ปรึกษาเรื่อง การใช้ SHA512 ของ certificate ควบคู่กับการเช็ค package name

[NP-chaonay]

สืบเนื่องจาก กรณีตัวอย่างต่อไปนี้ (เลขตามขั้นตอน)

1. มิจทรายยี่ห้อ >>> เลยทราบว่าไม่มีแอปฯ app store ไหนอยู่ในเครื่องฯ
2. มิจส่งแอปปลอม ที่ package name เหมือนกันกับแอป app store ของจริงดังกล่าวที่ไม่อยู่ในเครื่องฯ
3. เมื่อเหยื่อติดตั้ง... แอปฯจะมี InstallerInfo เป็น "ติดตั้งโดย package installer ของ OS"
4. แอปมิจขอทำการ session install (กล่าวคือแอปฯมิจ สามารถติดตั้งแอปใด ๆ แล้วข้อมูลผู้ติดตั้งของแอปใหม่นั้น เป็นแอปมิจตัวนั้นที่ทำการติดตั้งได้)
   .
   โดยเป็นการติดตั้งตัวมันเอง แต่ version ใหม่
   .
   ทำให้ตัวมันเองมีสถานะเป็น "ติดตั้งโดยตัวมันเอง" ประกอบกับ package name ที่ปลอมมา ทำให้ใช้หลอกแอปรวมมิจได้

เบื้องต้น ผมจึงมีข้อเสนอแนะคือ

1. by default., ไม่เช็ค cert signature (sha512 ของ cert ที่ใข้ sign apk)
2. หากตั้งเปิด, ตอนแรกจะเทียบจาก package name เป็นหลัก แต่หากทำการเทียบ cert sign แล้วไม่ตรงกัน ให้แสดงว่า possiblely fake intent (มีเจตนาปลอมแปลง) แล้วขึ้นรูปสีแดง

ปัญหาจากข้อเสนอนี้

• ต้องรวบรวม signature
• อาจจะเลี่ยงใช้ digest algorithm อื่น ในกรณีที่ข้อมูล signature ส่วนมากที่โผล่บนเว็บสาธารณะ, ใช้ algorithm อื่นกัน

[akexorcist]

ระหว่างที่ไปลองทำดูผมพบว่า installer มีโอกาสที่จะมี sha ต่างกัน อย่างเช่นที่ไปเจอมาคือ android กับ com.android.vending

1. OPPO กับ Samsung ที่ผมใช้เทส ได้ SHA เหมือนกัน
2. Android Emulator กับ LG Nexus 5X ได้ SHA คนละชุดกับข้อ 1

ถ้าแบบนี้มีโอกาสที่มันจะผิดพลาดค่อนข้างสูงอยู่ เพราะเราไม่มีข้อมูลของเครื่องผู้ใช้ทั้งหมด และอาจจะไปแจ้งผู้ใช้ว่าแอปไม่ปลอดภัยก็เป็นได้

เท่าที่คิดออกในตอนนี้ก็คือถ้าเป็น system app เราจะ skip เรื่อง sha ไป แต่ถ้าเป็น non-system app ก็ค่อย verify sha เพิ่มก็ได้ครับ วิธีนี้ช่วยลดความผิดพลาดให้น้อยลงได้อยู่