Wie kann ich vertrauenswürdige Zertifizierungsstellen auf Android entfernen?

12

Aus dem aktuellen Fallout um DigiNotar (kurz gesagt, eine Root-Zertifizierungsstelle, die gehackt wurde, gefälschte HTTPS-Zertifikate ausgestellt, MITM-Angriffe sehr wahrscheinlich) gibt es einige Teile, die Android betreffen ( siehe den gestrigen Zwischenbericht in PDF ):

  • Es wurden betrügerische Zertifikate für * .android.com generiert (einschließlich market.android.com).
  • Es gibt möglicherweise andere solche betrügerischen Zertifikate, die von dieser Zertifizierungsstelle in freier Wildbahn signiert wurden (derzeit weiß niemand genau, auf die eine oder andere Weise).
  • Dies könnte in Zukunft einer anderen Zertifizierungsstelle passieren (Comodo hatte vor einigen Monaten ein ähnliches Problem)

Wie entferne ich eine nicht mehr vertrauenswürdige Zertifizierungsstelle von meinem Android-Handy? (Ich habe root und CM6 auf meinem spezifischen Telefon, falls dies relevant ist.)

security certificates Piskvor verließ das Gebäude
quelle
1
Das CM-Team arbeitet an einer Korrektur gemäß code.google.com/p/cyanogenmod/issues/detail?id=4260
Sparx,

Antworten:

5

Lookout Mobile hat aufgrund der DigiNotar-Ereignisse darüber gebloggt und einige ziemlich gute (gelesene: ausführliche) Anweisungen bereitgestellt, die Sie hier finden .

Das Wesentliche ist, dass Sie /system/etc/security/cacerts.bksdie Zertifizierungsstellen aus dem Speicher ziehen und dann entfernen müssen, dann den Speicher zurück auf das Gerät schieben und neu starten müssen. Ihre Anweisungen setzen voraus, dass Sie über Bouncy Castle (zum Entschlüsseln des Speichers), Root-Zugriff und eine funktionierende ADB-Verbindung verfügen . Ich bin mir nicht sicher, ob dies für alle Versionen von Android gilt oder nicht, aber ich gehe davon aus, dass sich der Speicherort des CA-Stores seit geraumer Zeit (wenn überhaupt) nicht geändert hat.

eldarerathis
quelle
2
In Ihrer Anforderungsliste fehlt ein wichtiger Eintrag für einige Geräte: Sie benötigen eine ungeschützte Systempartition (auch bekannt als "S-OFF"). Bei einem S-ON-System funktioniert der Befehl "adb remount" nicht.
Robert
17

In Android Lollipop 5.0
Einstellungen → Sicherheit → Vertrauenswürdige Anmeldeinformationen → Registerkarte Benutzer → Wählen Sie Ihr Zertifikat aus → Scrollen Sie nach unten und klicken Sie auf Entfernen → Fertig .

Joan Solà
quelle
Gut zu wissen, ob Sie eine aktuelle Android-Version verwenden, danke. (Ich verstehe, das ist eine Funktion, die in 5.0 eingeführt wurde, richtig?)
Piskvor verließ das Gebäude
Es ist eine Schande, wie dies umgesetzt wird. Das Misstrauen gegen alle Zertifizierungsstellen, die ich für nicht vertrauenswürdig halte (warum sollte ich einer zufälligen chinesischen / türkischen / südamerikanischen Firma vertrauen?), Dauert etwa 1 1/2 Stunden. Mühsam, um es gelinde auszudrücken. Andererseits ist es fast unmöglich, meine eigenen vertrauenswürdigen Anmeldeinformationen zu installieren.
Reife
Unter Android 8.0 wurde dies zu Einstellungen → Sicherheit & Standort → Verschlüsselung & Anmeldeinformationen → Vertrauenswürdige Anmeldeinformationen
verschoben
2

Bildschirm sperren und Sicherheit. andere Sicherheitseinstellungen. Sicherheitszertifikate anzeigen. Benutzer.

Dann entfernen Sie es.

S7 Edge 14.07.2016

user176546
quelle
Welche Android-Version ist das?
Piskvor hat das Gebäude
1
Möglicherweise möchten Sie Screenshots einfügen - erleichtert den meisten Benutzern das Befolgen der Anweisungen :)
benjamin
1

Sie müssen sie einzeln entfernen. Typischerweise gibt es eine große Anzahl, so dass es unmöglich ist, jede zu erforschen. Es dauert sehr lange, sie zu deaktivieren.

Garrett Goldul
quelle
0

Klicken Sie auf den Namen des Berechtigungsnachweises, scrollen Sie nach unten und drücken Sie Ausschalten.

Jon Lajoie
quelle
4
Ich denke, Sie meinten "Deaktivieren" anstatt "Ausschalten". Bitte geben Sie jedoch auch die Android-Version und die Marke an, da nicht alle Versionen über diese Funktion verfügen.
Andrew T.
1
Ich denke, das wäre in "Systemeinstellungen> Sicherheit> Vertrauenswürdige Anmeldeinformationen". Zumindest ist dies auf meinem Android 4.1.2.
Ricardo Souza