Michael Cobb是認證信息系統(tǒng)安全架構(gòu)專家(CISSP-ISSAP)，知名的安全作家，具有十多年豐富的IT行業(yè)經(jīng)驗，并且還從事過十六年的金融行業(yè)。他是Cobweb Applications公司的創(chuàng)始人兼常務(wù)董事，該公司主要提供IT培訓，以及數(shù)據(jù)安全和分析的支持。Michael還合著過IIS Security一書，并為領(lǐng)先的IT出版物撰寫過無數(shù)科技文章。此外，Michael還是微軟認證數(shù)據(jù)庫系統(tǒng)管理員和微軟認證專家。

[[137019]]

據(jù)報道，交叉證書會導致Android設(shè)備發(fā)生問題。這些問題背后的漏洞是什么呢?攻擊者可以利用這些漏洞嗎，如果是這樣，是否有辦法來緩解這些問題?

Michael Cobb：交叉證書提供了一種方法，從單一的受信任的根或者從屬證書頒發(fā)機構(gòu)，為多個其他根或從屬CA創(chuàng)建信任鏈。一個CA頒發(fā)的交叉數(shù)字證書用來為另一個CA的根證書簽發(fā)公鑰，允許在兩個CA層次結(jié)構(gòu)之間使用和信任證書。例如，在微軟Windows中，交叉證書允許操作系統(tǒng)內(nèi)核有單個受信任的微軟根授權(quán)，同時擴展信任鏈到多個商業(yè)CA，這些CA簽發(fā)證書用于代碼簽名軟件，以在Windows機器中分發(fā)和安裝軟件。

在所有交叉證書機制中，單個證書會鏈接到不同的根CA，這取決于哪個企業(yè)的計算機在驗證該證書。例如，假設(shè)有一個Key Supplies公司以及其客戶Big Builders公司，為了在他們運行的從屬和根CA之間配置完全的信任，每個企業(yè)的根CA需要與另一個公司的從屬企業(yè)CA進行交叉認證。這使得由任何CA頒發(fā)的證書鏈接到每個企業(yè)信任的根。如果證書頒發(fā)給Key Supplies的員工，當由該Key Supplies網(wǎng)絡(luò)內(nèi)的其他計算機驗證時，這將會驗證到Key Supplies的CA，但如果由Big Builders網(wǎng)絡(luò)中計算機驗證的話，這將會驗證到該客戶的CA。

交叉簽名可以創(chuàng)建非常長的證書鏈，并且，相同的證書有不同的證書鏈。這讓證書驗證在處理時間和網(wǎng)絡(luò)流量方面更加昂貴，并增加了額外的復雜性。

這些可能是為什么Android設(shè)備處理交叉簽名證書出現(xiàn)問題的原因。趨勢科技公司研究人員發(fā)現(xiàn)，當在Android設(shè)備安裝新應(yīng)用或者導入特質(zhì)鑰匙串時引入特殊構(gòu)造的惡意證書(當兩個證書在連續(xù)循環(huán)中交叉簽名時創(chuàng)建)，設(shè)備可能會減慢或者死機。這個漏洞是由Android框架中兩個常用類造成：JarFile和KeyStore類。JarFile類用于驗證jar數(shù)據(jù)包的證書和簽名文件，但當嘗試驗證交叉簽名證書鏈時它會陷入無限循環(huán)中;這個過程會不斷使用系統(tǒng)資源直到它耗盡，而這會導致設(shè)備重新啟動。KeyStore類用于為遭遇相同問題的Android KeyStore處理PKCS#12文件。這個漏洞出現(xiàn)在所有Android版本中，并且，直接或間接使用這兩種類任何代碼都可能面臨風險。

但是，這個漏洞并沒有任何直接的安全問題;幾年前在Firefox中發(fā)現(xiàn)了類似的漏洞。在未來的研究可能會找到一種方法，在當設(shè)備的系統(tǒng)資源被耗盡以及在重啟前變得不穩(wěn)定時注入或運行任意代碼。

谷歌已經(jīng)意識到這個漏洞，但并沒有給出任何補丁時間表。在此期間，管理員應(yīng)該關(guān)注該漏洞補丁的安全新聞或者攻擊者可利用該漏洞的證據(jù)。而用戶則應(yīng)該從受批準的商店下載應(yīng)用，并且，當他們的設(shè)備運行緩慢或意外重啟時立即報告。