Android 14 може да се предлага с обновяеми основни сертификати и тази статия обяснява защо това има значение.
Основните сертификати са в основата на инфраструктурата на публичния ключ (PKI) и са подписани от доверени сертифициращи органи, или CAs. Браузърите, приложенията и другите програми имат предварително пакетирано основно хранилище, което означава, че тези сертификати са надежден. Ако посетите уебсайт, който поддържа HTTPS, но не използва сертификат, подписан от CA в основното хранилище на браузъра ви, тогава уебсайтът ще бъде маркиран като несигурен. Обикновено приложенията и браузърите могат да актуализират своите сертификати, но вашият телефон не може, освен ако не е чрез OTA актуализация. Това може да се промени с Android 14, Според Еспър.
През годините имаше няколко страха, свързани със сертификатите, и това се дължи на това, че разчитаме на тях като на ядрото на веригата на доверие, когато посещаваме уебсайтове. Тук на XDA, нашият сертификат е подписан от Let's Encrypt, CA с нестопанска цел. Техният сертификат е подписан от Internet Security Research Group и това е тази верига на доверие, която гарантира, че връзката ви с този уебсайт е безопасна и сигурна. Същото важи и за всеки друг уебсайт, който посещавате, който използва HTTPS.
Всяка операционна система има собствено вградено root хранилище и Android не е по-различно. Всъщност можете да видите това основно хранилище на вашия смартфон с Android, като отидете до защита и поверителност в настройките на вашето устройство. Оттам нататък ще зависи от типа устройство, което използвате, но екранните снимки по-долу показват къде се намира в OneUI 5.
Работата е обаче, че дори този коренов магазин не е край на всичко. Приложенията могат да изберат да използват и да се доверят на собственото си основно хранилище (което прави Firefox) и могат да приемат само специфични сертификати (наричани фиксиране на сертификати) в опит да се избегне Man-in-the-Middle (MITM) атаки. Потребителите могат да инсталират свои собствени сертификати, но разработчиците на приложения трябва да се включат, за да разрешат на своите приложения да използват тези сертификати още от Android 7.
Защо е важно да имате обновяеми главни сертификати
Със сертификатите Let's Encrypt, които са кръстосано подписани от Internet Security Research Group, a много на интернет зависи от сигурността на ISRG. Ако ISRG изгуби контрол над личния си ключ (ако бъде откраднат например), тогава ISRG ще трябва да отмени ключа. В зависимост от това как реагират компаниите, може да се окаже, че някои части от интернет ще станат недостъпни за устройства, които нямат актуализиращи основни сертификати. Въпреки че това е напълно катастрофален кошмарен сценарий (и чисто хипотетичен), това е точният вид сценарий, който Google иска да избегне. Ето защо това, което се случва с TrustCor в момента, може да сигнализира на Google, че е време да добави актуализирани основни сертификати към Android.
За контекст, TrustCor е един такъв сертифициращ орган, който беше подложен на проверка, след като изследователи твърдяха, че има тесни връзки с американски военен изпълнител. TrustCor не е загубил личния си ключ, но го има загубиха доверието на много компании, които трябва да решат какви сертификати да включат в своите основни хранилища. Тези изследователи твърдят, че американският военен изпълнител TrustCor е бил близък, е платил на разработчици да поставят злонамерен софтуер за събиране на данни в приложения за смартфони. В PKI доверието е всичко и TrustCor загуби това доверие, след като тези твърдения излязоха наяве. Оттогава компании като Google, Microsoft и Mozilla изоставиха TrustCor като сертифициращ орган. Премахването на сертификатите на TrustCor от основното хранилище на Android обаче ще изисква OTA актуализация и докато ангажиментът вече е направени в AOSP, вероятно ще мине много време, докато вие или аз действително имаме актуализацията, която премахва сертификатите на TrustCor от нашите устройства.
Предимството е, че можете да деактивирате сертификатите на TrustCor на вашето устройство сега, като отидете на вашите сертификати на вашето устройство, както показахме по-горе, и след това превъртете до TrustCor и деактивирайте трите сертификата, които идват с вашия устройство. Според разработчиците от GrapheneOS проект, трябва да има „много малко въздействие върху уеб съвместимостта поради това, че този CA почти не се използва от никой друг освен конкретен доставчик на динамичен DNS“.
Решението: Project Mainline
Ако сте запознати с Project Mainline, тогава вече можете да видите как това може да помогне за разрешаването на проблема. Google използва модули Mainline, които се доставят чрез рамката на Google Play Services и Google Play Store. Всеки модул Mainline се доставя като APK файл, APEX файл или APK-in-APEX. Когато основният модул се актуализира, потребителят вижда известие „Google Play System Update“ (GPSU) на своето устройство. Ефективно, за да достави актуализации на критични компоненти, Google е заобиколил необходимостта да изчака OEM да пусне актуализация, като е избрал сам да изпълни задачата. Bluetooth и Ultra-wideband са два основни основни модула, управлявани от Google.
Според да се ангажира с AOSP Gerrit (забелязано от Еспър), Conscrypt, основен модул, който осигурява изпълнението на TLS на Android, ще поддържа обновяеми основни сертификати в бъдеща актуализация. Това би означавало, че сертификатите могат да бъдат премахнати (или дори добавени) чрез системна актуализация на Google Play Project Mainline, осигуряващ много по-бърз процес, ако възникне друга ситуация като TrustCor (или по-лоша) в бъдеще. Не е ясно кога това ще се появи, но е вероятно да дойде до Android 14. Технически е възможно Google да поиска да го прокара с Android 13 QPR2, но това ще е от полза само за потребителите на Google Pixel, докато Android 14 така или иначе достигне до всички останали през следващата година. Това е така, защото другите OEM производители обикновено не пускат QPR актуализации.
Цялата причина това да съществува е, че Google може да поддържа контрол върху друг важен аспект на сигурността на устройството, без да се налага да разчита на OEM производители, които вместо това налагат актуализации. Понастоящем се изисква OTA за актуализиране на сертификати, но в извънредна ситуация всеки ден, когато потребителите нямат актуализация, може да има значение. Използването на Project Mainline, за да се гарантира, че потребителите могат да получат важни актуализации на сертификати навреме, ако някога са необходими, със сигурност е добре дошла промяна.
източник: Еспър