פרצת אבטחה באנדרואיד מאפשרת לשנות יישומים מבלי לשנות את החתימה הדיגיטלית המוצפנת שלהם

פרצת אבטחה שקיימת באנדרואיד (Android) מזה ארבע שנים מאפשרת להאקרים לחדור לכל יישום חוקי וחתום דיגיטלית במטרה לשנותו לתוכנית טרויאנית, שיכולה לשמש לגניבת נתונים או להשתלטות על מערכת ההפעלה – כך גילו באחרונה חוקרים מ-Bluebox, סטארט-אפ מסן פרנסיסקו, אשר יציגו את הגילוי בוועידת אבטחה שתיערך בסוף החודש בלאס וגאס. הפרצה נובעת מחוסר עקביות בדרך שבה יישומי אנדרואיד מוצפנים ומאושרים, ומאפשרת לתוקף לשנות את חבילת ההתקנה של היישום מבלי לשנות את חתימת ההצפנה.

כאשר משתמש מתקין יישום כלשהו, מערכת האנדרואיד רושמת את החתימה האלקטרונית שלו, וכל העדכונים של יישום זה שמותקנים בהמשך צריכים להתאים לחתימה האלקטרונית המקורית של היישום, במטרה לאמת שהם מגיעים מאותו מחבר. דבר זה מבטיח שגישה למידע רגיש המאוחסן ביישום בגרסאות חדשות שלו, מתאפשרת רק לאחר אימות עם החתימה האלקטרונית המקורית של היישום.

לדברי החוקרים, פרצה זו קיימת כבר מגרסה 1.6 של פלטפורמת האנדרואיד (Donut). משמעות הדבר היא שהפרצה השפיעה על מכשירי האנדרואיד שיוצרו במהלך ארבע השנים האחרונות. "האקר יכול לנצל את הפרצה הזאת לכל דבר", כתבו החוקרים בבלוג שלהם, "החל מגניבת נתונים ועד יצירת בוטנט סלולרי".

הפרצה הזאת יכולה לשמש את ההאקרים גם להשתלטות על המכשיר, לדברי החוקרים, בעזרת שינוי והפצה של יישום שפותח במקור על ידי יצרן המכשיר וחתום דיגיטלית בפלטפורמת מערכת ההפעלה – חתימת החומרה של כל יצרני המכשירים. הפורצים יכולים להשתמש בשיטות שונות להפיץ יישומים טרויאניים מעין אלה, כמו אי-מיילים ובעיקר חנויות יישומים מצד שלישי, שבאמצעותן כבר הצליחו פעמים רבות להפיץ תוכנות זדוניות לאנדרואיד.

החוקרים מרגיעים גם את המשתמשים, ואומרים כי הפצת התוכנות הזדוניות באמצעות החנות של גוגל (Google) היא בלתי אפשרית. זאת, משום שענקית האינטרנט עדכנה את תהליך הכניסה לחנות היישומים שלה במטרה לחסום יישומים שמכילים את תוכנות זדוניות אלה. לפי מידע שקיבלה Bluebox מגוגל, כרגע אין בחנות של האחרונה שום יישום המכיל את התוכנה הזדונית.