Androidアプリインストール時のデジタル証明書を模倣して正規アプリとして騙す「fake ID」という重大なバグが発見・発表される。 - アンドロイドラバー

企業向けのモバイルセキュリティサービスを提供する企業であるBlueBoxが、Androidのアプリインストール時の新たなセキュリティ上の欠陥を発見し、その欠陥の詳細が発表されました。 今回発見された欠陥は、「fake ID」と名づけられています。 fake IDはAndroidアプリをインストールする際に、悪意のあるアプリにもかかわらず正規の信頼できるアプリとして偽装してインストールさせるというものです。 今回の欠陥は、Androidのパッケージインストーラがデジタル証明書を検証する方法に起因します。 デジタル証明書は、基本的にはその発行元を検証しアプリに署名します。 問題は、Androidがインストールされるアプリが正当なものかどうかを発行元に確認していないことです。 悪意のあるアプリはAndroidがアプリ発行元にアプリの正当性を確認しないことを利用して、正規のアプリの証明書を模倣する