Was du wissen musst
- Der Sicherheitsforscher John Wu hat undokumentierte APIs gefunden, mit denen Apps mit Administratorrechten neue System-Apps auf dem Mate 30 installieren können.
- Die Berechtigungen werden von der "LZPlay" -App verwendet, um das Google-Framework und die Dienste zu installieren. Wu sagt jedoch, dass sie auch ein Sicherheitsrisiko darstellen.
- Laut Huawei wird das Mate 30 nicht mit GMS ausgeliefert und hat keine "Beteiligung" an LZPlay.
Kurz nach Veröffentlichung dieses Updates wurde die LZPlay-Website heruntergefahren und die App funktioniert nicht mehr. Mate 30-Geräte mit über LZPlay installierten Google Apps bestehen nicht mehr die CTS (Compatibility Testing Suite) von Google für DRM- und Google Pay-Support.
Das Mate 30 Pro ist das erste Huawei-Flaggschiff, das auf den Markt gebracht wurde, seit das chinesische Unternehmen in die Entity List der US-Regierung aufgenommen wurde. Dies bedeutet, dass es nicht mit Google Apps und -Diensten ausgeliefert werden kann. Kurz nach dem Start die App "Google Service Assistant" (auch bekannt als LZPlay, über die Website-URL)
wurde bekannt als einfache Möglichkeit, Google-Dienste auf dem Mate 30 wiederherzustellen. Doch wie genau es funktionierte, war erst bekannt, als der Entwickler und Android-Sicherheitsexperte John Wu in seinem Innenleben feststeckte.Verizon bietet das Pixel 4a für nur 10 US-Dollar pro Monat auf neuen Unlimited-Linien an
In einem heute veröffentlichten Stück am MittelLaut Wu verwendet die App für die Installation undokumentierte Huawei MDM-Berechtigungen (Mobile Device Management) Die wichtigsten Google-Komponenten und -Apps als System-Apps - eine ungewöhnliche Situation mit Auswirkungen auf das Gerät Sicherheit. Darüber hinaus behauptet Wus Forschung, dass der anonyme Entwickler von LZPlay eine Zertifizierung von Huawei erhalten hätte, um diese leistungsstarken undokumentierten Berechtigungen nutzen zu können. In einer Erklärung zu Android CentralHuawei hat jegliche Beteiligung an LZPlay bestritten.
Normalerweise können Sie keine neuen System-Apps installieren.
Der Hauptgrund, warum Sie Google Framework, GMS Core und die anderen Grundlagen von Google nicht einfach installieren können Dienste wie eine normale APK-Datei sind System-Apps und verwenden spezielle Berechtigungen, die für reguläre Benutzer nicht verfügbar sind Apps. System-Apps haben weitaus mehr Kontrolle über Ihr Telefon als eine App, die Sie aus dem Google Play Store herunterladen würden. Und obwohl System-Apps können Um mit neuen Versionen aktualisiert zu werden - zum Beispiel aus dem Play Store - müssen die Originale zuerst vom Hersteller des Telefons auf die Partition / system geladen werden. Aktualisierte Versionen von Apps müssen dann mit demselben Sicherheitsschlüssel wie die Originalversion signiert werden.
Die / system-Partition kann normalerweise nicht von Benutzern geändert werden, es sei denn, das Telefon ist verwurzelt. Daher können Android-Benutzer normalerweise keine neuen System-Apps installieren - was aus Sicherheitsgründen eine sehr gute Sache ist.
Da Huawei legal keine Geschäfte mit US-Unternehmen tätigen kann, kann es diese Apps nicht im Werk laden. Benutzer können Google-Dienste jedoch auch nicht direkt selbst installieren, da es sich um System-Apps handelt. (Und da Huawei seine Bootloader sperrt, kommt auch das Rooten nicht in Frage.)
Die Lösung für die Entwickler von LZPlay besteht darin, eine leistungsstarke, aber nicht dokumentierte Teilmenge des mobilen Geräts von Huawei zu verwenden Verwaltungs-APIs. MDM-APIs bieten eine enorme Kontrolle über das Gerät und werden häufig von Unternehmen zur Verwaltung verwendet firmeneigene Telefone.
