PoC de signataire factice F-Droid : contournement de la fixation de certificat

Ce projet est une preuve de concept démontrant des vulnérabilités dans la vérification de signature des APK de F-Droid. Les attaquants peuvent exploiter ces failles pour falsifier des signatures, contournant le mécanisme de fixation de certificat de F-Droid et permettant aux applications malveillantes de se faire passer pour légitimes. Les vulnérabilités proviennent d'incohérences dans la manière dont F-Droid gère l'ordre des certificats et la vérification au sein du bloc de signature APK. En manipulant ces incohérences, les attaquants peuvent injecter de fausses informations de certificat, trompant F-Droid pour qu'il les accepte comme valides. Bien que des correctifs aient été proposés et implémentés, de nouvelles vulnérabilités et méthodes de contournement ont été découvertes, soulignant les défis permanents en matière de sécurité de la vérification de signature des APK.