Tags:
Node Thumbnail

ทีมความปลอดภัยของ Android แจ้งเตือนว่ามีกุญแจเข้ารหัสของผู้ผลิตฮาร์ดแวร์ OEM หลายรายหลุดออกสู่สาธารณะ ทำให้แฮ็กเกอร์สามารถใช้กุญแจเหล่านี้ sign แอพประสงค์ร้ายให้ดูน่าเชื่อถือได้

เว็บไซต์ Ars Technica ลองตรวจสอบรายชื่อกุญแจที่หลุดออกมา พบว่าเป็นของ Samsung, LG, MediaTek รวมถึงผู้ผลิตฮาร์ดแวร์รายย่อยๆ เช่น Revoview, Szroco

กุญแจของผู้ผลิตฮาร์ดแวร์ OEM เหล่านี้ แตกต่างจากกุญแจของนักพัฒนาแอพทั่วไป เพราะแอพที่ sign ด้วยกุญแจของ OEM จะถูกนำไปรวมใน system image ของระบบ มีสิทธิเข้าถึงระบบมากกว่าแอพที่ติดตั้งผ่าน Play Store ซึ่งแปลว่าแฮ็กเกอร์สามารถสร้างแอพประสงค์ที่เข้าถึงสิทธิต่างๆ ระบบได้มากขึ้น

ทีมความปลอดภัยของกูเกิลแนะนำให้ผู้ผลิตฮาร์ดแวร์ OEM เปลี่ยนชุดกุญแจเหล่านี้ (key rotation) และตรวจสอบว่ากุญแจหลุดไปได้อย่างไร

No Description

ภาพจาก Pexels

ที่มา - Chromium Issue Tracker, Ars Technica

Get latest news from Blognone

Comments

By: Higps
iPhoneWindows
on 5 December 2022 - 20:16 #1271178

ยังงงๆ กับการแนะนำการแก้ปัญหา
กุญแจเข้ารหัสของผู้ผลิตฮาร์ดแวร์ น่าจะมีคู่กุญแจใน Firmware ของเครื่อง หมายความว่า ถ้าผู้ผลิตเปลี่ยนรหัสกุญแจ ต้อง update firmware หรือเปล่านะ หรือเค้าจะใช้วิธีอื่น

By: aomnaruk
ContributorAndroidUbuntuWindows
on 5 December 2022 - 20:24 #1271179 Reply to:1271178

ถ้าที่หลุดมาเป็นแค่ derive key อันนี้ไม่ยากก็แค่ revoke ตัวที่หลุดออกมาแล้วก็ gen key ใหม่มาใช้งานได้เลยแต่ถ้าที่หลุดเป็นตัว master key หละก็งานหยาบแน่นอน


"Those who make peaceful revolution impossible will make violent revolution inevitable." JFK.

By: rattananen
AndroidWindows
on 6 December 2022 - 10:24 #1271193 Reply to:1271178
  • กุญแจนี้น่าจะเก็บเป็น file ธรรมดาครับ .crt .pem
  • ตัว OS น่าจะมี API rotate key ให้อยู่แล้ว
  • key ที่เก็บใน OS น่ะ น่าจะเป็น public key (decode ได้อย่างเดียว) แต่ที่หลุดคือ private key (decode /encode ได้)
By: nununu
Windows Phone
on 6 December 2022 - 09:55 #1271192

หลุดจากบริษัทระดับ Samsung, LG, MediaTek พร้อม ๆ กัน ไม่น่าจะโดนเจาะแต่ละที่แยกกันรึเปล่านะ
แล้วจะมีที่ไหนที่ hacker เจาะทีเดียวแล้วได้ key หลายบริษัทเยอะขนาดนี้