Androidin juurikauppa vaati OTA-päivityksen juurivarmenteiden lisäämiseksi tai poistamiseksi. Näin ei ole Android 14:ssä.
Androidilla on pieni ongelma, joka nostaa rumaa päätään vain kerran jokaisessa sinisessä kuussa, mutta kun se tapahtuu, se aiheuttaa paniikkia. Onneksi Googlella on Android 14:ssä ratkaisu, joka ratkaisee tämän ongelman heti alkuunsa. Ongelmana on, että Android-järjestelmän juurivarmennevarasto (root store) voitiin päivittää vain OTA-päivityksen kautta suurimman osan Androidin olemassaolosta. Vaikka OEM-valmistajat ja operaattorit ovat pystyneet toimittamaan päivityksiä nopeammin ja useammin, asiat voisivat silti olla paremmin. Siksi Google on kehittänyt ratkaisun, jolla Androidin juurikauppa voidaan päivittää Google Playn kautta alkaen Android 14.
Kun käytät verkkoa joka päivä, luotat siihen, että laitteesi ohjelmisto on määritetty oikein ohjaamaan sinut oikeille palvelimille, jotka isännöivät vierailevia verkkosivustoja. Oikean yhteyden luominen on tärkeää, jotta et päädy palvelimelle, jonka omistaa joku huonolla tarkoituksella, vaan turvallisesti yhteyden muodostaminen on myös tärkeää, joten kaikki kyseiselle palvelimelle lähettämäsi tiedot salataan siirron aikana (TLS) eivätkä toivottavasti ole helposti saatavilla nuuskittiin. Käyttöjärjestelmäsi, verkkoselaimesi ja sovelluksesi muodostavat suojatun yhteyden Internet-palvelimiin (HTTPS), jos ne luottavat palvelimen (TLS) suojausvarmenteeseen.
Koska Internetissä on niin monia verkkosivustoja, käyttöjärjestelmät, verkkoselaimet ja sovellukset eivät kuitenkaan ylläpidä luetteloa jokaisen sivuston turvasertifikaateista, joihin he luottavat. Sen sijaan he tarkastelevat, kuka allekirjoitti sivustolle myönnetyn suojausvarmenteen: Oliko se itse allekirjoitettu vai toisen tahon (varmenteen myöntäjä [CA]), johon he luottavat? Tämä vahvistusketju voi olla useita kerroksia syvä, kunnes saavutat suojauksen myöntäneen juurivarmentajan varmenne, jota käytetään sen varmenteen allekirjoittamiseen, joka lopulta allekirjoitti sivustollesi myönnetyn varmenteen vierailemassa.
Juurivarmentajien määrä on paljon, paljon pienempi kuin niiden verkkosivustojen määrä, joilla on niiden myöntämät suojausvarmenteet joko suoraan tai yhden tai useamman välittäjän CA: n kautta, jolloin käyttöjärjestelmät ja verkkoselaimet voivat ylläpitää luetteloa juuri CA: n varmenteista luottamus. Esimerkiksi Androidilla on luettelo luotetuista juurivarmenteista, jotka toimitetaan käyttöjärjestelmän vain luku -järjestelmäosiossa osoitteessa /system/etc/security/cacerts. Jos sovellukset eivät rajoittaa luotettavia varmenteita, jota kutsutaan sertifikaatin kiinnittämiseksi, he käyttävät oletuksena käyttöjärjestelmän juurisäilöä päättäessään, luotetaanko suojausvarmenteeseen. Koska "järjestelmä"-osio on vain luku -tilassa, Androidin juurisäilö on muuttumaton käyttöjärjestelmäpäivityksen ulkopuolella, mikä voi aiheuttaa ongelmia, kun Google haluaa poistaa tai lisätä uuden juurivarmenteen.