Zwei leistungsstarke, undokumentierte Berechtigungen bilden das Herzstück von LZPlay
Die beiden von John Wu entdeckten undokumentierten MDM-Berechtigungen sind:
- com.huawei.permission.sec. MDM_INSTALL_SYS_APP
- com.huawei.permission.sec. MDM_INSTALL_UNDETACHABLE_APP
Auf die Gefahr hin, das Offensichtliche zu sagen: Ersteres ist eine Berechtigung zum Installieren von System-Apps, und letzteres ist eine Berechtigung zum Installieren einer App, die anschließend nicht deinstalliert werden kann. Beides ist selbst in der MDM-Welt ungewöhnlich und laut Wu ist keines von beiden derzeit in der offiziellen Dokumentation von Huawei enthalten.
Aber Moment mal - ist es nicht unmöglich, neue System-Apps zu installieren?
Wus Forschung zeigt, dass Apps wie LZPlay Apps nicht direkt auf der / system-Partition installieren, die schreibgeschützt ist, sondern denselben beschreibbaren Speicher wie jede andere App. Dank der MDM-Berechtigung "System-App installieren" "markiert" Android sie dann als System-Apps und erteilt ihnen die richtigen Berechtigungen zum Arbeiten. Und genau das passiert, wenn LZPlay die Kernkomponenten von Google von... wo immer es sie reißt.
Eine solche undokumentierte Erlaubnis ist sehr ungewöhnlich und bei Missbrauch möglicherweise gesundheitsschädlich. Benutzer müssen jedoch wählen um einer App Administratorrechte zu erteilen, bevor sie betroffen sein könnten. Darüber hinaus gibt es weitere Sicherheitsmaßnahmen, auf die wir in Kürze eingehen werden. Huawei fungiert als Gatekeeper für alle MDM-Berechtigungen. Wie Wu in seinem Artikel erklärt, werden die Originalversionen von System-Apps auf demselben beschreibbaren Speicher gespeichert Da andere Benutzer-Apps die Möglichkeit einer leichteren Manipulation eröffnen, wenn eine andere Sicherheitslücke besteht entdeckt. (Unwahrscheinlich, aber sicherlich nicht unmöglich.)
Wu durchsuchte die chinesische Dokumentation für das MDM SDK von Huawei nach weiteren Hinweisen. Um eine der MDM-APIs verwenden zu können, müssen Entwickler Vereinbarungen mit Huawei unterzeichnen, die Verwendung von MDM-Berechtigungen begründen und APK-Dateien zur Genehmigung einreichen. Nach der Genehmigung stellt Huawei laut Wu ein digitales Zertifikat zur Verfügung, das erforderlich ist, damit die Berechtigungen funktionieren.
Wer hinter LZPlay steht, scheint verzweifelt anonym zu bleiben
Und das macht die Situation mit LZPlay nur noch seltsamer. Undokumentierte MDM-Berechtigungen, mit denen neue System-Apps installiert werden können, sind sicherlich nicht normal, aber Gleichzeitig ist dies die einzige Möglichkeit für Benutzer, Google-Dienste auf einem nicht lizenzierten Telefon zu installieren. ohne vollständig Torpedieren der integrierten Sicherheit von Android. Noch bizarrer ist die Idee, dass der anonyme Entwickler von LZPlay den langwierigen MDM-API-Genehmigungsprozess durchläuft und den Segen von Huawei erhält.
Wu beschuldigt Huawei, sich LZPlay "bewusst" zu sein und seinen Fortbestand zuzulassen:
Zu diesem Zeitpunkt ist es ziemlich offensichtlich, dass Huawei diese "LZPlay" -App gut kennt, und ausdrücklich erlaubt seine Existenz. Der Entwickler dieser App muss sich dieser undokumentierten APIs irgendwie bewusst sein, die gesetzlichen Vereinbarungen unterzeichnen, mehrere Phasen der Überprüfung durchlaufen und die App schließlich von Huawei signieren lassen. Der einzige Zweck der App besteht darin, Google Services auf einem nicht lizenzierten Gerät zu installieren. Für mich klingt dies sehr lückenhaft, aber ich bin kein Anwalt, daher habe ich absolut keine Ahnung von der Rechtmäßigkeit.
