Android 14 saattaa sisältää päivitettäviä juurivarmenteita, ja tässä artikkelissa selitetään, miksi sillä on merkitystä.
Juurivarmenteet ovat julkisen avaimen infrastruktuurin (PKI) ytimessä, ja ne ovat luotettujen sertifikaattien myöntäjien allekirjoittamia tai CAs. Selaimissa, sovelluksissa ja muissa ohjelmissa on valmiiksi pakattu juurivarasto, joka tarkoittaa, että nämä varmenteet ovat luotettava. Jos vierailet verkkosivustolla, joka tukee HTTPS-protokollaa, mutta et käytä CA: n allekirjoittamaa varmennetta selaimesi juurisäilössä, verkkosivusto merkitään suojaamattomaksi. Yleensä sovellukset ja selaimet voivat päivittää varmenteensa, mutta puhelimesi ei, ellei se ole OTA-päivityksen kautta. Se voi muuttua kanssa Android 14, mukaan Esper.
Vuosien varrella on ollut pari pelkoa varmenteista, ja tämä johtuu siitä, että luotamme niihin luottamusketjun ytimenä vieraillessamme verkkosivustoilla. Tästä eteenpäin XDA, sertifikaattimme on Let's Encryptin, voittoa tavoittelemattoman CA: n allekirjoittama. Heidän varmenteensa on Internet Security Research Groupin allekirjoittama, ja se luottamusketju varmistaa, että yhteytesi tälle sivustolle on turvallinen. Sama koskee kaikkia muita verkkosivustoja, joissa käyt ja jotka käyttävät HTTPS: ää.
Jokaisella käyttöjärjestelmällä on oma sisäänrakennettu juurisäilönsä, eikä Android ole erilainen. Voit todella tarkastella tätä juurikauppaa Android-älypuhelimellasi navigoimalla laitteesi asetuksista suojaukseen ja yksityisyyteen. Sieltä se riippuu käyttämäsi laitteen tyypistä, mutta alla olevista kuvakaappauksista näkyy, missä se on OneUI 5:ssä.
Asia on kuitenkin siinä, että edes tämä juurikauppa ei ole lopullinen ja kaikki. Sovellukset voivat halutessaan käyttää omaa juurikauppaansa ja luottaa siihen (mitä Firefox tekee), ja ne voivat hyväksyä vain erityisiä varmenteita (dubattu sertifikaatin kiinnitys), jotta vältetään Man-in-the-Middle (MITM) hyökkäyksiä. Käyttäjät voivat asentaa omia varmenteita, mutta sovelluskehittäjien on täytynyt sallia sovellusten käyttää näitä varmenteita Android 7:stä lähtien.
Miksi päivitettävien juurivarmenteiden käyttö on tärkeää
Kun Let's Encrypt -sertifikaatit on ristiinallekirjoitettu Internet Security Research Groupin toimesta, a paljon Internetin käyttö on riippuvainen ISRG: n turvallisuudesta. Jos ISRG menettäisi yksityisen avaimensa hallinnan (jos se esimerkiksi varastetaan), ISRG: n on peruutettava avain. Riippuen siitä, miten yritykset reagoivat, saattaa käydä niin, että jotkin Internetin osat eivät pääse käsiksi laitteille, joilla ei ole päivitettäviä juurivarmenteita. Vaikka tämä on täysin katastrofaalinen painajaisskenaario (ja puhtaasti hypoteettinen), Google haluaa välttää juuri sellaisen skenaarion. Siksi TrustCorin tällä hetkellä tapahtumat saattavat olla merkki Googlelle, että on aika lisätä päivitettäviä juurivarmenteita Androidiin.
