論文の概要: A Longitudinal Study of Android Apps Signing Key Protection
- arxiv url: http://arxiv.org/abs/2606.21487v1
- Date: Fri, 19 Jun 2026 14:37:59 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-06-25 13:09:50.609022
- Title: A Longitudinal Study of Android Apps Signing Key Protection
- Title（参考訳）: キー保護に署名するAndroidアプリに関する縦断的研究
- Abstract要約: 2つの主要なOEMメーカーが関与する最近のプラットフォームキーリーク事件は、デベロッパーの監視により、堅牢に設計された署名機構さえも妥協できることを示した。
当社は,Android署名証明書の公開リポジトリをマイニングすることで,この脅威を特徴づける,縦断的なエコシステム調査を実施している。
以上の結果から,Android リリースのエンジニアリングと配布インフラストラクチャにおいて,より厳格なキー管理サポートの必要性が強調されている。
- 参考スコア（独自算出の注目度）: 15.90782514288423
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Android app signing relies on developer-managed credentials, making secure key protection essential for the integrity of the software supply chain. A recent platform key leakage incident involving two major OEM manufacturers demonstrates that even robustly designed signing mechanisms can be compromised due to developers' oversight. In this work, we conduct a longitudinal ecosystem study to characterize this threat by mining public repositories for Android signing credentials, recovering compromised keys via exposed passwords, and matching them against signatures from over 4,000 apps collected from major stores and OEM system images. Our analysis identifies 5,673 compromised keystores on GitHub and 26 unique certificates linked to 278 real-world apps. These include 26 third-party apps in public app stores and 252 preinstalled apps from seven manufacturers, collectively affecting over 10 billion users. We demonstrate the practical exploitability of these leaks through a proof-of-concept app replacement attack and identify spillover risks in non-smartphone platforms, including a popular automotive head-unit platform installed in over 1,100 vehicle models. Our results reveal that signing-key mismanagement is a systemic risk, underscoring the need for a more rigorous key-management support in Android release engineering and distribution infrastructures.
- Abstract（参考訳）: Androidアプリの署名は、開発者が管理する認証情報に依存しており、ソフトウェアサプライチェーンの整合性のためには、セキュアなキー保護が不可欠である。
2つの主要なOEMメーカーが関与する最近のプラットフォームキーリーク事件は、デベロッパーの監視により、堅牢に設計された署名機構さえも妥協できることを示した。
本研究は,Androidの署名証明書の公開リポジトリをマイニングし,公開パスワードを通じて漏洩鍵を復元し,主要なストアやOEMシステムイメージから収集した4,000以上のアプリからの署名とマッチングすることで,この脅威を特徴づけるための縦断的なエコシステム調査を行う。
私たちの分析では、GitHub上の5,673のキーストアと、278の現実世界のアプリにリンクされた26のユニークな証明書を特定しました。
その中には、公開アプリストアの26のサードパーティアプリと、7つのメーカーから252のプレインストール済みアプリが含まれており、合計で100億以上のユーザーに影響を与えている。
我々は,概念的アプリ置換攻撃によるこれらのリークの実用的利用性を実証し,1100台以上の車両に搭載された一般的な自動車ヘッドユニットプラットフォームを含む非スマートフォンプラットフォームにおける流出リスクを特定する。
以上の結果から,Android リリースのエンジニアリングと配布インフラストラクチャにおいて,より厳格なキー管理サポートの必要性が強調されている。
関連論文リスト
- Stealing Reasoning Traces from Proprietary LLM APIs [84.58379404903394]
我々は、暗号化された推論トレースのためのスケーラブルな復号化ジェイルブレイクを開発する。
抗蒸留機構を回避し、敵がプロプライエタリなモデルの推論を抽出できるようにする。
それは必然的に、推論プロセス内に隠された有害な情報を明らかにします。
論文 参考訳（メタデータ） (2026-08-10T17:24:50Z) - FIDEM: A Standard-Compliant Framework for Secure Binding of MUD Profiles to IoT Devices [90.91375734523943]
FIDEMは、DHCPベースのMUDURL発行を保証するための標準準拠のフレームワークである。
