漏洞补丁。不过因为Android系统的碎片化,所以现在只有三星Galaxy S4更新了补丁,而谷歌的Nexus设备的补丁则正在开发中。

当然安卓党也不必惊慌,因为恶意软件要感染你的应用软件,就必须先进入你的手机。只要你到官方网站去下载或者购买,都是很安全的。本文译自 Gizmodo,由译者 0101 基于创作共用协议(BY-NC)发布。

# 关于 Android 数字签名
在Android 系统中,所有安装到系统的应用程序都必有一个数字证书,此数字证书用于标识应用程序的作者和在应用程序之间建立信任关系。Android系统要求每一个安装进系统的应用程序都是经过数字证书签名的,数字证书的私钥则保存在程序开发者的手中。这个数字证书并不需要权威的数字证书签名机构认证,它只是用来让应用程序包自我认证。


给这篇稿打赏,让译者更有动力
支付宝打赏 [x]
您的大名: 打赏金额:

0.0
赞一个 (3)

TOTAL COMMENTS: 44+1

  1. 2063812

    我屮艸芔茻,一大波艳照正在靠近

  2. lep777
    @5 years ago
    2063816

    啥?我没用安卓!

  3. 元宵节快乐
    @5 years ago
    2063818

    我靠,都插进去了还有补的必要吗

  4. 谁搬来的救兵
    @5 years ago
    2063836

    安卓怎么可能有多少在官方下载?

  5. 天や罚
    @5 years ago
    2063840

    一直觉得安卓的图标很像病毒。。。

  6. 林下
    @5 years ago
    2063846

    流氓软件这么多,哪还需要漏洞=,=

  7. 山妖
    @5 years ago
    2063852

    高科技的第16个恐怖瞬间

  8. FireKDragon
    @5 years ago
    2063870

    一大波X粉正在靠近中……

  9. n55!w!
    @5 years ago
    2063896

    ?_? Android 出了这么多年我就没用过,塞班 4.0、wm 5.1、iOS(iPod touch)、WebOS,就没用过 Android 啊,只因没有一个机型外观我喜欢,其实是买不起啦。

  10. TmingT
    @5 years ago
    2063908

    陈冠希们,颤抖吧!!

  11. 失落的跳蚤
    @5 years ago
    2063918

    android1.5 用了两年半的人飘过

  12. 2063924

    2.3.6已<U>撸</U>root

  13. 甜丶豆包
    @5 years ago
    2063936

    这个很早前就已经说过了吧?有印象

  14. 2063956

    尼玛的都是些什么人用个安卓root了都要叫嚣下。想起以前看腾讯新闻一帮回复,5230飘过。似的。晓得蛋疼。

  15. tentacle
    @5 years ago
    2063964

    冷笑
    本来APK文件就是zip文件换个后缀
    拿愤怒小鸟来说,我替换几个.lua文件然后放到网上还用签名?

    顺带一提,全世界用的都是GooglePlay,别太拿中国市场当回事。

  16. 小信牢
    @5 years ago
    2063968

    快来买wp快来买wp=皿=

  17. 基里连科
    @5 years ago
    2063974

    是的,所以我从来不用豌豆荚什么的

  18. 2063980

    冷笑?你替换后不签名能验证安装?真逗,那还要什么开发环境,直接一个winrar完事。

  19. 一文鸡
    @5 years ago
    2063982

    安卓屎,还不如塞班,(=^ω^=)

