Naast de vele gebruikersgerichte verbeteringen in de laatste incarnatie van Android die gisteren werd aangekondigd, zijn er een aantal interessante beveiligingen verbeteringen, die erop lijken te wijzen dat Google de platformbeveiliging in deze nieuwe versie niet volledig heeft verwaarloosd uitgave. In dit artikel wordt besproken wat er nieuw is en wat dit voor u betekent.
SELinux in de afdwingmodus
In Android 4.4 is SELinux overgegaan van het draaien in de permissieve modus (die simpelweg fouten registreert), naar de afdwingende modus. SELinux, geïntroduceerd in Android 4.3, is een verplicht toegangscontrolesysteem ingebouwd in de Linux-kernel, om de bestaande toegangscontrolerechten te helpen afdwingen (d.w.z. permissies) en om te proberen escalatieaanvallen op privileges te voorkomen (d.w.z. een app die root-toegang probeert te krijgen op uw apparaat).
Ondersteuning voor Elliptic Curve Cryptography (ECDSA)-ondertekeningssleutels in AndroidKeyStore
De geïntegreerde Android-sleutelopslagprovider biedt nu ondersteuning voor Eliptic Curve-ondertekeningssleutels. Hoewel Eliptic Curve Cryptography de laatste tijd wat (ongerechtvaardigde) slechte publiciteit heeft gekregen, is ECC een levensvatbare vorm van cryptografie met publieke sleutels die een goed alternatief kan bieden voor RSA en dergelijke algoritmen. Hoewel asymmetrische cryptografie de ontwikkelingen op het gebied van quantum computing niet zal doorstaan, is het goed om te zien dat Android 4.4 meer opties voor ontwikkelaars introduceert. Voor gegevensopslag op lange termijn blijft symmetrische encryptie de beste methode.
SSL CA-certificaatwaarschuwingen
Veel zakelijke IT-omgevingen bevatten SSL-bewakingssoftware, die een certificeringsinstantie (CA) aan uw computer en/of browser toevoegt sta toe dat de webfiltersoftware van het bedrijf een "man in the middle"-aanval uitvoert op uw HTTPS-sessies voor beveiliging en monitoring doeleinden. Dit is met Android mogelijk geweest door een extra CA-sleutel aan het apparaat toe te voegen (waardoor de gatewayserver van uw bedrijf zich kan voordoen als een website van zijn keuze). Android 4.4 zal gebruikers waarschuwen als aan hun toestel een dergelijk CA-certificaat is toegevoegd, zodat zij zich bewust zijn van de mogelijkheid dat dit gebeurt.
Geautomatiseerde detectie van bufferoverflow
Android 4.4 compileert nu met FORTIFY_SOURCE op niveau 2 en zorgt ervoor dat alle C-code met deze bescherming wordt gecompileerd. Code die is gecompileerd met clang valt hier ook onder. FORTIFY_SOURCE is een beveiligingsfunctie van de compiler, die probeert te identificeren sommige mogelijkheden voor bufferoverflow (die kunnen worden uitgebuit door kwaadaardige software of gebruikers om willekeurige code-uitvoering op een apparaat te verkrijgen). Hoewel FORTIFY_SOURCE niet alle mogelijkheden van bufferoverflows elimineert, is het zeker beter gebruikt dan ongebruikt, om duidelijke vergissingen bij het toewijzen van buffers te voorkomen.
Google-certificaat vastzetten
Als aanvulling op de ondersteuning voor het vastzetten van certificaten in eerdere versies van Jellybean, voegt Android 4.4 bescherming toe tegen certificaatvervanging voor Google-certificaten. Certificate Pinning is het toestaan dat alleen bepaalde op de witte lijst geplaatste SSL-certificaten voor een bepaald domein worden gebruikt. Dit beschermt u tegen het vervangen door uw provider van (bijvoorbeeld) een certificaat dat aan hem is verstrekt op bevel van de overheid van uw land. Zonder het vastzetten van certificaten zou uw apparaat dit geldige SSL-certificaat accepteren (aangezien SSL elke vertrouwde CA toestaat elk certificaat uit te geven). Met het vastzetten van certificaten wordt alleen het hardgecodeerde geldige certificaat door uw telefoon geaccepteerd, waardoor u wordt beschermd tegen een man-in-the-middle-aanval.
Het lijkt er zeker op dat Google niet op zijn lauweren heeft gerust met Android-beveiliging. Dit is een aanvulling op de opname van dm-verity, wat mogelijk ernstige gevolgen kan hebben voor mensen die graag hun apparaten rooten en aanpassen met vergrendelde bootloaders (d.w.z. die kernelhandtekeningen afdwingen).