Android 14 verfügt möglicherweise über aktualisierbare Stammzertifikate, und dieser Artikel erklärt, warum das wichtig ist.
Stammzertifikate sind das Herzstück der Public Key Infrastructure (PKI) und werden von vertrauenswürdigen Zertifizierungsstellen signiert Zertifizierungsstellen. Browser, Anwendungen und andere Programme verfügen über einen vorgefertigten Stammspeicher, der anzeigt, dass diese Zertifikate vorhanden sind vertrauenswürdig. Wenn Sie eine Website besuchen, die HTTPS unterstützt, aber kein von einer Zertifizierungsstelle signiertes Zertifikat im Stammspeicher Ihres Browsers verwendet, wird die Website als nicht sicher gekennzeichnet. Normalerweise können Anwendungen und Browser ihre Zertifikate aktualisieren, Ihr Telefon jedoch nicht, es sei denn, es erfolgt über ein OTA-Update. Das kann sich mit ändern Android 14, entsprechend Esper.
Im Laufe der Jahre gab es einige Ängste im Zusammenhang mit Zertifikaten, und das liegt daran, dass wir uns beim Besuch von Websites auf sie als Kern einer Vertrauenskette verlassen. Hier weiter
XDAUnser Zertifikat ist von Let's Encrypt, einer gemeinnützigen Zertifizierungsstelle, signiert. Ihr Zertifikat ist von der Internet Security Research Group signiert und es ist diese Vertrauenskette, die dafür sorgt, dass Ihre Verbindung zu dieser Website sicher und geschützt ist. Das Gleiche gilt für alle anderen von Ihnen besuchten Websites, die HTTPS verwenden.Jedes Betriebssystem verfügt über einen eigenen integrierten Root-Store, und Android ist da nicht anders. Sie können diesen Stammspeicher tatsächlich auf Ihrem Android-Smartphone anzeigen, indem Sie in den Einstellungen Ihres Geräts zu Sicherheit und Datenschutz navigieren. Von da an hängt es von der Art des von Ihnen verwendeten Geräts ab, aber die folgenden Screenshots zeigen, wo es sich auf OneUI 5 befindet.
Die Sache ist jedoch, dass selbst dieser Root-Store nicht das A und O ist. Apps können sich dafür entscheiden, ihren eigenen Root-Store zu verwenden und ihm zu vertrauen (was Firefox tut), und sie können nur akzeptieren spezifische Zertifikate (sogenanntes Certificate Pinning), um Man-in-the-Middle (MITM) zu vermeiden Anschläge. Benutzer können ihre eigenen Zertifikate installieren, aber App-Entwickler müssen sich seit Android 7 dafür entscheiden, dass ihre Apps diese Zertifikate verwenden dürfen.
Warum es wichtig ist, aktualisierbare Stammzertifikate zu haben
Da Let's Encrypt-Zertifikate von der Internet Security Research Group gegenseitig signiert werden, a viel des Internets ist auf die Sicherheit der ISRG angewiesen. Sollte die ISRG die Kontrolle über ihren privaten Schlüssel verlieren (sollte dieser beispielsweise gestohlen werden), müsste die ISRG den Schlüssel widerrufen. Abhängig von der Reaktion der Unternehmen kann es dann sein, dass einige Teile des Internets für Geräte, die nicht über aktualisierbare Stammzertifikate verfügen, nicht mehr zugänglich sind. Das ist zwar ein völlig katastrophales Albtraumszenario (und rein hypothetisch), aber es ist genau die Art von Szenario, die Google vermeiden möchte. Aus diesem Grund könnte das, was derzeit mit TrustCor passiert, Google signalisieren, dass es an der Zeit ist, aktualisierbare Stammzertifikate zu Android hinzuzufügen.