  20. 2063986

    自由的代价就是要独自面对这个残酷的世界。

  21. mty1111
    @5 years ago
    2064004

    这语法用得不对。。啥叫爆出。明明是被爆出

  22. 蛋疼
    @5 years ago
    2064020

    首先,你要有一部安卓系统的手机

  23. tentacle
    @5 years ago
    2064056

    @mouse: 当然可以。你就说赌多少钱吧

  24. race2fly
    @5 years ago
    2064062

    @谁搬来的救兵: 一直在用google play

  25. 2064088

    太可怕了,我从好多地方下载过apk…

  26. 邪恶的兔子
    @5 years ago
    2064102

    nexus4可以上google play

  27. 卡拉
    @5 years ago
    2064116

    这个也叫漏洞?不是安卓功能之一么?可以diy软件。

  28. skywalker
    @5 years ago
    2064118

    取消apk安装
    只从google play安装

  29. nuncadigaseso
    @5 years ago
    2064122

    没人来黑我

  30. cs_italy
    @5 years ago
    2064140

    手中的920翔得让我笑而不语

  31. 2064142

    安卓用户永远无法逃避刷机的命运

  32. 2064154

    以后不能自己修改APK了?

  33. 2064156

    @mty1111: 欧式中文。中文里有些地方本来就可以用主动表被动的,却非要学欧洲语言,什么都来个被动,反而显得不伦不类。

  34. 西奥笑
    @5 years ago
    2064436

    好大一只臭虫

  35. fasdfa
    @5 years ago
    2064446

    只能在安全模式下起作用的漏洞, 在普通模式下不起作用的. 不必太慌恐.
    只能在安全模式下起作用的漏洞, 在普通模式下不起作用的. 不必太慌恐.
    只能在安全模式下起作用的漏洞, 在普通模式下不起作用的. 不必太慌恐.

  36. Monster
    @5 years ago
    2064500

    不明觉厉

  37. yangyang
    @5 years ago
    2064506

    要安全 不用手机才是王道

  38. 子夜
    @5 years ago
    2064514

    为了广告

  39. forvord
    @5 years ago
    2064584

    这个漏洞的影响其实不大,root了用LBE拦住就ok

  40. 节操
    @5 years ago
    2065092

    加快5.0发布进程

  41. yumeko
    @5 years ago
    2065100

    这个问题我试了试觉得其实很小题大做
    应用文件其实就是一个压缩包,把资源和字节码打包后,再用开发者的数字证书进行数字签名,签名文件也被放到压缩包里
    数字签名就是一个文件的唯一性描述,如果文件有改动,就和数字签名不符
    系统安装应用时要验证数字签名和文件是不是符合,如果是对已经安装的应用升级,还要核对是不是和已经安装的应用的签名符合,而playstore安装还要验证数字签名是不是开发者的签名,正常安装应用这一步无法绕开,任何一步异常就会终止安装
    但是,root后的设备还可以用其他的方式安装签名异常的应用,就是直接推到设备的system/app下面,这样就算数字签名和应用不符,也可以“安装”,但是这个安装并不是真正的安装
    应用的apk文件是一个压缩包我已经说过了,应用要正常执行,里面的字节码dex要解压出来放到cache里,这是安装过程的一步,对于直接推到system/app目录下的应用,会在下一次开机时进行这一步
    但是dex里也是包含一个校验的,而这个校验码很关键,这个校验码是会被系统记录的,如果dex进行了改动,造成校验失败,那么应用就无法执行,就是说应用安装之后,第三方应用即使不通过安装程序而直接去修改它,也会造成修改后的应用无法执行,而通过安装程序改变应用,要校验安装文件的数字签名,这对于第三方是不可能做到的(RSA加密,除非他有原始密钥否则攻破时间时天文数字),这保证了我们应用的安全性
    而对于跳过安装过程的应用,先不提他需要在root下才能更改系统目录,对很多设备来说还要重新挂载系统文件为可写,对于普通设备都是无法做到的,对root后的设备也有权限管理app来保证你的安全(但是风险依然存在)

  42. 小黄鸡
    @5 years ago
    2066046

    楼上太长了看不明白

  43. 芹泽多摩雄
    @5 years ago
    2074996

    塞班用户笑而不语

  44. 2144853

    签名只是对应用更新升级有校验,若完全是第一次安装,随意一个签名都可以安装上的。

发表评论


24H最赞