הגנת החזרה לאחור של Android Oreo נדרשת בטלפונים המופעלים עם Android Pie

כל המכשירים המופעלים עם Android Pie (אנדרואיד 9) נדרשים לתמוך ב-Verified Boot (Android Verified Boot 2.0), המאפשר הגנה לאחור.

Android Pie (אנדרואיד 9) רק עלה לאוויר היום עבור Google Pixel, Google Pixel 2 ו אפילו ה טלפון חיוני. אנחנו לומדים כמה שיותר על השחרור מראיונות (ה-Google Pixel 3 יהיה רק ניווט מחוות!), ה ירידת קוד AOSP, ולבסוף מסמך הגדרת התאימות (CDD). פרסמנו על א תכונה חדשה עבור אפליקציות "כבדות משקל". מוקדם יותר היום, אבל עכשיו גילינו שגוגל שינתה את הניסוח שלה בתכונה שהוצגה באנדרואיד אוראו: הגנה לאחור. התכונה מתאפשרת על ידי Android Verified Boot 2.0 (הידוע גם בשם Verified Boot), עם זאת, יצרני OEM לא נדרשו ליישם את AVB 2.0 במהדורת Oreo. כעת, גוגל מחייבת שכל המכשירים המופעלים עם Android Pie יתמכו באתחול מאומת, ובהרחבה, הגנת החזרה לאחור.

הגנה לאחור באנדרואיד אוראו

עיקר התכונה היא שזה ימנע מהטלפון שלך לאתחל אם הוא יזהה שהמכשיר שודרג לאחור לגרסה קודמת, כעת לא מאושרת, של תוכנה שנחשבה לא בטוחה בגלל אבטחה פגיעות. הסבר קצת יותר טכני הוא שמבנה הנתונים VBMeta, שמכיל את ה-hash עבור מחיצת האתחול ו מטא נתונים של hashtree עבור מחיצות מערכת וספקים, משתמש באינדקס החזרה לאחור כדי לדחות תמונות שיש להן החזרה ישנה יותר אינדקס.

הגנה לאחור באתחול מאומת של Android. מָקוֹר: גוגל.

תכונה זו קיימת במכשירים כמו Google Pixel 2, Razer Phone ו-OnePlus 6 אך אינה קיימת במכשירים רבים אחרים כמו Samsung Galaxy S9 (אם כי סמסונג מציעה צורה משלהם של הגנה לאחור בנוקס.) כעת, גוגל הופכת את התכונה לחובה עבור כל מכשיר המופעל עם Android Pie.

אתחול מאומת ב-Android Pie

לפי הנוסח המעודכן בסעיף "שלמות המכשיר" במסמך הגדרת התאימות, מכשירים המופעלים עם אנדרואיד 9 חייבים לתמוך ב-Verified Boot.

9.10. שלמות המכשיר

הדרישות הבאות מבטיחות שיש שקיפות למצב של שלמות המכשיר. יישומי מכשיר:

[C-0-1] חייב לדווח בצורה נכונה באמצעות שיטת ה-API של המערכת PersistentDataBlockManager.getFlashLockState() האם מצב טוען האתחול שלהם מאפשר הבהוב של תמונת המערכת. מצב FLASH_LOCK_UNKNOWN שמור עבור יישומי מכשירים המשודרים מגרסה קודמת של אנדרואיד שבה לא הייתה קיימת שיטת API מערכת חדשה זו.
[C-0-2] חייב לתמוך באתחול מאומת לשלמות המכשיר.

אם יישומי מכשירים כבר הושקו ללא תמיכה ב-Verified Boot בגרסה קודמת של אנדרואיד ואינם יכולים להוסיף תמיכה לתכונה זו עם עדכון תוכנת מערכת, הם עשויים להיות פטורים מה- דְרִישָׁה.

...