Zum Vergleich: TrustCor ist eine solche Zertifizierungsstelle, die unter die Lupe genommen wurde, nachdem Forscher behaupteten, sie habe enge Verbindungen zu einem US-Militärauftragnehmer. TrustCor hat seinen privaten Schlüssel nicht verloren, aber er hat hat das Vertrauen vieler Unternehmen verloren, die entscheiden müssen, welche Zertifikate sie in ihre Root-Stores aufnehmen. Diese Forscher behaupteten, dass das US-Militärunternehmen TrustCor, mit dem es eng zusammenarbeitete, Entwickler dafür bezahlt habe, datensammelnde Malware in Smartphone-Apps zu platzieren. Bei PKI ist Vertrauen alles, und TrustCor verlor dieses Vertrauen, als diese Vorwürfe ans Licht kamen. Seitdem haben Unternehmen wie Google, Microsoft und Mozilla TrustCor als Zertifizierungsstelle aufgegeben. Das Entfernen der TrustCor-Zertifikate aus dem Android-Root-Store erfordert jedoch ein OTA-Update, und zwar während der Commit bereits erfolgt erstellt in AOSP, wird es wahrscheinlich lange dauern, bis Sie oder ich tatsächlich über das Update verfügen, das die Zertifikate von TrustCor aus unserem entfernt Geräte.
Der Vorteil besteht darin, dass Sie die Zertifikate von TrustCor jetzt auf Ihrem Gerät deaktivieren können, indem Sie zu Ihren Zertifikaten auf Ihrem Gerät gehen Gerät, wie wir oben gezeigt haben, und scrollen Sie dann zu TrustCor und deaktivieren Sie die drei mit Ihrem Gerät gelieferten Zertifikate Gerät. Laut Entwicklern von der GrapheneOS Projekt sollte es „sehr geringe Auswirkungen auf die Webkompatibilität geben, da diese CA kaum von jemand anderem als einem bestimmten dynamischen DNS-Anbieter verwendet wird“.
Die Lösung: Projekt Mainline
Wenn Sie mit Project Mainline vertraut sind, können Sie bereits erkennen, wie dies zur Lösung des Problems beitragen kann. Google nutzt Mainline-Module, die über das Google Play Services-Framework und den Google Play Store bereitgestellt werden. Jedes Mainline-Modul wird entweder als APK-Datei, APEX-Datei oder APK-in-APEX geliefert. Wenn ein Mainline-Modul aktualisiert wird, sieht der Benutzer eine „Google Play System Update“ (GPSU)-Benachrichtigung auf seinem Gerät. Um Updates für kritische Komponenten bereitzustellen, hat Google die Notwendigkeit umgangen, auf die Bereitstellung eines Updates durch einen OEM zu warten, und hat sich dafür entschieden, die Aufgabe selbst zu erledigen. Bluetooth und Ultrabreitband sind zwei wichtige Mainline-Module, die von Google verwaltet werden.
Nach zu Verpflichtungen auf dem AOSP Gerrit (entdeckt von Esper), wird Conscrypt, ein Mainline-Modul, das die TLS-Implementierung von Android bereitstellt, in einem zukünftigen Update aktualisierbare Stammzertifikate unterstützen. Dies würde bedeuten, dass Zertifikate über ein Google Play-Systemupdate entfernt (oder sogar hinzugefügt) werden könnten Projekt Mainline, was einen viel schnelleren Prozess gewährleistet, falls eine andere Situation wie TrustCor (oder schlimmer) in der auftritt Zukunft. Es ist nicht klar, wann dies eingeführt wird, aber es ist wahrscheinlich, dass es für Android 14 verfügbar sein wird. Es ist technisch möglich, dass Google es mit Android 13 QPR2 vorantreiben möchte, aber davon würden nur Google Pixel-Nutzer profitieren, bis Android 14 im nächsten Jahr sowieso alle anderen erreicht. Dies liegt daran, dass andere OEMs in der Regel keine QPR-Updates bereitstellen.
Der einzige Grund dafür wäre, dass Google die Kontrolle über einen weiteren wichtigen Aspekt der Gerätesicherheit behalten kann, ohne sich stattdessen darauf verlassen zu müssen, dass OEMs Updates vorantreiben. Derzeit ist für die Aktualisierung von Zertifikaten ein OTA erforderlich, aber in einer Notfallsituation kann jeder Tag, an dem Benutzer kein Update haben, von Bedeutung sein. Die Nutzung von Project Mainline, um sicherzustellen, dass Benutzer bei Bedarf rechtzeitig wichtige Zertifikataktualisierungen erhalten, ist sicherlich eine willkommene Abwechslung.
Quelle: Esper