⏺近日 Android 爆出 P1 级生产安全事故：
ROM 完整性认证密钥 (Attestation Keys) 大规模泄露，影响 465 对密钥，几乎所有需要验证设备 ROM 完整性的应用都受到牵连。 — 来源 Google Issue Tracker: https://apvi.issues.chromium.org/~
❔ 背景知识：
设备完整性检查机制：金融银行、DRM 流媒体、游戏反作弊类 APP 依赖这个机制检测设备 ROM 是否被篡改，如果检测到系统不完整则代表设备可能已经被 ROOT 或者 bootloader 已被解锁，将会触发 APP 的危险熔断机制。
🔐 牵涉范围
截止本条消息发送前 (2024/11/18)，Google 暂未对消息提出更多置评，只是发布了 P1 级公告预警 APP 开发者，笔者推测很可能包含大部分 Android ROM，吊销证书清单。
至少波及的 APP 范围：
- 手机银行
- 移动支付
- 带有反作弊的网游
- 付费流媒体 DRM
❌ 所受影响
会导致很长一段时间 (需要等待所有 OEM 厂商跟上补丁) APP 都无法正常检测用户真实的 Root 以及 BL 锁状态，可能出现误判或被绕过检测，而黑产的滥用将更加猖獗。
✅ 密钥影响
如果黑产掌握了这部分密钥，将能无视包括 SafetyNet (本地检测部分) 、目前所存的系统完整性检测手段、Root 部分检测、伪造 BL 锁状态检测。
👨💻 Google 写给开发者的话：
For application developers: Ensure that your counterabuse mechanisms are varied and have some level of defense-in-depth, so that service is not fully denied or compromised due to an issue like this. — source
特地提到了一个词 ”defense-in-depth“ (防御纵深)，提醒开发者不要单纯依赖 ROM 的系统完整性认证 API，而是应该结合 尝试获取 root 权限 网络风控模型、行为特征比对 等独家蜜汁防御措施来应对黑产。
✅ 本条消息由 AFF Channel (@affyes) 原创撰写，不含 AI 成分请放心食用，转发请保留尾部声明
✅ 频道 https://t.me/affyes
✅ 群组 https://t.me/affyes_chat
Tags: #Android #网络安全 #信任链危机 #安全事故 #信息泄露
ROM 完整性认证密钥 (Attestation Keys) 大规模泄露，影响 465 对密钥，几乎所有需要验证设备 ROM 完整性的应用都受到牵连。 — 来源 Google Issue Tracker: https://apvi.issues.chromium.org/~
❔ 背景知识：
设备完整性检查机制：金融银行、DRM 流媒体、游戏反作弊类 APP 依赖这个机制检测设备 ROM 是否被篡改，如果检测到系统不完整则代表设备可能已经被 ROOT 或者 bootloader 已被解锁，将会触发 APP 的危险熔断机制。
🔐 牵涉范围
截止本条消息发送前 (2024/11/18)，Google 暂未对消息提出更多置评，只是发布了 P1 级公告预警 APP 开发者，笔者推测很可能包含大部分 Android ROM，吊销证书清单。
至少波及的 APP 范围：
- 手机银行
- 移动支付
- 带有反作弊的网游
- 付费流媒体 DRM
❌ 所受影响
会导致很长一段时间 (需要等待所有 OEM 厂商跟上补丁) APP 都无法正常检测用户真实的 Root 以及 BL 锁状态，可能出现误判或被绕过检测，而黑产的滥用将更加猖獗。
✅ 密钥影响
如果黑产掌握了这部分密钥，将能无视包括 SafetyNet (本地检测部分) 、目前所存的系统完整性检测手段、Root 部分检测、伪造 BL 锁状态检测。
👨💻 Google 写给开发者的话：
For application developers: Ensure that your counterabuse mechanisms are varied and have some level of defense-in-depth, so that service is not fully denied or compromised due to an issue like this. — source
特地提到了一个词 ”defense-in-depth“ (防御纵深)，提醒开发者不要单纯依赖 ROM 的系统完整性认证 API，而是应该结合 尝试获取 root 权限 网络风控模型、行为特征比对 等独家蜜汁防御措施来应对黑产。
✅ 本条消息由 AFF Channel (@affyes) 原创撰写，不含 AI 成分请放心食用，转发请保留尾部声明
✅ 频道 https://t.me/affyes
✅ 群组 https://t.me/affyes_chat
Tags: #Android #网络安全 #信任链危机 #安全事故 #信息泄露