Asiayhteydessä TrustCor on yksi tällainen varmenneviranomainen, joka on joutunut tarkastelun kohteeksi sen jälkeen, kun tutkijat väittivät, että sillä oli läheiset siteet yhdysvaltalaiseen sotilasurakoitsijaan. TrustCor ei ole menettänyt yksityistä avaimeansa, mutta se on menetti monien yritysten luottamuksen, joiden on päätettävä, mitä varmenteita ne sisällyttävät juurikauppoihinsa. Nämä tutkijat väittivät, että yhdysvaltalainen sotilasurakoitsija TrustCor oli läheinen sen kanssa, että hän oli maksanut kehittäjille tietojen keräämisen haittaohjelmien sijoittamisesta älypuhelinsovelluksiin. PKI: ssä luottamus on kaikki kaikessa, ja TrustCor menetti luottamuksen, kun syytökset tulivat ilmi. Sittemmin Googlen, Microsoftin ja Mozillan kaltaiset yritykset ovat luopuneet TrustCorista varmenteen myöntäjänä. TrustCorin varmenteiden poistaminen Androidin juurikaupasta vaatii kuitenkin OTA-päivityksen, ja kun vahvistus on jo tehty AOSP: ssä, kestää todennäköisesti kauan ennen kuin sinä tai minä todella saamme päivityksen, joka poistaa TrustCorin varmenteet laitteet.
Hyvä puoli on, että voit nyt poistaa TrustCorin varmenteet käytöstä laitteessasi siirtymällä varmenteihisi laite, kuten yllä osoitimme, ja vieritä sitten kohtaan TrustCor ja poista käytöstä kolme mukana tulevaa varmennetta. laite. Mukaan kehittäjät GrapheneOS Hankkeessa pitäisi olla "erittäin vähän vaikutusta verkkoyhteensopivuuteen, koska tätä CA: ta tuskin käyttää kukaan muu kuin tietty dynaaminen DNS-palveluntarjoaja."
Ratkaisu: Project Mainline
Jos tunnet Project Mainlinen, voit jo nähdä, kuinka tämä voi auttaa ratkaisemaan ongelman. Google käyttää Mainline-moduuleja, jotka toimitetaan Google Play Services -kehyksen ja Google Play Kaupan kautta. Jokainen Mainline-moduuli toimitetaan joko APK-tiedostona, APEX-tiedostona tai APK-in-APEX-tiedostona. Kun Mainline-moduulia päivitetään, käyttäjä näkee laitteellaan "Google Play System Update" (GPSU) -ilmoituksen. Toimittaakseen päivityksiä kriittisiin komponentteihin Google on käytännössä ohittanut tarpeen odottaa OEM: n julkaisevan päivityksen ja päättänyt suorittaa tehtävän itse. Bluetooth ja Ultra-wideband ovat kaksi olennaista pääverkkomoduulia, joita Google hoitaa.
mukaan sitoutuu AOSP Gerritiin (havaittu Esper), Conscrypt, Mainline-moduuli, joka tarjoaa Androidin TLS-toteutuksen, tukee päivitettäviä juurivarmenteita tulevassa päivityksessä. Tämä tarkoittaisi, että varmenteita voitaisiin poistaa (tai jopa lisätä) Google Play -järjestelmäpäivityksen kautta Project Mainline, joka varmistaa paljon nopeamman prosessin, jos jokin muu tilanne, kuten TrustCor (tai pahempi), tapahtuu tulevaisuutta. Ei ole selvää, milloin tämä julkaistaan, mutta on todennäköistä, että se tulee Android 14:lle. On teknisesti mahdollista, että Google saattaa haluta työntää sitä Android 13 QPR2:lla, mutta se hyödyttäisi vain Google Pixel -käyttäjiä, kunnes Android 14 tavoittaa kaikki muut joka tapauksessa ensi vuonna. Tämä johtuu siitä, että muut OEM-valmistajat eivät yleensä ota käyttöön QPR-päivityksiä.
Koko syy tämän olemassaoloon on se, että Google voi hallita toista olennaista laiteturvallisuuden osa-aluetta ilman, että sen pitäisi luottaa OEM-valmistajien päivittämiseen. OTA vaaditaan tällä hetkellä varmenteiden päivittämiseen, mutta hätätilanteessa joka päivä, jolloin käyttäjillä ei ole päivitystä, voi olla merkitystä. Project Mainlinen käyttäminen sen varmistamiseksi, että käyttäjät voivat saada tärkeitä varmennepäivityksiä ajoissa, jos niitä joskus tarvitaan, on varmasti tervetullut muutos.
Lähde: Esper