بعد اختبار الميزة العام الماضي، أتاحت Google أخيرًا إمكانية الوصول إلى شهادة الأجهزة في SafetyNet API للمطورين. واصل القراءة!
مرة أخرى في مايو 2020، فاجأت Google مجتمع تعديل Android بصمت تقديم الشهادات المدعومة بالأجهزة لاستجابات SafetyNet على بعض الأجهزة. نظرًا لأن خوادم Google لم تتوقف تمامًا عن قبول تقارير التقييم "BASIC" للتحقق من سلامة في بيئة البرامج الخاصة بالأجهزة البعيدة، بدا ظهور شهادة المفاتيح المدعومة بالأجهزة وكأنه أكثر من مجرد مشكلة تجربة. ومع ذلك، في ذلك الوقت، قالت جوجل إنهم "...تقييم وتعديل معايير الأهلية للأجهزة...," مما يشير إلى إمكانية الانتشار على نطاق واسع. حسنًا، أخيرًا قامت Google بذلك بالضبط.
وفق وظيفة الأخيرة في Google Group لـ "SafetyNet API Clients"، أصبح حقل "evaluationType" في استجابة SafetyNet Attestation API الآن ميزة مدعومة رسميًا. بالنسبة للمطور، فهذا يعني أنه يمكنك استخدام خدمات Google Play لإرسال شهادة تخزين مفاتيح غير معدلة تم إنشاؤها باستخدام بيئة التنفيذ الموثوقة (TEE) الخاصة بالجهاز. أو وحدة أمان الأجهزة المخصصة (HSM) لخوادم SafetyNet في كل مرة تريد التحقق مما إذا كان قد تم التلاعب ببيئة البرامج الخاصة بالجهاز بأي شكل من الأشكال. ومع ذلك، لا ينبغي للمرء أن يفرط في استخدام هذه الميزة، لأنها مخصصة فقط للتطبيقات التي تستخدم بالفعل معلمة "ctsProfileMatch" والتي تتطلب أعلى مستوى من ضمانات سلامة الجهاز، كما
كانت هناك علامات على حدوث ذلك قبل بضعة أسابيع عندما لاحظ الناس أن خدمات Google Play قد بدأت في تقديم العطاءات تفضيل شهادة الأجهزة للتحقق من صحة ملف تعريف CTS في كثير من الحالات، حتى عندما تكون الشهادة الأساسية كذلك المحدد. ضع في اعتبارك أنه ربما لا يزال كذلك ممكن استغلالها الطبيعة الانتهازية لروتين التصديق على الأجهزة وتمرير التصديق الأساسي في مثل هذه السيناريوهات. على الرغم من أن هذا ليس حلاً دائمًا (ولم يثبت أي حل من قبل)، فإنه يجب أن يسمح للأشخاص بتجاوز SafetyNet حتى تقرر Google التخلي عن التقييم الأساسي تمامًا. ومع ذلك، فإنه من العار لمجتمعنا المتحمسين والمطورين أن تتخذ Google هذه الخطوات في المقام الأول.
إذا استمرت Google في فرض الشهادات المدعومة بالأجهزة، فقد يعني هذا نهاية الأيام التي يتواجد فيها المستخدمون المتميزون يمكن تشغيل Google Pay والتطبيقات الأخرى المستندة إلى SafetyNet جنبًا إلى جنب مع الوصول إلى الجذر من خلال استخدام الإخفاء التقنيات. وبما أن الوضع لا يزال يتطور، فقد تكون الأمور أكثر تعقيداً مما تبدو على السطح. وسنبقي قرائنا على اطلاع إذا كانت هناك تطورات جديدة في هذا الشأن.
شكرا لعضو XDA Some_Random_Username للحصول على معلومات سرية!