Az Android 14 frissíthető gyökértanúsítványokkal is érkezhet, és ez a cikk elmagyarázza, miért számít ez.
A gyökértanúsítványok a nyilvános kulcsú infrastruktúra (PKI) magját képezik, és megbízható hitelesítésszolgáltatók írják alá őket, vagy CAs. A böngészők, alkalmazások és egyéb programok előre becsomagolt gyökértárolóval rendelkeznek, amely jelzi, hogy ezek a tanúsítványok megbízható. Ha olyan webhelyet keres fel, amely támogatja a HTTPS-t, de nem használ egy CA által aláírt tanúsítványt a böngésző gyökértárában, akkor a webhely nem biztonságosként lesz megjelölve. Az alkalmazások és a böngészők általában frissíthetik a tanúsítványaikat, de a telefon nem, hacsak nem OTA-frissítésen keresztül. Ez változhat vele Android 14, alapján Esper.
Az évek során volt néhány félelem a tanúsítványokkal kapcsolatban, és ennek az az oka, hogy rájuk támaszkodunk, mint egy bizalmi lánc magjára, amikor webhelyeket látogatunk. Itt tovább XDA, tanúsítványunkat a Let's Encrypt non-profit CA írja alá. Tanúsítványukat az Internet Security Research Group írja alá, és ez a bizalmi lánc biztosítja, hogy a webhelyhez való csatlakozása biztonságos és biztonságos. Ugyanez vonatkozik minden olyan webhelyre, amelyet felkeres, és amely HTTPS-t használ.
Minden operációs rendszernek megvan a saját beépített gyökértárolója, és az Android sem különbözik egymástól. Valójában megtekintheti ezt a gyökérboltot Android okostelefonján, ha az eszköz beállításaiban navigál a biztonság és adatvédelem részhez. Innentől kezdve ez a használt eszköz típusától függ, de az alábbi képernyőképek azt mutatják, hogy hol van a OneUI 5-ön.
A helyzet azonban az, hogy még ez a gyökérbolt sem a vége mindennek. Az alkalmazások dönthetnek úgy, hogy saját gyökértárukat használják, és megbíznak benne (amit a Firefox is tesz), és csak ezt fogadhatják el speciális tanúsítványok (tanúsítvány rögzítésének szinkronizálása) a Man-in-the-Middle (MITM) elkerülése érdekében támadások. A felhasználók telepíthetik saját tanúsítványaikat, de az alkalmazásfejlesztőknek az Android 7 óta engedélyezniük kell alkalmazásaik számára ezeket a tanúsítványokat.
Miért fontosak a frissíthető gyökértanúsítványok
Mivel a Let's Encrypt tanúsítványokat az Internet Security Research Group kereszt-aláírta, a sok az ISRG biztonságától függ. Ha az ISRG elveszíti az irányítást a privát kulcsa felett (ha például ellopják), akkor az ISRG-nek vissza kell vonnia a kulcsot. Attól függően, hogy a vállalatok hogyan reagálnak, előfordulhat, hogy az internet bizonyos részei elérhetetlenné válnak olyan eszközök számára, amelyek nem rendelkeznek frissíthető gyökértanúsítvánnyal. Bár ez egy teljesen katasztrofális rémálom forgatókönyv (és tisztán hipotetikus), a Google pontosan ezt a forgatókönyvet szeretné elkerülni. Ez az oka annak, hogy ami a TrustCorral jelenleg történik, az azt jelezheti a Google-nak, hogy ideje frissíthető gyökértanúsítványokat hozzáadni az Androidhoz.