Huawei hat jedoch jegliche Beteiligung an der App oder der Website abgelehnt. In einer Erklärung zu Android Centralsagte ein Huawei-Sprecher:
Die neueste Mate 30-Serie von Huawei ist nicht mit GMS vorinstalliert, und Huawei war nicht an www.lzplay.net beteiligt
Die potenzielle rechtliche Skizzierbarkeit, auf die sich Wu bezieht, ist vielleicht der Grund, warum es unmöglich ist, die Ursprünge von LZPlay zu verfolgen. Die App-Benutzeroberfläche bietet keine Informationen zu den Autoren. Die WHOIS-Informationen für die Domain beziehen sich lediglich auf die in China ansässige Cloud-Services-Abteilung von Alibaba. Der IP-Bereich der Server, auf denen sie gehostet wird, gehört demselben Unternehmen. Darüber hinaus gibt es weder auf der einseitigen Website selbst noch im HTML-, CSS- oder Javascript-Quellcode dieser Seite Hinweise. Die frühesten Verweise darauf, die wir online finden konnten, waren in Community-Posts auf der Huawei Club Forum Mitte Juli, bietet noch keine Informationen über seine Herkunft.
Und Wu sagt, die APK-Datei selbst sei ähnlich undurchsichtig:
Die "LZPay" (sic) App wird von QiHoo Jiagu (奇 虎 加固) verschleiert / verschlüsselt und ist für das Reverse Engineering nicht trivial.
(Anmerkung der Redaktion: QiHoo Jiagu ist ein in China ansässiges Unternehmen, das sich auf die Sicherheit mobiler Apps spezialisiert hat.)
Jemand hat Geld bezahlt, um diese App zu erstellen, konnte sie irgendwie zertifizieren lassen, dann hat er sich daran gemacht, seine professionell aussehende Website zu entwerfen und seine Dateien zu hosten, und möchte dennoch keine Gutschrift. Tatsächlich scheinen sie sich alle Mühe gegeben zu haben, völlig anonym zu bleiben.
Wus ursprüngliche Forschung ist eine Lektüre wert, wenn Sie die LZPlay-Methode verwenden möchten, um Google Apps auf einem Huawei-Telefon zu installieren. (Oder wenn Sie nur die verrückte Wissenschaft der Softwareentwicklung schätzen möchten, die erforderlich ist, damit all dies funktioniert.) Zwischen Aufgrund der Anonymität der App und der Leistungsfähigkeit der verwendeten Berechtigungen lohnt es sich auf jeden Fall, LZPlay kritisch zu betrachten Auge.
Dies sind die besten kabellosen Ohrhörer, die Sie zu jedem Preis kaufen können!
Die besten kabellosen Ohrhörer sind bequem, klingen großartig, kosten nicht zu viel und passen problemlos in eine Tasche.
Alles, was Sie über die PS5 wissen müssen: Erscheinungsdatum, Preis und mehr.
Sony hat offiziell bestätigt, dass es auf der PlayStation 5 funktioniert. Hier ist alles, was wir bisher darüber wissen.
Nokia bringt zwei neue preisgünstige Android One-Handys unter 200 US-Dollar auf den Markt.
Nokia 2.4 und Nokia 3.4 sind die neuesten Ergänzungen im Budget-Smartphone-Sortiment von HMD Global. Da es sich bei beiden Geräten um Android One-Geräte handelt, erhalten sie garantiert bis zu drei Jahre lang zwei wichtige Betriebssystemupdates und regelmäßige Sicherheitsupdates.
Sichern Sie Ihr Zuhause mit diesen SmartThings Türklingeln und Schlössern.
Eines der besten Dinge an SmartThings ist, dass Sie eine Reihe anderer Geräte von Drittanbietern auf Ihrem System verwenden können, einschließlich Türklingeln und Schlössern. Da sie alle im Wesentlichen dieselbe SmartThings-Unterstützung haben, haben wir uns darauf konzentriert, welche Geräte die besten Spezifikationen und Tricks haben, um das Hinzufügen zu Ihrem SmartThings-Arsenal zu rechtfertigen.