Operētājsistēmā Android 14 var būt atjaunināmi saknes sertifikāti, un šajā rakstā ir paskaidrots, kāpēc tas ir svarīgi.
Saknes sertifikāti ir publiskās atslēgas infrastruktūras (PKI) pamatā, un tos paraksta uzticamas sertifikācijas iestādes vai CAs. Pārlūkprogrammām, lietojumprogrammām un citām programmām ir iepriekš iepakots saknes veikals, kas norāda, ka šie sertifikāti ir uzticams. Ja apmeklējat vietni, kas atbalsta HTTPS, bet neizmanto CA parakstītu sertifikātu jūsu pārlūkprogrammas saknes veikalā, vietne tiks atzīmēta kā nedroša. Parasti lietojumprogrammas un pārlūkprogrammas var atjaunināt savus sertifikātus, taču tālrunis to nevar atjaunināt, ja vien tas nav pieejams, izmantojot OTA atjauninājumu. Tas var mainīties ar Android 14, saskaņā ar Esper.
Gadu gaitā ir bijušas dažas bailes saistībā ar sertifikātiem, un tas ir tāpēc, ka mēs paļaujamies uz tiem kā uzticības ķēdes kodolu, kad apmeklējam vietnes. Šeit tālāk XDA, mūsu sertifikātu ir parakstījusi Let's Encrypt, bezpeļņas CA. Viņu sertifikātu ir parakstījusi Internet Security Research Group, un tā ir uzticības ķēde, kas nodrošina, ka savienojums ar šo vietni ir drošs. Tas pats attiecas uz jebkuru citu jūsu apmeklēto vietni, kurā tiek izmantots HTTPS.
Katrai operētājsistēmai ir savs iebūvēts saknes veikals, un Android neatšķiras. Jūs faktiski varat skatīt šo saknes veikalu savā Android viedtālrunī, ierīces iestatījumos pārejot uz drošību un privātumu. Tālāk tas būs atkarīgs no izmantotās ierīces veida, taču tālāk redzamajos ekrānuzņēmumos ir parādīta tā atrašanās vieta OneUI 5.
Tomēr lieta ir tāda, ka pat šis sakņu veikals nav viss un viss. Lietojumprogrammas var izvēlēties izmantot un uzticēties savam saknes veikalam (ko dara Firefox), un tās var pieņemt tikai īpaši sertifikāti (saukts par sertifikātu piespraušanu), lai izvairītos no cilvēka vidū (MITM) uzbrukumiem. Lietotāji var instalēt savus sertifikātus, taču lietotņu izstrādātājiem kopš operētājsistēmas Android 7 ir jāpiesakās, lai atļautu savām lietotnēm izmantot šos sertifikātus.
Kāpēc ir svarīgi izmantot atjaunināmus saknes sertifikātus
Tā kā Let's Encrypt sertifikātus ir parakstījusi Internet Security Research Group, a daudz interneta daļa ir atkarīga no ISRG drošības. Ja ISRG zaudētu kontroli pār savu privāto atslēgu (piemēram, ja tā tiktu nozagta), tad ISRG būs jāatsauc atslēga. Atkarībā no uzņēmumu reakcijas var gadīties, ka dažas interneta daļas kļūs nepieejamas ierīcēm, kurām nav atjaunināmu saknes sertifikātu. Lai gan tas ir pilnīgi katastrofāls murga scenārijs (un tīri hipotētisks), Google vēlas izvairīties no šī scenārija. Tāpēc tas, kas pašlaik notiek ar TrustCor, var signalizēt uzņēmumam Google, ka ir pienācis laiks Android ierīcēm pievienot atjaunināmus saknes sertifikātus.
