Članak

Moćni skriveni API-ji u Huawei Mate 30 omogućuju instalaciju Googleove aplikacije

protection click fraud
Googleove aplikacije na Mateu 30

Što trebaš znati

  • Istraživač sigurnosti John Wu pronašao je nedokumentirane API-je koji aplikacijama s administratorskim privilegijama omogućuju instaliranje novih sistemskih aplikacija na Mate 30.
  • Aplikacija "LZPlay" dopuštenja koristi za instaliranje Googleova okvira i usluga, ali Wu kaže da su i sigurnosni rizik.
  • Huawei kaže da se Mate 30 ne isporučuje s GMS-om i da nema "nikakve veze" s LZPlayom.

Ubrzo nakon objavljivanja ovog ažuriranja, web mjesto LZPlay uklonjeno je i aplikacija više ne radi. Uređaji Mate 30 s Googleovim aplikacijama instaliranim iz LZPlay-a više ne prolaze Googleov CTS (paket za testiranje kompatibilnosti) za stvari poput podrške za DRM i Google Pay.

Mate 30 Pro prvi je Huawei vodeći model koji je lansiran otkako je kineska tvrtka dodana na popis entiteta američke vlade, što znači da se ne može isporučivati ​​s Googleovim aplikacijama i uslugama. Ubrzo nakon pokretanja, aplikacija "Google Service Assistant" (aka LZPlay, s URL-a web mjesta) postala dobro poznata kao jednostavan način za vraćanje Googleovih usluga na Mate 30. Ipak, točno kako je to funkcioniralo nije bilo poznato dok programer i sigurnosni stručnjak za Android John Wu nije zapeo u svom unutarnjem radu.

Verizon nudi Pixel 4a za samo 10 USD mjesečno na novim Neograničenim linijama

U djelu objavljenom danas Srednji, Wu kaže da aplikacija koristi nedokumentovana dopuštenja Huawei MDM (upravljanje mobilnim uređajima) kako bi se instalirala ključne Googleove komponente i aplikacije kao sistemske aplikacije - neobična situacija s implikacijama na uređaj sigurnost. Štoviše, Wuovo istraživanje tvrdi da bi anonimni programer LZPlay za korištenje ovih moćnih nedokumentiranih dozvola trebao dobiti certifikat od Huaweija. U izjavi za Android Central, Huawei je porekao bilo kakvu povezanost s LZPlayom.

Obično ne možete instalirati nove sistemske aplikacije.

Glavni razlog zašto ne možete jednostavno instalirati Google Framework, GMS Core i ostale Googleove podloge usluge poput uobičajene APK datoteke su zato što su sistemske aplikacije i koriste posebna dopuštenja koja nisu dostupna redovnim aplikacijama aplikacije. Sistemske aplikacije mogu imati puno veću kontrolu nad vašim telefonom od aplikacije koju biste preuzeli iz trgovine Google Play. I premda sistemske aplikacije limenka biti ažuriran s novim verzijama - na primjer iz Trgovine Play - proizvođač telefona prvo mora učitati originale na particiju / system. Tada ažurirane verzije aplikacija moraju biti potpisane istim sigurnosnim ključem kao i izvorna verzija.

Korisnici particije / sustava obično ne mogu mijenjati ako to nije telefon ukorijenjen. Kao takvi, korisnici Androida obično ne mogu instalirati nove sistemske aplikacije - što je iz sigurnosnih razloga vrlo dobra stvar.

Budući da Huawei ne može legalno poslovati s američkim tvrtkama, te aplikacije ne može učitati u tvornici. Ipak, korisnici također ne mogu sami izravno instalirati Googleove usluge, jer su to sistemske aplikacije. (A budući da Huawei zaključava svoje bootloadere, rutiranje također ne dolazi u obzir.)

Rješenje je za tvorce LZPlay-a korištenje moćne, ali nedokumentirane podskupine Huaweijevih mobilnih uređaja API-ji za upravljanje. MDM API-ji daju ogromnu kontrolu nad uređajem, a tvrtke ih često koriste za upravljanje telefoni u vlasništvu tvrtke.