Az összefüggések szempontjából a TrustCor az egyik ilyen tanúsító hatóság, amely azután került vizsgálat alá, hogy a kutatók azt állították, hogy szoros kapcsolatban áll egy amerikai katonai vállalkozóval. A TrustCor nem a privát kulcsát veszítette el, de azt van elvesztette sok vállalat bizalmát, amelyeknek el kell dönteniük, hogy milyen tanúsítványokat helyezzenek el a gyökérboltjukban. A kutatók azt állították, hogy az amerikai katonai vállalkozó, a TrustCor szoros kapcsolatban állt azzal, hogy fizetett a fejlesztőknek azért, hogy adatgyűjtő rosszindulatú programokat helyezzenek el az okostelefonos alkalmazásokban. A PKI-ben a bizalom a minden, és a TrustCor elvesztette ezt a bizalmat, amikor ezek az állítások napvilágra kerültek. Azóta olyan cégek, mint a Google, a Microsoft és a Mozilla, megszüntették a TrustCor-t mint tanúsító hatóságot. A TrustCor tanúsítványainak az Android gyökérboltból való eltávolításához azonban OTA-frissítésre lesz szükség, és amíg a véglegesítés már megtörtént AOSP-ben készült, valószínűleg hosszú időbe telhet, amíg Ön vagy én valóban megkapjuk azt a frissítést, amely eltávolítja a TrustCor tanúsítványait eszközöket.
Az előnye, hogy most letilthatja a TrustCor tanúsítványait az eszközén, ha megnyitja a tanúsítványait eszközt, ahogy fentebb bemutattuk, majd görgessen a TrustCor elemre, és tiltsa le a három tanúsítványt eszköz. A fejlesztők szerint a GrapheneOS projektben „nagyon csekély hatással kell lennie a webes kompatibilitásra, mivel ezt a CA-t alig használja más, csak egy adott dinamikus DNS-szolgáltató”.
A megoldás: Project Mainline
Ha ismeri a Project Mainline-t, akkor már láthatja, hogyan segíthet ez a probléma megoldásában. A Google a Mainline modulokat használja, amelyeket a Google Play Services keretrendszeren és a Google Play Áruházban szállítanak. Minden Mainline modul APK-fájlként, APEX-fájlként vagy APK-in-APEX-ben kerül szállításra. Amikor egy Mainline modult frissítenek, a felhasználó "Google Play rendszerfrissítés" (GPSU) értesítést lát az eszközén. A kritikus összetevők frissítése érdekében a Google megkerülte annak szükségességét, hogy megvárja, amíg egy OEM kiad egy frissítést, és úgy döntött, hogy maga végzi el a feladatot. A Bluetooth és az Ultra-széles sáv a Google által kezelt két alapvető fővonali modul.
Szerint hogy elkötelezi magát az AOSP Gerrit mellett (látta Esper), a Conscrypt, az Android TLS-megvalósítását biztosító Mainline modul, egy jövőbeli frissítésben támogatja a frissíthető gyökértanúsítványokat. Ez azt jelentené, hogy a tanúsítványok eltávolíthatók (vagy akár hozzáadhatók) a Google Play rendszerfrissítéssel Project Mainline, amely sokkal gyorsabb folyamatot biztosít, ha a TrustCorhoz hasonló helyzet (vagy még rosszabb) fordul elő jövő. Nem világos, hogy mikor fog megjelenni, de valószínű, hogy Android 14-re érkezik. Technikailag elképzelhető, hogy a Google esetleg az Android 13 QPR2-vel akarja nyomni, de ez csak a Google Pixel felhasználóknak lenne előnyös, amíg az Android 14 jövőre úgyis mindenkihez el nem ér. Ennek az az oka, hogy más OEM-ek általában nem tesznek közzé QPR frissítéseket.
Ennek teljes oka az lenne, hogy a Google fenntarthassa az irányítást az eszközbiztonság egy másik kulcsfontosságú aspektusa felett, anélkül, hogy az eredeti gyártóktól kellene támaszkodnia a frissítések helyett. Jelenleg OTA-ra van szükség a tanúsítványok frissítéséhez, de vészhelyzetben minden olyan nap számíthat, amikor a felhasználók nem rendelkeznek frissítéssel. A Project Mainline használata annak biztosítására, hogy a felhasználók időben megkaphassák a kulcsfontosságú tanúsítványfrissítéseket, ha szükségük van rájuk, mindenképpen üdvözlendő változás.
Forrás: Esper