Bypass de atestación de hardware de Android — demo

Este repositorio acompaña a un artículo de Quarkslab sobre la atestación de claves (Key Attestation) de hardware de Android y existe para ilustrarlo.

Es una prueba de concepto pequeña y de extremo a extremo que muestra un bypass simple: un analista en un teléfono rooteado burla la verificación de atestación de hardware de un backend retransmitiendo la atestación a un segundo dispositivo limpio. Nada se falsifica. Una cadena de atestación genuina, producida por un dispositivo sin modificar y vinculada al nonce del propio backend, se reenvía en lugar de la cadena rechazada del dispositivo rooteado.

Alcance y ética. Este es material educativo para la investigación en seguridad. Usa HTTP sin cifrar y desactiva las comprobaciones de seguridad a propósito (marcadores de «solo demo» por todas partes). Ejecútalo contra tus propios dispositivos y tu propio backend, en una red local de confianza.

Cómo funciona el bypass

La atestación de Keystore de un dispositivo rooteado informa de un bootloader desbloqueado, por lo que el backend la rechaza. En lugar de atacar la criptografía, el analista intercepta la llamada de atestación de la propia app e intercambia esa cadena por una obtenida en vivo de un dispositivo limpio para el mismo desafío.

El hook reemplaza KeystoreAttestation.generateAttestedKey(challenge) en la app demo y nunca llama al Keystore local, por lo que la cadena del dispositivo rooteado nunca se genera. La cadena retransmitida es genuina y supera las comprobaciones de arranque verificado (verified boot) y respaldadas por hardware del backend.

Componentes

Cada componente tiene su propio README con todos los detalles; este archivo los une.

Requisitos previos

• Dos dispositivos físicos. La atestación requiere hardware real; los emuladores devuelven una cadena respaldada por software que el backend rechaza.
  • Un dispositivo de «análisis» rooteado que ejecute frida-server 17.16.4, con la app demo instalada.
  • Un dispositivo limpio y sin modificar con la app del servidor de atestación instalada (bootloader bloqueado, StrongBox o TEE).
• Una máquina en la misma red para el backend (Python 3, dependencias en backend/requirements.txt).
• Un JDK 17-21 para compilar las dos apps de Android, ya sea desde Android Studio o desde la línea de comandos con el wrapper de Gradle (./gradlew assembleDebug).
• Node 20 o 22 LTS en la estación de trabajo solo si recompilas el agente de Frida. El agente compilado (instrumentation/_agent.js) está incluido en el repositorio, por lo que recompilar es opcional.
• Los tres (dispositivos y backend) deben poder alcanzarse entre sí a través de la red.

Ejecución de extremo a extremo

Levanta los componentes en este orden.

1. Backend. En una máquina accesible desde ambos dispositivos:

   root@kitploit:~

   cd backend
   pip install -r requirements.txt
   python3 attestation_backend.py      # listens on 0.0.0.0:8080
   

2. Dispositivo limpio. Compila e instala la app del servidor de atestación, luego ábrela, toca START SERVER y anota la URL que muestra, p. ej. http://192.168.1.42:8080.

3. Dispositivo rooteado. Inicia frida-server, compila e instala la app demo, ábrela e introduce la dirección del backend (host:port).

   Ambas apps se compilan desde Android Studio o desde la línea de comandos con el wrapper de Gradle (./gradlew assembleDebug, JDK 17-21); consulta el README de cada app para más detalles.

4. Retransmisión. En la estación de trabajo:

   root@kitploit:~

   cd instrumentation
   python3 control.py --host <clean-device-ip> --port 8080
   

   El controlador lanza la app demo, instala el hook y luego la reanuda.

5. Disparador. Toca RUN ATTESTATION en la app demo. El backend devuelve válido: la cadena retransmitida informa de un bootloader bloqueado.

6. Control negativo. Detén control.py y toca RUN ATTESTATION de nuevo. La app demo ahora envía la cadena del propio dispositivo rooteado y el backend la rechaza. Esta es la verificación que la retransmisión evade.

Recompilar el agente (solo si cambias agent/agent.ts):

cd instrumentation
nvm use          # Node 22 from .nvmrc
npm install
npm run build    # regenerates _agent.js

Estructura del repositorio

apps/
  QuarkslabAttestationDemo/     target client app (Android Studio project)
  QuarkslabAttestationServer/   clean-device attestation oracle (Android Studio project)
instrumentation/                Frida agent + relay controller
backend/                        Python attestation validator
LICENSE                         MIT

Licencia y atribución

Copyright 2026 Quarkslab. Licenciado bajo la Licencia MIT. Consulta LICENSE.

Este repositorio ilustra un artículo de Quarkslab.