Beveligers omzeillen handtekening android

[Verwijderd]

Het risico van de bug lijkt evenwel klein. Gebruikers moeten de geïnfecteerde app echter wel zelf downloaden. Android-gebruikers die officiële apps uit de Play-store halen zullen daarom niet snel met het gat in de Android-beveiliging geconfronteerd worden. Downloads van apps van websites of alternatieve downloadwinkels kunnen echter wel risicovol zijn, maar op Android-telefoons kunnen die alleen geïnstalleerd worden als de gebruiker zelf aangeeft apps buiten de Play Store om te willen installeren

Waarom is dit risico klein?
Heeft Tweakers data over het aantal downloads dat plaatsvind buiten de google play store?
Een veelgehoord issue is juist dat apps op google play weinig opleveren tov ios app vanwege piraterij.
Dat duidt juist op grootschalige dowloads buiten google play om. Er zijn al een miljard android devices. Vermoedelijk gaat het wel om honderden miljoenen gebruikers die downloaden buiten de google play store om.

[arnoudwokke]

Waarom is dit risico klein?
Heeft Tweakers data over het aantal downloads dat plaatsvind buiten de google play store?

Dat het risico klein is, komt door de opstapeling van zaken die moeten gebeuren voordat een apparaat geinfecteerd wordt.
Om te beginnen moet het vinkje 'install from unknow sources' aanstaan (is standaard uit en bij sommige toestellen en providers bovendien niet aanwezig), daarna moet je zorgen dat gebruikerd de app downloaden en installeren.
Dat is vooral voor systeemapps, waar de onderzoekers over spreken, vrij onwaarschijnlijk. Daarvoor heb je in elk geval meer exploits nodig, bijvoorbeeld een om een notificatie te geven om naar een website te leiden met de download. Daarover spreken de onderzoekers niet.

Bovendien zijn er dan eenvoudigere methoden om gegevens te kapen, bijvoorbeeld een app maken die een bekende app emuleert, maar met een eigen cryptografische handtekening: dat zou voor het misbruik geen verschil maken. Daarom is het risico van deze bug an sich dus niet groot.

[Luke_msx]

Het risico is helemaal niet zo klein. Als ik de beschrijving van Bluebox goed lees, dan is het mogelijk om, desnoods via de Play Store (!) een kwaardaardige app te verspreiden die daarna ALLE apk's die op het toestel worden geïnstalleerd kan besmetten. Combineer dat met de slechte track record van veel Android telefoonfabrikanten op het gebied van updates en in potentie heb je een security issue dat zijn weerga in de Windows wereld niet eens gekend heeft.