Android 14 potrebbe essere dotato di certificati root aggiornabili e questo articolo spiega perché ciò è importante.
I certificati radice sono il fulcro dell'infrastruttura a chiave pubblica (PKI) e sono firmati da autorità di certificazione affidabili o CA. Browser, applicazioni e altri programmi dispongono di un archivio root preconfezionato che indica che questi certificati lo sono affidabile. Se visiti un sito Web che supporta HTTPS ma non utilizza un certificato firmato da una CA nell'archivio principale del tuo browser, il sito Web verrà contrassegnato come non sicuro. In genere, le applicazioni e i browser possono aggiornare i propri certificati, ma il tuo telefono non può farlo, a meno che non avvenga tramite un aggiornamento OTA. Ciò potrebbe cambiare con Androide 14, secondo Esper.
Nel corso degli anni ci sono stati un paio di timori legati ai certificati, e questo è dovuto al fatto che facciamo affidamento su di essi come nucleo di una catena di fiducia quando visitiamo i siti web. Ecco qui
XDA, il nostro certificato è firmato da Let's Encrypt, una CA senza scopo di lucro. Il loro certificato è firmato dall'Internet Security Research Group ed è quella catena di fiducia che garantisce che la tua connessione a questo sito web sia sicura e protetta. Lo stesso vale per qualsiasi altro sito web che visiti che utilizza HTTPS.Ogni sistema operativo ha il proprio root store integrato e Android non è diverso. Puoi effettivamente visualizzare questo root store sul tuo smartphone Android accedendo a sicurezza e privacy nelle impostazioni del tuo dispositivo. Da lì dipenderà dal tipo di dispositivo che stai utilizzando, ma gli screenshot seguenti mostrano dove si trova su OneUI 5.
Il fatto è, però, che anche questo root store non è la soluzione definitiva. Le app possono scegliere di utilizzare e fidarsi del proprio root store (cosa che fa Firefox) e possono accettare solo certificati specifici (soprannominato certificate pinning) nel tentativo di evitare Man-in-the-Middle (MITM) attacchi. Gli utenti possono installare i propri certificati, ma gli sviluppatori di app devono consentire alle loro app di utilizzare questi certificati sin da Android 7.
Perché è importante avere certificati root aggiornabili
Con i certificati Let's Encrypt sottoposti a firma incrociata da parte dell'Internet Security Research Group, a quantità di Internet dipende dalla sicurezza dell'ISRG. Se l’ISRG perdesse il controllo della sua chiave privata (se venisse rubata, ad esempio), allora dovrebbe revocare la chiave. A seconda della risposta delle aziende, potrebbe accadere che alcune parti di Internet diventino inaccessibili ai dispositivi che non dispongono di certificati root aggiornabili. Sebbene si tratti di uno scenario da incubo completamente catastrofico (e puramente ipotetico), è esattamente il tipo di scenario che Google vuole evitare. Ecco perché ciò che sta accadendo attualmente con TrustCor potrebbe segnalare a Google che è ora di aggiungere certificati root aggiornabili ad Android.
Per contestualizzare, TrustCor è una di queste autorità di certificazione che è stata messa sotto esame dopo che i ricercatori hanno affermato che aveva stretti legami con un appaltatore militare statunitense. TrustCor non ha perso la sua chiave privata, ma ha hanno perso la fiducia di molte aziende che devono decidere quali certificati includere nei propri root store. Tali ricercatori hanno affermato che l’appaltatore militare statunitense TrustCor era vicino a aver pagato gli sviluppatori per inserire malware per la raccolta di dati nelle app per smartphone. In PKI, la fiducia è tutto e TrustCor ha perso quella fiducia una volta che le accuse sono venute alla luce. Da allora, aziende come Google, Microsoft e Mozilla hanno abbandonato TrustCor come autorità di certificazione. Tuttavia, la rimozione dei certificati TrustCor dal root store di Android richiederà un aggiornamento OTA e mentre il commit è già realizzato in AOSP, probabilmente passerà molto tempo prima che tu o io avremo effettivamente l'aggiornamento che elimina i certificati di TrustCor dai nostri dispositivi.
Il lato positivo è che ora puoi disabilitare i certificati di TrustCor sul tuo dispositivo accedendo ai tuoi certificati sul tuo dispositivo, come mostrato sopra, quindi scorrere fino a TrustCor e disabilitare i tre certificati forniti con il tuo dispositivo. Secondo gli sviluppatori di GrapheneOS progetto, ci dovrebbe essere "un impatto minimo sulla compatibilità web a causa del fatto che questa CA viene utilizzata a malapena da chiunque altro che non sia uno specifico provider DNS dinamico".
La soluzione: Progetto Mainline
Se hai familiarità con Project Mainline, puoi già vedere come questo può aiutare a risolvere il problema. Google utilizza moduli Mainline forniti tramite il framework Google Play Services e Google Play Store. Ogni modulo Mainline viene fornito come file APK, file APEX o APK-in-APEX. Quando un modulo Mainline viene aggiornato, l'utente vede una notifica "Google Play System Update" (GPSU) sul proprio dispositivo. In effetti, per fornire aggiornamenti ai componenti critici, Google ha aggirato la necessità di attendere che un OEM rilasci un aggiornamento, scegliendo di svolgere l’attività stessa. Bluetooth e banda ultralarga sono due moduli Mainline essenziali gestiti da Google.
Secondo impegnarsi sull'AOSP Gerrit (avvistato da Esper), Conscrypt, un modulo Mainline che fornisce l'implementazione TLS di Android, supporterà i certificati root aggiornabili in un aggiornamento futuro. Ciò significherebbe che i certificati potrebbero essere rimossi (o addirittura aggiunti) tramite un aggiornamento del sistema Google Play tramite Project Mainline, garantendo un processo molto più rapido nel caso in cui si verificasse un'altra situazione come TrustCor (o peggio). futuro. Non è chiaro quando verrà implementato, ma è probabile che arriverà su Android 14. È tecnicamente possibile che Google voglia spingerlo con Android 13 QPR2, ma andrebbe a vantaggio solo degli utenti di Google Pixel fino a quando Android 14 non raggiungerà comunque tutti gli altri l'anno prossimo. Questo perché altri OEM in genere non implementano gli aggiornamenti QPR.
L’intera ragione per cui ciò esiste sarebbe che Google possa mantenere il controllo su un altro aspetto cruciale della sicurezza dei dispositivi senza dover fare affidamento sugli OEM che spingono invece gli aggiornamenti. Attualmente è necessaria un'OTA per aggiornare i certificati, ma in una situazione di emergenza, ogni giorno in cui gli utenti non dispongono di un aggiornamento potrebbe avere importanza. L'utilizzo di Project Mainline per garantire che gli utenti possano ottenere aggiornamenti cruciali dei certificati in tempo se mai necessari è sicuramente un cambiamento positivo.
Fonte: Esper