Joskus juurisertifikaatti on vanhentumassa, mikä saattaa johtaa sivustojen ja palvelujen hajoamiseen ja verkkoselaimien varoittamiseen turvattomista yhteyksistä. Joissakin tapauksissa juurivarmenteen myöntänyt CA on epäillään olevan haitallinen tai vaarantunut. Tai a uusi juurivarmenne ilmaantuu, joka on lisättävä jokaisen suuren käyttöjärjestelmän juurisäilöön, ennen kuin varmentaja voi todella alkaa allekirjoittaa varmenteita. Androidin juurikauppaa ei tarvitse päivittää kovin usein, mutta tapahtuu tarpeeksi, että Androidin suhteellisen hidas päivitystahti tulee ongelmaksi.
Android 14:stä alkaen Androidin pääkaupassa on kuitenkin päivitettävissä Google Playn kautta. Android 14:ssä on nyt kaksi hakemistoa, jotka sisältävät käyttöjärjestelmän juurisäilön: edellä mainittu, muuttumaton OTA: n ulkopuolella /system/etc/security/cacerts sijainti ja uusi päivitettävä /apex/com.[google].android.conscrypt/security/cacerts hakemistosta. Jälkimmäinen sisältyy Conscrypt-moduuliin, joka on Android 10:ssä esitelty Project Mainline -moduuli, joka tarjoaa Androidin TLS-toteutuksen. Koska Conscrypt-moduuli on päivitettävissä Google Play -järjestelmäpäivitysten kautta, se tarkoittaa, että myös Androidin pääkauppa tulee olemaan.
Sen lisäksi, että Android 14 tekee Androidin juurisäilöstä päivitettävissä, se myös lisää ja poistaa joitakin juurivarmenteita osana Googlen vuosittaista päivitystä järjestelmän juurisäilöön.
Android 14:ään lisätyt juurivarmenteet sisältävät:
- AC RAIZ FNMT-RCM PALVELUT SEGUROS
- ANF Secure Server Root CA
- Autoridad de Certificacion Firmaprofesional CIF A62634068
- Varmasti Root E1
- Varmasti Root R1
- Certum EC-384 CA
- Certum Trusted Root CA
- D-TRUST BR Root CA 1 2020
- D-TRUST EV Root CA 1 2020
- DigiCert TLS ECC P384 Root G5
- DigiCert TLS RSA4096 Root G5
- GLOBALTRUST 2020
- GlobalSign Root E46
- GlobalSign Root R46
- HARICA TLS ECC Root CA 2021
- HARICA TLS RSA Root CA 2021
- HiPKI Root CA - G1
- ISRG Root X2
- Tietoturvatietoliikenne ECC RootCA1
- Tietoturvaviestintä RootCA3
- Telia Root CA v2
- Tugra Global Root CA ECC v3
- Tugra Global Root CA RSA v3
- TunTrust Root CA
- vTrus ECC Root CA
- vTrus Root CA
Android 14:ssä poistettuja juurivarmenteita ovat:
- Kauppakamarien juuret – 2008
- Cybertrust Global Root
- DST Root CA X3
- EC-ACC
- GeoTrust Primary Certification Authority - G2
- Global Chambersign Root 2008
- GlobalSign
- Kreikan akateemiset ja tutkimuslaitokset RootCA 2011
- Network Solutions Certificate Authority
- QuoVadis Root Certification Authority
- Sonera Class2 CA
- Staat der Nederlanden EV Root CA
- Staat der Nederlanden Root CA - G3
- TrustCor ECA-1
- TrustCor RootCert CA-1
- TrustCor RootCert CA-2
- Trustis FPS Root CA
- VeriSign Universal Root Certification Authority
Jos haluat tarkempia tietoja TLS-varmenteista, lue kollegani Adam Conwayn artikkeli täällä. Tutustu tarkemmin Android 14:n päivitettävän juurimyymälän toimintaan ja miksi se syntyi. aiemmin kirjoittamani artikkeli aiheesta.