圖片來源: 

擷取自華為官方網站

依然身陷美國銷售禁令與黑名單的華為,日前終於正式發布了最新款的Mate 30系列智慧型手機,但在銷售禁令影響之下,雖然華為新機仍可使用Android開源碼專案,但無法使用獲得GMS服務(Google Mobile Service)的認證與授權,因此沒有預裝Google應用程式,例如Gmail、Google 地圖、Google Play商店等程式,此外,一些Android第三方App也都需要GMS才能運作。

關於Google行動服務,簡單來說,是圍繞著Android平臺的各種Google程式與API,獲得Google認證與授權的手機業者,即可免費將GMS預裝於Android裝置上。

但華為Mate 30系列推出不久,網路上開始流傳一個能幫這些華為手機安裝GMS環境的方法,讓用戶能以手動方式,透過一個lzplay.net的網站下載APK並安裝App,並且這些應用也能獲得SafetyNet的認證。對於用戶而言,可以利用這種非官方手段來,讓用戶的裝置變得如過去般「完整」,突破現有手機上既有的限制。

不過,在10月1日,一名臺灣的Android系統研究人員吳泓霖,在部落格上提出關於LZPlay的相關分析與調查,並揭露華為的後門手法。他指出,透過LZPlay安裝GMS服務的方法,是利用華為本身行動裝置管理(MDM)機制中的未公開API,並讓需要系統層級權限的GMS,可以透過一個來路不明的GMS安裝器,將盜版系統程式安裝在裝置上。同時,他也說明了現行一般中國手機安裝GMS的現況,以及指出LZPlay這種方式的不同之處。

對於華為這樣的行為,吳泓霖指出,「華為在自己的系統開了一個後門,只要App符合特定數位簽章,並且宣告要求某個只有華為特有的超級權限,該App就可以隨意安裝假的系統程式!」而這個特殊的簽章只有華為才能簽署,這也意謂著明顯知道LZPlay的存在。

由於這種結合非官方的方式,讓新發布的Mate 30手機能在檯面下突破官方限制,不免讓人感到有點類似於作弊取巧又想免責的手段。

對於網路上流傳的華為新款Mate 30系列手機能透過LZPlay安裝GMS服務的方法,Android研究人員John Wu(吳泓霖)在部落格上揭露相關研究,指出該GMS安裝器LZPlay是利用不在公開文件上的API,以後門形式重新安裝Google服務。而在文章經國外媒體引述報導後,LZPlay.net網站隨之突然關閉。

在文章曝光之後,國外媒體路透社、Bloomberg與Forbes等也相繼報導此事,之後這個LZPlay突然緊急下架,目前該網站已經無法連上,據傳華為方面也已經關閉了相關API。

特別的是,消息指出現在Google也在SafetyNet將華為新機拉進黑名單,這意謂著,即便是LZPlay下架前安裝GMS的Mate30系列用戶,也無法在Google SafetyNet上通過認證。而外界也普遍認為,Google採取的行動,禁止了華為Mate 30系列手機,透過其他任何方式來取得GMS服務。

基本上,SafetyNet API是Google官方提供,可檢查各家廠商手機是否可通過Android的兼容性測試,以及安全運行的管控措施。對於沒有通過SafetyNet認證的手機,由於有些App是靠SafetyNet偵測,因此驗證沒通過,就會無法使用。

關於目前華為對此事件的反應,根據路透社報導指出,一名華為女性發言人聲稱他們與 LZPlay沒有關係。但從研究人員揭露的技術細節與事證來看,很難令一般民眾相信兩者毫無關連。

儘管市場上的關注焦點,是在中美貿易禁令下,沒有搭載GMS服務的華為新機Mate 30系列,是否在海外市場上賣得出去?畢竟中國境內本就已經不允許多數Google服務上線,中國市場影響相對較小。但在這次事件的揭露過程中,其實更被突顯的問題是,單以系統安全角度來看,手機製造商竟開放來路不明的安裝程式,將盜版系統程式在裝置上,並具有高權限,這本身也就是一個高度資安風險的問題。


Advertisement

更多 iThome相關內容