これはZero-Knowledge-Proof認証を利用することで、IoTデバイスとそのMUDプロファイル間の暗号化バインディングを提供する。
論文 参考訳（メタデータ） (2026-05-28T09:16:50Z) - KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps [6.872289094878493]
当社は,Androidデバイスにおけるハードウェアベースのキーストレージに関する,初の総合的な調査を実施している。
われわれは490の119のAndroidアプリを分析し、アプリ開発者による信頼されたハードウェアの使用状況に関するデータを収集した。
機密性の高いユーザデータを処理しているアプリケーションの56.3%が,Androidの信頼性のあるハードウェア機能をまったく使用していないことが分かっています。
論文 参考訳（メタデータ） (2025-07-10T17:07:54Z) - OTA-Key: Over the Air Key Management for Flexible and Reliable IoT Device Provision [18.700561665322905]
IoTベンダは頻繁に、共有キーをデバイスのバッチに割り当てる。
このプラクティスは、アタッカーによるデータ盗難など、デバイスをリスクに晒すことができる。
この問題に対処するためのOTAキー方式を提案する。
論文 参考訳（メタデータ） (2024-12-16T08:50:00Z) - Vulnerability, Where Art Thou? An Investigation of Vulnerability Management in Android Smartphone Chipsets [2.1959918957023743]
本稿は,Androidエコシステムにおけるスマートフォンチップセットの脆弱性管理の現状に関する実証的研究である。
我々は、主要な4つのチップセットメーカーの437のチップセットモデルと6,866のスマートフォンモデルに影響を及ぼす3,676個のチップセットの脆弱性の統一された知識ベースを作成します。
単一の脆弱性が数百から数千の異なるスマートフォンモデルに影響を与えることがよくあります。
論文 参考訳（メタデータ） (2024-12-09T15:04:50Z) - Lightweight and Resilient Signatures for Cloud-Assisted Embedded IoT Systems [2.156208381257605]
ハードウェアアシスト付き軽量・レジリエントシグナチャ(LRSHA)とその前方防犯バージョン(FLRSHA)
We create two novel digital signatures called Lightweight and Resilient Signatures with Hardware Assistance (LRSHA) and its Forwardsecure version (FLRSHA)。
彼らは、小さなキーと署名サイズで、ほぼ最適に署名する。
論文 参考訳（メタデータ） (2024-09-20T22:43:47Z) - Decentralized PKI Framework for Data Integrity in Spatial Crowdsourcing Drone Services [0.6284464997330884]
本論文では,IoT(Internet of Drone Things, IoDT)用に設計されたブロックチェーンベースのPKIフレームワークであるD2XChainについて述べる。
CAインフラストラクチャの分散化により、D2XChainはこの単一障害点を排除し、ドローン通信のセキュリティと信頼性を高める。
この革新的なアプローチは、さまざまなセキュリティ脅威に対するドローンサービスの防御を強化するだけでなく、プライベートなテストベッドへの展開を通じて、その実践的応用を示す。
論文 参考訳（メタデータ） (2024-07-01T00:55:07Z) - SyzTrust: State-aware Fuzzing on Trusted OS Designed for IoT Devices [67.65883495888258]
我々は、リソース制限されたTrusted OSのセキュリティを検証するための、最初の状態認識ファジィフレームワークであるSyzTrustを紹介する。
SyzTrustはハードウェア支援フレームワークを採用し、IoTデバイス上でTrusted OSを直接ファジングできるようにする。
我々は、Samsung、Tsinglink Cloud、Ali Cloudの3つの主要なベンダーからSyzTrust on Trusted OSを評価した。
論文 参考訳（メタデータ） (2023-09-26T08:11:38Z) - Evil from Within: Machine Learning Backdoors through Hardware Trojans [51.81518799463544]
バックドアは、自動運転車のようなセキュリティクリティカルなシステムの整合性を損なう可能性があるため、機械学習に深刻な脅威をもたらす。
私たちは、機械学習のための一般的なハードウェアアクセラレーターに完全に存在するバックドアアタックを導入します。
我々は,Xilinx Vitis AI DPUにハードウェアトロイの木馬を埋め込むことにより,攻撃の実現可能性を示す。
論文 参考訳（メタデータ） (2023-04-17T16:24:48Z) - Smart Home, security concerns of IoT [91.3755431537592]
IoT(モノのインターネット)は、国内環境において広く普及している。
人々は自宅をスマートホームにリニューアルしているが、インターネットに接続された多くのデバイスを常時オンの環境センサーで所有するというプライバシー上の懸念はいまだに不十分だ。
デフォルトパスワードと弱いパスワード、安価な材料とハードウェア、暗号化されていない通信は、IoTデバイスの主要な脅威と脆弱性として識別される。
論文 参考訳（メタデータ） (2020-07-06T10:36:11Z) - Mind the GAP: Security & Privacy Risks of Contact Tracing Apps [75.7995398006171]
GoogleとAppleは共同で,Bluetooth Low Energyを使用した分散型コントラクトトレースアプリを実装するための公開通知APIを提供している。
実世界のシナリオでは、GAP設計は(i)プロファイリングに脆弱で、(ii)偽の連絡先を生成できるリレーベースのワームホール攻撃に弱いことを実証する。
論文 参考訳（メタデータ） (2020-06-10T16:05:05Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。