Telefoonmakers zoals Samsung en LG gebruiken platformcertificaten om te bewijzen dat hun toepassingen veilig en en uit hun koker komen. Het is natuurlijk link als die certificaten gestolen worden en dat schijnt gebeurd te zijn met de certificaten van, onder meer, Samsung en LG. Het gaat dan om toepassingen voor Androidtelefoons.

Google heeft Android ontwikkeld, maar het is een open systeem waar ook makers van telefoons en toepassingen stukjes aanbreien. Het besturingssysteem moet niet alleen veilig (zo veilig mogelijk zijn), maar ook de stukjes en de toepassingen die eraan gebreid worden. Google heeft afgelopen donderdag bekend gemaakt dat een aantal digitale certificaten die moeten getuigen van een de identiteit van een toegestane ontwikkelaar is gestolen. Die zouden zelfs al zijn gebruikt (misbruikt) om toepassingen een vals ‘stempel’ van authenticiteit mee te geven.

Zoals alle besturingssystemen maakt ook Android gebruikt van een privilegemodel. Dat geeft toepassingen van derden de mogelijkheid hun producten voor die besturingssystemen (wettelijk) te verkopen en geen stiekeme dingen doet, zoals het verzamelen van je toegangscodes. Je kunt je makkelijk voorstellen dat die certificaten een puike buit vormen voor criminele e-krakers.

Google Play

Volgens Google zouden er (nog?) geen bewijzen zijn dat er misdaadwaar in de de winkel van Google (Google Play) is terechtgekomen. De diefstal van de certificaten werd vooraf bekend gemaakt via de interne communicatielijnen van Google en Androidpartners.

“De aanval is nogal heftig”, zegt Zack Newman van het digitale-beveiligingsbedrijf Chainguard dat de diefstal analyseerde. “We hadden geluk dat de producenten de betreffende sleutel sgauw uit de roulatie konden nemen door de boel direct bij te werken.”

Bron: Wired