Co potřebuješ vědět
- Výzkumník zabezpečení John Wu našel nedokumentované API, které umožňují aplikacím s oprávněními správce instalovat nové systémové aplikace na Mate 30.
- Oprávnění používá aplikace „LZPlay“ k instalaci rámce a služeb Google, ale Wu říká, že jsou také bezpečnostním rizikem.
- Huawei říká, že Mate 30 není dodáván s GMS a že není „zapojen“ do LZPlay.
Krátce po vydání této aktualizace byl web LZPlay odstraněn a aplikace již nefunguje. Zařízení Mate 30 s aplikacemi Google nainstalovanými z LZPlay již neprojdou CTS (sada pro testování kompatibility) Google pro věci, jako je podpora DRM a Google Pay.
Mate 30 Pro je první vlajkovou lodí společnosti Huawei, která byla uvedena na trh od doby, kdy byla čínská společnost přidána do seznamu entit vlády USA, což znamená, že není schopna dodávat s aplikacemi a službami Google. Krátce po spuštění aplikace „Google Service Assistant“ (aka LZPlay, z adresy URL jejího webu) stal se dobře známým jako jednoduchý způsob obnovení služeb Google na Mate 30. Přesně to, jak to fungovalo, nebylo známo, dokud vývojář a odborník na zabezpečení Androidu John Wu neuvízli ve svých vnitřních funkcích.
Verizon nabízí Pixel 4a za pouhých 10 $ / měsíc na nových linkách Unlimited
V dnešním díle Střední„Wu říká, že aplikace k instalaci používá nezdokumentovaná oprávnění Huawei MDM (správa mobilních zařízení) klíčové komponenty a aplikace Google jako systémové aplikace - neobvyklá situace s důsledky pro zařízení bezpečnostní. Výzkum společnosti Wu navíc tvrdí, že aby mohl anonymní vývojář LZPlay používat tato mocná nezdokumentovaná oprávnění, musel by obdržet certifikaci od společnosti Huawei. V prohlášení pro Android Central, Huawei popřel jakékoli zapojení do LZPlay.
Za normálních okolností nemůžete instalovat nové systémové aplikace.
Hlavním důvodem, proč nemůžete jednoduše nainstalovat Google Framework, GMS Core a další základy Google služby jako normální soubor APK je proto, že jsou to systémové aplikace a používají speciální oprávnění, která nejsou běžným uživatelům k dispozici aplikace. Systémové aplikace mohou mít nad vaším telefonem mnohem větší kontrolu než aplikace stažená z obchodu Google Play. A ačkoli systémové aplikace umět být aktualizovány novými verzemi - například z Obchodu Play - originály musí nejprve načíst na systémový oddíl výrobce telefonu. Aktualizované verze aplikací musí být poté podepsány stejným bezpečnostním klíčem jako původní verze.
Oddíl / system obvykle uživatelé nemohou změnit, pokud to není telefon zakořeněné. Uživatelé systému Android proto obvykle nemohou instalovat nové systémové aplikace - což je z bezpečnostních důvodů velmi dobrá věc.
Vzhledem k tomu, že Huawei nemůže legálně obchodovat s americkými společnostmi, nemůže tyto aplikace načítat z výroby. Uživatelé však také nemohou přímo instalovat služby Google sami, protože jsou to systémové aplikace. (A protože Huawei uzamkne své bootloadery, rootování také nepřichází v úvahu.)
Řešením pro tvůrce (tvůrce) LZPlay je použití výkonné, ale nezdokumentované podmnožiny mobilních zařízení Huawei Management API. Rozhraní MDM API poskytují obrovské množství kontroly nad zařízením a jsou často používána firmami ke správě firemní telefony.
V srdci LZPlay leží dvě výkonná, nezdokumentovaná oprávnění
Dvě nezdokumentovaná oprávnění MDM objevená Johnem Wu jsou:
- com.huawei.permission.sec. MDM_INSTALL_SYS_APP
- com.huawei.permission.sec. MDM_INSTALL_UNDETACHABLE_APP
Riziko uvedení zřejmého: První z nich je oprávnění k instalaci systémových aplikací a druhé je oprávnění k instalaci aplikace, kterou nelze následně odinstalovat. Oba jsou neobvyklé i ve světě MDM a podle Wu ani jeden z nich v současné době není uveden v oficiální dokumentaci společnosti Huawei.
Počkejte však minutu - není možné instalovat nové systémové aplikace?
Výzkum Wu ukazuje, že aplikace jako LZPlay neinstalují aplikace přímo do / systémového oddílu, který je jen pro čtení, ale má stejné zapisovatelné úložiště jako jakákoli jiná aplikace. Díky povolení MDM „nainstalovat systémovou aplikaci“ je Android poté „označí“ jako systémové aplikace a udělí jim správná oprávnění k práci. A to se děje, když LZPlay stáhne základní komponenty Google z... ať je to odkudkoli.
Takové nezdokumentované povolení je velmi neobvyklé a v případě zneužití potenciálně špatné pro bezpečnost. Uživatelé to však musí Vybrat udělit oprávnění správce aplikace dříve, než by mohla být ovlivněna. A jsou zavedena další bezpečnostní opatření, ke kterým se brzy dostaneme, přičemž Huawei bude fungovat jako strážce všech jeho různých oprávnění MDM. Přesto, jak Wu vysvětluje ve svém článku, ukládání původních verzí systémových aplikací na stejné zapisovatelné úložiště protože jiné uživatelské aplikace otevírají možnost snadnější manipulace, pokud existuje nějaká jiná chyba zabezpečení objevil. (Nepravděpodobné, ale určitě ne nemožné.)
