Como qualquer outro sistema operacional moderno, o design do Android emprega um modelo baseado em “privilégios”. Esse modelo é aplicado por certificados de plataforma digitais e pode se tornar bastante problemático quando os certificados são comprometidos de alguma forma.
O problema dos certificados de plataforma roubados
Um número indefinido de certificados digitais da plataforma para Android foi comprometido por cibercriminosos e tem sido usado para assinar malware. Divulgado pela primeira vez em novembro, o problema parece estar resolvido agora graças à revogação dos certificados acima mencionados, mas o risco ainda persiste, pois os invasores continuarão a perseguir esse tipo de acesso.
Conforme explicado originalmente na plataforma de rastreamento de bugs do Chromium, um certificado de plataforma é o certificado de assinatura do aplicativo usado para assinar o aplicativo “android” na imagem do sistema operacional.
O aplicativo “android” é executado com os privilégios de sistema mais altos, que concedem a ele permissões de “sistema” para acessar e modificar os dados do usuário.
Qualquer outro aplicativo assinado com esse tipo de certificado, alertaram os pesquisadores, pode rodar com o mesmo nível de acesso ao sistema operacional Android, dados e aplicativos.
O relatório do problema alertou que vários certificados de plataforma foram usados para assinar aplicativos maliciosos, com várias amostras de malware (e certificados comprometidos) listados com seus hashes SHA256 relacionados. Pelo menos quatro fabricantes OEM estiveram envolvidos no incidente, sendo dois deles LG e Samsung .
O Google informou todas as partes afetadas sobre os certificados roubados/comprometidos. De acordo com uma declaração da Samsung sobre o problema, não houve incidentes de segurança conhecidos relacionados a essa vulnerabilidade potencial – até o momento.
Os fabricantes reagiram rapidamente, lançando prontamente atualizações de segurança para suas edições personalizadas do Android assim que o Google relatou o comprometimento da chave.
Os certificados roubados agora são inválidos e não podem mais ser usados para assinar aplicativos de malware poderosos.
Garantir que os dispositivos móveis estejam executando a versão mais recente do Android é, de fato, a melhor prática de segurança que os usuários podem realizar para evitar esse tipo de risco, aconselhou o Google.
A gigante de Mountain View também sugeriu o melhor curso de ação para os fabricantes de smartphones, que deve minimizar o número de aplicativos assinados com seu certificado de plataforma.
Dessa forma, o custo de rotação das chaves criptográficas da plataforma será significativamente menor. Além disso, eles devem conduzir uma investigação interna para encontrar a causa raiz do problema e tomar medidas para evitar que o mesmo incidente ocorra no futuro.
De acordo com Zack Newman, pesquisador da Chainguard, empresa de segurança da cadeia de suprimentos de software, o desafio representado pelos certificados digitais roubados não é exclusivo do Android.
“A boa notícia”, disse Newman, é que os engenheiros e pesquisadores de segurança “fizeram progressos significativos na criação de soluções que impedem, detectam e permitem a recuperação desses ataques”.
Leia também: Android 13 chegou: o que há de novo e quando chegará a você