Konteksta kontekstā TrustCor ir viena no šādām sertifikācijas iestādēm, kas tika pārbaudīta pēc tam, kad pētnieki apgalvoja, ka tai ir ciešas attiecības ar ASV militāro darbuzņēmēju. TrustCor nav pazaudējis savu privāto atslēgu, bet to ir zaudēja daudzu uzņēmumu uzticību, kuriem jāizlemj, kādus sertifikātus tie iekļauj savos sakņu veikalos. Šie pētnieki apgalvoja, ka ASV militārais darbuzņēmējs TrustCor bija cieši saistīts ar samaksu izstrādātājiem, lai tie viedtālruņu lietotnēs ievietotu datu vākšanas ļaunprātīgu programmatūru. Pakalpojumā PKI uzticēšanās ir viss, un TrustCor šo uzticību zaudēja, tiklīdz šie apgalvojumi nāca gaismā. Kopš tā laika tādi uzņēmumi kā Google, Microsoft un Mozilla ir atcēluši TrustCor kā sertifikācijas iestādi. Tomēr, lai noņemtu TrustCor sertifikātus no Android saknes veikala, būs nepieciešams OTA atjauninājums, un, kamēr saistības jau notiek AOSP, iespējams, paies ilgs laiks, līdz jūs vai es patiešām saņemsim atjauninājumu, kas noņems TrustCor sertifikātus no mūsu ierīces.
Pluss ir tas, ka jūs varat atspējot TrustCor sertifikātus savā ierīcē tagad, atverot savus sertifikātus savā ierīcē. ierīci, kā mēs parādījām iepriekš, un pēc tam ritiniet līdz TrustCor un atspējojiet trīs sertifikātus, kas tiek piegādāti kopā ar ierīci. Saskaņā ar izstrādātājiem no GrapheneOS projektam vajadzētu “ļoti mazai ietekmei uz tīmekļa saderību, jo šo CA gandrīz neizmanto kāds cits, izņemot konkrētu dinamisko DNS nodrošinātāju”.
Risinājums: Project Mainline
Ja esat iepazinies ar Project Mainline, tad jau varat redzēt, kā tas var palīdzēt atrisināt problēmu. Google izmanto Mainline moduļus, kas tiek piegādāti, izmantojot Google Play pakalpojumu sistēmu un Google Play veikalu. Katrs Mainline modulis tiek piegādāts kā APK fails, APEX fails vai APK-in-APEX. Kad tiek atjaunināts Mainline modulis, lietotājs savā ierīcē redz paziņojumu “Google Play sistēmas atjauninājums” (GPSU). Lai nodrošinātu svarīgu komponentu atjauninājumus, Google ir apiejis vajadzību gaidīt, līdz OEM izlaiž atjauninājumu, izvēloties veikt šo uzdevumu pats. Bluetooth un īpaši platjoslas savienojums ir divi būtiski galvenās līnijas moduļi, kurus apstrādā Google.
Saskaņā ar uzņemties saistības AOSP Gerrit (pamanīja Esper), Conscrypt, Mainline modulis, kas nodrošina Android TLS ieviešanu, turpmākajā atjauninājumā atbalstīs atjaunināmus saknes sertifikātus. Tas nozīmētu, ka sertifikātus varētu noņemt (vai pat pievienot), izmantojot Google Play sistēmas atjauninājumu Project Mainline, nodrošinot daudz ātrāku procesu, ja rodas cita situācija, piemēram, TrustCor (vai sliktāk). nākotnē. Nav skaidrs, kad tas tiks izlaists, taču, visticamāk, tas nonāks operētājsistēmā Android 14. Tehniski ir iespējams, ka Google varētu vēlēties to ieviest ar Android 13 QPR2, taču tas sniegtu labumu tikai Google Pixel lietotājiem, līdz Android 14 nākamgad tomēr sasniegs visus pārējos. Tas ir tāpēc, ka citi OEM parasti neizlaiž QPR atjauninājumus.
Viss iemesls tam būtu tāds, ka Google varētu saglabāt kontroli pār citu būtisku ierīces drošības aspektu, nepaļaujoties uz oriģinālo iekārtu ražotājiem, kas veic atjauninājumus. Pašlaik sertifikātu atjaunināšanai ir nepieciešama OTA, taču ārkārtas situācijā katrai dienai, kad lietotājiem nav atjauninājumu, var būt nozīme. Project Mainline izmantošana, lai nodrošinātu, ka lietotāji var laikus saņemt svarīgus sertifikātu atjauninājumus, ja tie kādreiz ir nepieciešami, noteikti ir apsveicamas izmaiņas.
Avots: Esper