Samsung verlor schon vor Jahren wichtigen System-Key für Android

Die Herkunfts-Sicherheit von Android-Apps aus dem Hause Sam­sung lässt sich nicht mehr gewährleisten. Ein wichtiger kryp­to­gra­fi­scher Schlüs­sel ist verloren gegangen und wird in­zwi­schen auch ein­ge­setzt, um Mal­ware zu signieren. Über die fragliche Signatur können Android-Systeme eigentlich sicherstellen, dass etwa ein Update auch wirklich vom Entwickler der App stammt. Überdies gewährt Google bestimmten System-Apps mit entsprechenden Keys auch deutlich mehr Rechte an einer Android-Installation, als das bei herkömmlichen Store-Anwendungen der Fall ist. Und genau solch einen Schlüssel hat Samsung verloren.

Łukasz Siewierski, ein Mitglied des Android-Sicherheitsteams von Google, hat eine Reihe von Plattformzertifikatsschlüsseln veröffentlicht, die aktiv zum Signieren von Malware verwendet werden. Wenn man jeden einzelnen durch APKMirror oder die VirusTotal-Website Googles laufen lässt, um sie den jeweiligen Herstellern zuzuordnen, erhält man die Namen für einige der kompromittierten Schlüssel: Samsung, LG und Mediatek, wie Ars Technica berichtet.

Leak schon lange bekannt

Das Keys an Unbefugte leaken, kommt durchaus vor. Allerdings handelt es sich hier eben nicht einfach nur um herkömmliche Schlüssel für Herkunfts-Signaturen, sondern es sind eben weitgehende Systemrechte mit ihnen verbunden. Zwar verfügt eine entsprechend signierte Software noch nicht über root-Rechte, kommt dem allerdings bereits recht nahe. Insbesondere ist es solchen Anwendungen möglich, ihre Sandbox zu überwinden und auf das gesamte System Einfluss zu nehmen.

Insofern ist das Abhandenkommen eines Keys bei allen Herstellern ein echtes Problem. Bei Samsung gilt dies allerdings noch einmal mehr, da es sich hier um einen der größten Anbieter von Android-Produkten überhaupt handelt. Zumal Samsung offensichtlich seit längerer Zeit nicht auf den Leak reagiert: Einige Malware-Samples, die mit dem Schlüssel unterzeichnet sind, reichen bis ins Jahr 2016 zurück. Seitdem wurde seitens des Herstellers allerdings nicht auf einen neuen Key umgestellt, es finden sich völlig frische Updates, die mit dem Key unterzeichnet sind.

Siehe auch: