Pogled na korijen bijelog sljeza i Verity komplikacije

Dok se prašina sliježe na Izdanje Androida 6.0, korisnici Nexusa u izobilju traže OTA i Tvorničke slike, i priprema se za najnoviju iteraciju operativnog sustava Android.

Dok se izvana Android 6.0 čini (barem vizualno) nevjerojatno sličnim Androidu 5.0 i 5.1 (izdanja Lollipopa), postoji niz značajnih promjena na iznutra. Jedan od njih potencijalno jest posljedice za prilagođeni ROM i korijenske zajednice. Prvo, malo pozadine. Ako vas ovo ne zanima, samo prijeđite na "Zašto je ovo važno".

Značajka zvana Istina

Problem (problem je ako volite root i modificiranje uređaja) proizlazi iz nečega na što sam ukazao prije mnogo vremena, kada je prvi put pogodio AOSP - uvođenje dm-verity na Android. Verity je sigurnosna značajka, izvorno pronađena u ChromeOS-u, dizajnirana za pružanje sigurnih i pouzdanih računalnih uređaja, sprječavajući zlonamjerni softver da modificira uređaj. Još u Androidu 4.4, Google je najavio istinitost za Android, a onda je sve ostalo tiho. Dok ih je bilo

istraživanje korištenja istinitosti, uglavnom su stvari bile tihe. Do sada, tj.

S Androidom 6.0, Google je počeo poboljšavati svoju igru ​​na polju sigurnosti uređaja. Jedan od temeljnih zahtjeva za to je spriječiti modificiranje softvera na uređaju bez znanja korisnika - dok mnogi ovdje na XDA uzeti root zdravo za gotovo, zamislite da se korisnikov uređaj roota bez njegovog znanja ili pristanka, a root pristup koristi za krađu njihovih podaci. Iz tog razloga Google je počeo provoditi provjeru particije sustava na nekim uređajima. Također su nedavno ažurirali svoje stranice za podršku pokriti ovo.

Što to znači za rootane korisnike?

S istinom na mjestu, sve promjene napravljene na sistemskoj particiji bit će otkrivene prilikom pokretanja ili pristupa. Tada ćete se suočiti s jednom od gore navedenih pogrešaka. Neki vam dopuštaju nastavak, a neki vas žele zaštititi zaustavljanjem pokretanja uređaja. Dostupna su tri stanja. Jedan se prikazuje kada je bootloader otključan, što znači da biste mogli biti u opasnosti dok ponovno ne zaključate bootloader. Ovo je slučaj jer modificirana slika kernela može zaobići istinitost, budući da kernel ramdisk sadrži ključeve koji se koriste za provjeru stanja sustava.

Stvari izgledaju prilično nezabavno za korisnike koji teže root-u na zaključanim uređajima.

Sljedeće stanje je prikazano (vjerojatno) kada je verity onemogućen ili isključen, ili se ne može provjeriti zbog izmjena na ram disku. Ne mogu biti siguran jer nemam Nexus 5X ili 6P za istraživanje, ali moja sumnja (temeljena na porukama) je da ako učitate drugi ROM, koji zatim postavlja vlastitu jezgru na uređaj, stranica "različiti operativni sustav" će pojaviti se.

Konačno stanje je crveno upozorenje da je uređaj oštećen. Pretpostavljam da to znači da slika sadrži istinitost, ali provjera nije uspjela jer je slika sustava modificirana. Opet, ne možemo biti sigurni bez hardvera u ruci, ali izgleda da je ta pogreška ona koju ćete vidjeti ako je standardni uređaj modificiran zlonamjernim softverom.

Zašto je ovo važno?

Na Androidu M (6.0), root trenutačno zahtijeva izmjene na slici kernela, uz datotečni sustav. To znači da, čak i ako zanemarimo istinitost (kao na starijem Nexus uređaju kao što je Nexus 7 2013), potrebna je nova slika kernela kako bi se zaobišle ​​SELinux zaštite koje sprječavaju rad root pristupa.

Ako želite root danas, na Androidu Marshmallow, morat ćete koristiti modificiranu sliku za pokretanje.

Do sada ih je bilo modificirane jezgre postaviti SELinux u dopustivi način rada, ali ovo nije idealno rješenje, jer znači da ne dobivate sigurnosne prednosti SELinux zaštite. I, nakon Tremasaga, pretpostavljam da možete vidjeti prednosti SELinuxa i drugih zaštita od sigurnosnih napada.

XDA Senior Recognished Developer, Lančana vatra, master of all-things root izdao je ažurirana verzija SuperSU koji zadržava SELinux u načinu nametanja, ali još jednom zahtijeva izmjene u SELinux konfiguraciji slike za pokretanje. To znači da trebate instalirati SuperSU, kao i modificiranu sliku za pokretanje.

I to je sve lijepo i dobro, dok američki prijevoznici ne uđu u mješavinu. Bastioni izbora protiv potrošača, stališi kao što su AT&T i Verizon poznati su po tome da uživaju u zaključavanju uređaja, sprječavajući korisnike da instaliraju prilagođeni firmware putem svojih brava za pokretanje sustava. Doista, Verizon je posebno loš u tome što čak ne prosljeđuje ažuriranja firmvera korisnicima, sa Sony Xperia Z3v nije postavljen za primanje Marshmallowa dok će ostatak Z3 asortimana (i zapravo Z2 asortimana). Dovraga, još uvijek nisu ni izveli Lollipop na uređaj, unatoč tome što je dostupan za dosta vremena (studeni 2014.) na redovnom Z3.

Umjesto neslužbenog otključavanja bootloadera (ovi su danas prilično rijetki, osim procurjelih inženjerskih bootloadera za nekoliko Samsung uređaja), čini se vrlo malo vjerojatnim da ćete dobiti root na Android 6.0 bez neke božanske intervencije - kombinacija dm-verity (kako biste spriječili pokretanje vašeg telefona s bilo kakvim izmjenama na sistemska particija) i zahtjev za SELinux promjenama u ramdisku (kako bi root radio), čini se da će stvari učiniti prilično nezabavnim za korisnike koji teže rootu zaključani uređaji.

Android Pay?

Konačno, Android Pay. Vjerojatno zvuči potpuno nepovezano s ostatkom ovog članka, ali je zapravo prilično relevantno. Android Pay oslanja se na novo SafetyNet API-ji unutar Googleovog okvira vlasničkih usluga, koji je osmišljen za pružanje potvrda stanja uređaja o tome je li uređaj rootan, na neki drugi način modificiran ili radi u neodobrenom stanju.

Dok postoji a projekt gledajući lažne odgovore na SafetyNet, trenutačno zahtijeva dodatak Xposed, a ne čini se da će se to promijeniti, s obzirom na to kako funkcionira. Xposed zahtijeva root i vrši izmjene na sistemskoj particiji. Zbog toga je ovo teško izvesti na uređaju zaključanom bootloaderom. Čak i tada, ovakve stvari samo su ulazak u igru ​​mačke i miša s Googleom. Uz SafetyNet, rootani uređaji (ili uređaji koji su uopće modificirani) smatraju se "nesukladnima s CTS-om", što je eufemizam za modificirane uređaje.

Mnogo je više napisano o SafetyNetu u ovom postu na blogu za rastavljanje, ali svakako se čini da možemo identificirati neka područja koja Google želi suzbiti. Prvo, ne vole root, Xposed i bilo što što mijenja sistemsku particiju. Drugo, čini se da Google razmatra otkrivanje korisnika koji imaju omogućeno blokiranje oglasa - SSL rukovanje provjerava pubads.g.doubleclick.net svakako mi predložite da Google želi znati blokirate li oglase na svom uređaju. Uzimajući u obzir da je root tamo obično preduvjet, ali za to bi se potencijalno mogao koristiti VPN API ovo bez roota, izgleda da Google barem želi imati ideju tko (ili koliko ljudi) blokira oglasi. Blokiranje oglasa aktualno je pitanje s obzirom na poticaj Applea da ga podrži u web-pregledniku (vjerojatno radi poticanja ljudi više koriste aplikacije, gdje kontroliraju iskustvo i mogu ponuditi oglase koji se ne mogu blokirati), a ovi su potezi zanimljiv.

Zaključak

Ako želite root danas, na Androidu Marshmallow (6.0), morat ćete koristiti modificiranu sliku za pokretanje. Iako ostaje za vidjeti hoće li ovo ostati istinito na neodređeno vrijeme, čini se da će tako biti još neko vrijeme - promjene SELinuxa znatno otežavaju dobivanje root pristupa bez modificiranja boot slike. A kako modificiranje boot slike zahtijeva otključan bootloader, to bi moglo stati na kraj rootu (i Xposedu) i druge root značajke) na uređajima koji se isporučuju s programima za podizanje sustava koje krajnji korisnici ne mogu otključati. Dm-verity se također pojavljuje i čini se da je omogućen u načinu rada za provedbu na novim uređajima. To će otežati modificiranje /system, čak i ako ste dobili root pristup, a da ponovno nemate otključan bootloader.

Mijenja li to vaš pogled na uređaje zaključane bootloaderom? Je li Android došao u fazu u kojoj biste još uvijek kupili uređaj s zaključanim bootloaderom da vam je vaš operater dao dobru ponudu, ili te zanimaju samo otključani uređaji? Koje root aplikacije ili značajke bi vam nedostajale na zaključanom bootloaderu?

Slobodno podijelite svoja razmišljanja u komentarima u nastavku.