F-Droid偽造署名PoC:証明書固定の回避
2025-01-04
このプロジェクトは、F-DroidのAPK署名検証における脆弱性を示す概念実証です。攻撃者はこれらの欠陥を利用して署名を偽造し、F-Droidの証明書固定機構を回避することで、悪意のあるアプリを正規アプリとして偽装できます。脆弱性は、F-DroidがAPK署名ブロック内の証明書の順序と検証を処理する方法の矛盾に起因します。これらの矛盾を操作することで、攻撃者は偽の証明書情報を挿入し、F-Droidをだまして有効な署名として受け入れさせることができます。修正が提案され、実装されてきましたが、さらなる脆弱性と回避策が発見されており、APK署名検証のセキュリティにおける継続的な課題が浮き彫りになっています。