Wu prozkoumala čínskou dokumentaci k MDM SDK společnosti Huawei a získala další vodítka. Říká, že aby vývojáři mohli používat některá z MDM API, musí podepsat smlouvy s Huawei, zdůvodnit jejich použití MDM oprávnění a odeslat soubory APK ke schválení. Po schválení, říká Wu, Huawei poskytuje digitální certifikát nezbytný pro fungování oprávnění.
Kdokoli je za LZPlay, se zdá být zoufalý, aby zůstal v anonymitě
A tím je situace s LZPlay ještě zvláštnější. Mít nezdokumentovaná oprávnění MDM, která mohou instalovat nové systémové aplikace, rozhodně není normální, ale zároveň je to jediný způsob, jak si uživatelé mohou instalovat služby Google do telefonu bez licence, bez zcela torpédování vestavěného zabezpečení systému Android. Myšlenka anonymního vývojáře LZPlay, který prochází zdlouhavým schvalovacím procesem MDM API a získá požehnání společnosti Huawei, je ještě bizarnější.
Wu obviňuje společnost Huawei z toho, že si je „dobře vědoma“ LZPlay a že umožňuje její další existenci:
V tomto okamžiku je zcela zřejmé, že Huawei si je dobře vědoma této aplikace „LZPlay“ a výslovně umožňuje jeho existenci. Vývojář této aplikace musí nějakým způsobem znát tato nedokumentovaná rozhraní API, podepsat právní dohody, projít několika fázemi kontrol a nakonec nechat aplikaci podepsat společností Huawei. Jediným účelem aplikace je instalace služeb Google na zařízení bez licence a to mi připadá velmi útržkovité, ale nejsem žádný právník, takže absolutně netuším o jeho zákonnosti.
Společnost Huawei však popřela jakékoli zapojení do aplikace nebo webu. V prohlášení pro Android Central, mluvčí Huawei řekl:
Nejnovější řada Mate 30 od společnosti Huawei není předinstalována se systémem GMS a společnost Huawei se nijak nezúčastňuje www.lzplay.net
Potenciální právní nápaditost, na kterou se Wu odvolává, je možná důvod, proč je nemožné vysledovat původ LZPlay. Uživatelské rozhraní aplikace nenabízí žádné informace o autorech. Informace WHOIS pro doménu odkazují pouze na čínskou divizi cloudových služeb Alibaba s rozsahem IP serverů, na nichž je hostitelem, vlastněná stejnou společností. A co víc, na samotném jednostránkovém webu ani ve zdrojovém kódu HTML, CSS nebo Javascript této stránky nejsou žádné stopy. Nejstarší odkazy na něj, které jsme mohli najít online, byly v příspěvcích komunity na webu Huawei Club kolem poloviny července, stále nenabízí žádné informace o jeho původu.
A Wu říká, že samotný soubor APK je podobně neprůhledný:
Aplikace „LZPay“ (sic) je zmatená / zašifrovaná QiHoo Jiagu (奇 虎 加固) a není triviální pro zpětnou analýzu.
(Poznámka: QiHoo Jiagu je čínská firma specializující se na zabezpečení mobilních aplikací)
Někdo zaplatil peníze za vytvoření této aplikace, nějak se mu podařilo získat její certifikaci, poté se rozhodl navrhnout její profesionálně vypadající web a hostovat její soubory, a přesto nechce žádný kredit. Ve skutečnosti se zdá, že se dostali z cesty, aby zůstali zcela anonymní.
Wuův původní výzkum stojí za přečtení, pokud uvažujete o použití metody LZPlay k instalaci aplikací Google na telefon Huawei. (Nebo pokud chcete ocenit šílenou vědu o softwarovém inženýrství, která je nutná k tomu, aby celá tato práce fungovala.) Mezi anonymita aplikace a síla oprávnění, která používá, rozhodně stojí za to podívat se na LZPlay s kritikou oko.
Jedná se o nejlepší bezdrátová sluchátka, která si můžete koupit za každou cenu!
Nejlepší bezdrátová sluchátka jsou pohodlná, skvěle zní, nestojí příliš mnoho a snadno se vejdou do kapsy.
Vše, co potřebujete o PS5 vědět: Datum vydání, cena a další.
Společnost Sony oficiálně potvrdila, že pracuje na PlayStation 5. Tady je vše, co o tom zatím víme.
Nokia uvádí na trh dva nové levné telefony Android One s cenou do 200 $.
Nokia 2.4 a Nokia 3.4 jsou nejnovější přírůstky do řady levných smartphonů HMD Global. Jelikož jsou obě zařízení Android One, je zaručeno, že budou dostávat dvě hlavní aktualizace operačního systému a pravidelné aktualizace zabezpečení až na tři roky.
Zabezpečte si svůj domov pomocí těchto zvonků a zámků SmartThings.
Jednou z nejlepších věcí na SmartThings je to, že ve svém systému můžete použít spoustu dalších zařízení třetích stran, včetně zvonků a zámků. Vzhledem k tomu, že všichni v zásadě sdílejí stejnou podporu SmartThings, zaměřili jsme se na to, která zařízení mají nejlepší specifikace a triky, aby bylo možné je přidat do vašeho arzenálu SmartThings.