[C-1-10] חייבים ליישם הגנת ביטול חזרה עבור מחיצות בשימוש אנדרואיד (למשל אתחול, מחיצות מערכת) ולהשתמש באחסון מובהק לשמירה על המטא נתונים המשמשים לקביעת מערכת ההפעלה המינימלית המותרת גִרְסָה.
צריך ליישם הגנה לאחור עבור כל רכיב עם קושחה מתמשכת (למשל מודם, מצלמה) ו צריך להשתמש באחסון מובהק לשמירה על המטא נתונים המשמשים לקביעת המינימום המותר גִרְסָה.

כפי שניתן לראות בשתי הנקודות האחרונות של נקודות, יש אזהרה אחת לשים לב. הגנת החזרה לאחור נדרשת עבור מחיצות בשימוש אנדרואיד (אתחול, מערכת, ספק וכו') אך לא עבור מחיצות עם קושחה מתמשכת (מודם, מצלמה וכו'). קבוצת המחיצות הקודמת היא המקום שבו רוב פרצות האבטחה מתגלות ומתוקנות, כך שזה נחמד לראות שההגנה על המחיצות הללו היא חובה. עם זאת, היו ניצולים שמכוונים גם למחיצות עם קושחה מתמשכת, כך שאיננו בטוחים מדוע גוגל לא מחייבת עליהן הגנה על חזרה.

חבר בכיר ב-XDA npjohnson, חבר בצוות LineageOS, משער שדרישת הגנה לאחור במחיצות עם קושחה מתמשכת דורשים חיבורי מאתחול משני (SBL) ו-eXtensible Bootloader (XBL) מכיוון שמחיצות אלו מותקנות מוקדם יותר באתחול תהליך. זה יהיה יקר עבור יצרני OEM קטנים יותר ליישם XBLs מותאמים אישית כדי להתאים את המודמים המותאמים אישית ומחיצות מתמשכות אחרות, אז אולי גוגל לא עושה זאת לדרישה כדי להקל על יצרני מכשירים לעמוד בדרישות העדכניות ביותר ב-CDD.

כיצד לבדוק אם הטלפון שלך תומך ב-AVB 2.0

ישנן שתי פקודות מעטפת ADB שבהן תוכל להשתמש כדי לבדוק אם הטלפון שלך תומך ב-AVB 2.0.

adb shell
dumpsys package | grep "verified_boot"

אוֹ

adb shell
getprop | grep "avb"

אם הפלט של הפקודה הראשונה הוא "android.software.verified_boot" אז AVB 2.0 נתמך. אם הפלט של הפקודה השנייה מציג "[ro.boot.avb_version]" ו-"[ro.boot.vbmeta.avb_version]" ומפרט מספר גרסה עבור כל אחד מהם, אז זה נתמך.

אתחול מאומת ופיתוח מותאם אישית

אתחול מאומת של Android לא באמת משפיע על רוב משתמשי ה-ROM המותאמים אישית למרות שהוא מוסיף שכבת אבטחה נוספת שעליך לעקוף במקרים מסוימים. לדוגמה, מהבהבת תמונת מערכת כללית דורש השבתת AVB. שינוי מחיצות מסוימות כמו הספק ב-OnePlus 6 מחייב השבתת AVB גם כן, כפי שלמדתי לאחרונה. לפי npjohnson, מיושם כהלכה AVB 2.0 מאפשר לתמונות אתחול מותאמות אישית לעבוד עם טוען אתחול נעול. נראה כיצד הכללת AVB 2.0 במכשירים המשלוחים עם Android Pie משפיעה על הנוף, אך אנו מקווים שזה לא יביא למצבים כמו הפחדת לבנים לאחרונה בקהילת Xiaomi Redmi Note 5 Pro. AVB 2.0 חובה הוא רק דרך נוספת עבור גוגל לשפר את אבטחת פלטפורמת אנדרואיד, אבל השינוי הגדול ביותר, לדעתנו, הוא ה עיבוד מחדש של הסכמי OEM כדי לחייב תיקוני אבטחה רגילים.