Dvije snažne dozvole bez dokumenata leže u središtu LZPlay-a

Dvije nedokumentirane MDM dozvole koje je otkrio John Wu su:

  • com.huawei.permission.sec. MDM_INSTALL_SYS_APP
  • com.huawei.permission.sec. MDM_INSTALL_UNDETACHABLE_APP

Rizikujući navođenje očitog: prvo je dopuštenje za instaliranje sistemskih aplikacija, a drugo je dopuštenje za instaliranje aplikacije koje se naknadno ne može deinstalirati. Obje su neobične čak i u svijetu MDM-a, a prema Wuu, niti jedna od njih trenutno se nalazi u službenoj dokumentaciji Huaweija.

Ali pričekajte trenutak - nije li nemoguće instalirati nove sistemske aplikacije?

Wuovo istraživanje pokazuje da aplikacije poput LZPlay ne instaliraju aplikacije izravno na particiju / system koja je samo za čitanje, ali na istu pohranu kao i bilo koja druga aplikacija. Zahvaljujući MDM dozvoli za "instalaciju sistemske aplikacije", Android ih tada "označava" kao sistemske aplikacije, dajući im ispravna dopuštenja za rad. I to se događa kada LZPlay preuzima Googleove ključne komponente s... odakle god ih trgne.

Takvo nedokumentirano dopuštenje vrlo je neobično i, ako se zlostavlja, potencijalno je loše za sigurnost. Korisnici, međutim, moraju izabrati kako bi dao dozvole administratoru aplikacije prije nego što na njih to može utjecati. Postoje i druge sigurnosne mjere na koje ćemo uskoro doći, a Huawei će biti vratar za sva svoja različita MDM dopuštenja. Ipak, kao što Wu objašnjava u svom članku, pohranjivanje izvornih verzija sistemskih aplikacija na istoj zapisljivoj pohrani kao i druge korisničke aplikacije otvara mogućnost lakšeg neovlaštenog korištenja ako postoji neka druga sigurnosna ranjivost otkrio. (Malo vjerojatno, ali sigurno nije nemoguće.)

Wu je pročešljao kinesku dokumentaciju za Huaweijev MDM SDK za više tragova. Kaže da za korištenje bilo kojeg MDM API-ja programeri moraju potpisati ugovore s Huaweijem, opravdati upotrebu MDM dozvola i poslati APK datoteke na odobrenje. Nakon odobrenja, kaže Wu, Huawei pruža digitalni certifikat potreban za rad dozvola.

Pristup administratora uređaja Huawei

Tko god stoji iza LZPlay-a, čini se da očajnički želi ostati anoniman

A to samo čini situaciju s LZPlayom još čudnijom. Imati nedokumentirana MDM dopuštenja koja mogu instalirati nove sistemske aplikacije sigurno nije normalno, ali ujedno je to jedini način na koji su korisnici mogli instalirati Googleove usluge na nelicencirani telefon, bez potpuno torpedirajući ugrađenu sigurnost Androida. Ipak, ideja da anonimni programer LZPlay-a prođe dugotrajan postupak odobravanja MDM API-ja i stekne Huaweijev blagoslov još je bizarnija.

Wu optužuje Huawei da je "dobro svjestan" LZPlay-a i da dopušta njegovo daljnje postojanje:

U ovom je trenutku prilično očito da je Huawei dobro upoznat s ovom aplikacijom "LZPlay" i eksplicitno dopušta njegovo postojanje. Razvojni programer ove aplikacije mora nekako biti svjestan ovih API-ja bez dokumenata, potpisati pravne ugovore, proći kroz nekoliko faza pregleda i na kraju dati da aplikacija potpiše Huawei. Jedina svrha aplikacije je instaliranje Googleovih usluga na nelicencirani uređaj i zvuči mi vrlo nedorečeno, ali ja nisam pravnik pa apsolutno nemam pojma o njegovoj zakonitosti.

