Labs」は、2014年7月29日(米国時間)、不正アプリを正規アプリに偽装する可能性のある脆弱性を発見したことを報告しました。ID」と呼ばれるこの脆弱性は、アプリが正規のものであることを証明するための証明書の確認に関係しています。Android端末に影響を与えることです。Android端末用アプリは、公開リリース前に「署名」されることが必要です。アプリに「署名」するためには、証明書を使用します。SSL証明と同様、Android端末用アプリの証明書は、信頼された認証機関が発行します。アプリを識別するための「パッケージ署名」として使用されます。この署名により、アプリをリリースした後の修正の整合性を保証し、攻撃者からの偽の修正プログラムによる改ざんを防ぎます。これらの署名をどう割り当てるのでしょうか。Android端末にインストールされたすべてのアプリには、アプリのすべての情報を集めた「PackageInfo」と呼ばれるクラスが作成されます。「PackageInfo」には、「signatures」と呼ばれるプロパティが含まれており、アプリに重要な役割を担っています。同じ「signatures」を持っていた場合、アプリの更新パッケージとして別のアプリが認識されたり、2つのアプリが同じ仕組みを持っているものとして、情報を相互に共有することが可能になります。そのアプリに特権を与えるかどうかを決定できる特別な場合がいくつかあります。2つの例で示しました。(NFC)」に関連するファイルを指定した署名を持つ支払関連のアプリです。「セキュア・エレメント(SE)」を搭載したモバイル端末へのアクセスが可能でした。プラグインとして機能するアプリです。署名を持っていました。プラットフォームは、そのアプリの証明書ファイルを使用して、証明書チェーンを作成し、「PackageInfo」の「signatures」を作成します。証明書チェーンの信頼性を検証せず、署名証明書の「保有者(Subject)」と「発行機関(Issuer)」の一致を確認するだけに留まります。平文の文字列タイプとなっており、不正なユーザはこれらの情報を簡単に偽造できます。■脆弱性を利用した攻撃この脆弱性は、アプリの「信頼性」に関係しているため、サイバー犯罪者は、不正なアプリを作成して、疑いを持たれずに個人情報にアクセスすることが可能になります。Wallet」が使用されます。アカウント情報を収集し、指定された支払先アカウントを変更して、ユーザから金銭を窃取できるようになります。プラグインに関連するパーミッションと必要な署名を不正なアプリが持っていた場合、アプリはその特権を悪用することができます。プラグインのプロセスとして自動的に実行されます。使用するアプリ内で、コンポーネントプロセスとして働くため、アプリの情報をほぼ完全に管理できます。ユーザの個人情報や銀行口座、Eメールの詳細情報など、関連するすべての情報にアクセスして送出し、改ざんすることが可能になります。Android端末がこの脆弱性の影響を受けます。ID」の影響を受けるプラットフォームが搭載されています。影響を受けるAndroidのユーザ数は、昨年確認された脆弱性「マスターキー」に影響を受けたユーザ数に匹敵します。この脆弱性に対する更新プログラムをすでに公開しています。Android端末が直ちにこの脆弱性から保護されるわけではありません。Android端末のバージョンを更新して下さい。次のように発表しています。検証したアプリの中で(中略)この脆弱性を利用した攻撃があった証拠は見つかっていません」トレンドマイクロでは、ユーザを保護するために、この脆弱性を利用した可能性のある脅威や攻撃を監視しています。Security」により守られています。この脆弱性を利用したアプリは、「ANDROIDOS_FAKEID.A」として検出されます。