Međutim, Huawei je porekao bilo kakvu povezanost s aplikacijom ili web mjestom. U izjavi za Android Central, glasnogovornik Huaweija rekao je:

Huaweijeva najnovija serija Mate 30 nije predinstalirana s GMS-om, a Huawei nije sudjelovao u radu s www.lzplay.net

Potencijalna pravna nedoumica na koju se poziva Wu možda je razlog zašto je nemoguće pronaći porijeklo LZPlay-a. Korisničko sučelje aplikacije ne nudi informacije o autorima. WHOIS podaci za domenu samo se odnose na Alibabin odjel za oblačne usluge sa sjedištem u Kini, s IP rasponom poslužitelja na kojima je domaćin u vlasništvu iste tvrtke. Štoviše, ne postoje tragovi na samom web mjestu s jednom stranicom, kao ni u HTML, CSS ili Javascript izvornom kodu te stranice. Najranije reference na nju koje smo uspjeli pronaći na mreži bile su u postovima zajednice na Huawei klub forum oko sredine srpnja i dalje ne nudi informacije o njegovom podrijetlu.

A Wu kaže da je i sama APK datoteka slično neprozirna:

Aplikacija "LZPay" (sic) je prikrivena / šifrirana od strane QiHoo Jiagu (奇 虎 加固) i nije trivijalna za obrnuti inženjering.

(Napomena urednika: QiHoo Jiagu je kineska tvrtka specijalizirana za sigurnost mobilnih aplikacija)

Netko je platio novac za izradu ove aplikacije, uspio je nekako dobiti certifikat, a zatim se razigrao za dizajn web stranice profesionalnog izgleda i hostiranje njezinih datoteka, a pritom ne želi kredit. Zapravo se čini da su se potrudili da ostanu potpuno anonimni.

Wuovo originalno istraživanje vrijedi pročitati ako razmišljate o korištenju metode LZPlay za instaliranje Googleovih aplikacija na Huawei telefon. (Ili ako samo želite cijeniti ludu znanost softverskog inženjerstva koja je potrebna da bi sve ovo uspjelo.) Između anonimnost aplikacije i snaga dozvola koje koristi, svakako vrijedi pogledati LZPlay s kritičnim oko.

Ovo su najbolje bežične slušalice koje možete kupiti po svakoj cijeni!
Vrijeme je da presiječete kabel!

Ovo su najbolje bežične slušalice koje možete kupiti po svakoj cijeni!

Najbolje bežične slušalice su udobne, zvuče sjajno, ne koštaju previše i lako se stave u džep.

Sve što trebate znati o PS5: Datum izlaska, cijena i još mnogo toga
Iduća generacija

Sve što trebate znati o PS5: Datum izlaska, cijena i još mnogo toga.

Sony je službeno potvrdio da radi na PlayStationu 5. Evo svega što o tome zasad znamo.

Nokia lansira dva nova proračunska Android One telefona ispod 200 dolara
Nove Nokije

Nokia lansira dva nova proračunska Android One telefona ispod 200 dolara.

Nokia 2.4 i Nokia 3.4 najnoviji su dodaci proračunskoj liniji pametnih telefona tvrtke HMD Global. Budući da su oba Android One uređaja, zajamčeno će dobiti dva glavna ažuriranja OS-a i redovita sigurnosna ažuriranja do tri godine.

Osigurajte svoj dom ovim SmartThings zvonima i bravama
Ding Dong - vrata zaključana

Osigurajte svoj dom ovim SmartThings zvonima i bravama.

Jedna od najboljih stvari o SmartThings je ta što možete koristiti mnoštvo drugih uređaja treće strane na vašem sustavu, uključujući zvona na vratima i brave. Budući da svi oni u osnovi dijele istu podršku za SmartThings, usredotočili smo se na to koji uređaji imaju najbolje specifikacije i trikove kako bi opravdali njihovo dodavanje u vaš arsenal SmartThings.

instagram story viewer