Android 14 kan komme med oppdaterbare rotsertifikater, og denne artikkelen forklarer hvorfor det er viktig.
Rotsertifikater er selve kjernen i Public Key Infrastructure (PKI), og de er signert av pålitelige sertifiseringsinstanser, eller CAer. Nettlesere, applikasjoner og andre programmer har et forhåndspakket rotlager som betyr at disse sertifikatene er troverdig. Hvis du besøker et nettsted som støtter HTTPS, men som ikke bruker et sertifikat signert av en CA i nettleserens rotbutikk, vil nettstedet bli flagget som ikke sikkert. Vanligvis kan applikasjoner og nettlesere oppdatere sertifikatene sine, men telefonen din kan ikke med mindre det er via en OTA-oppdatering. Det kan endre seg med Android 14, i følge Esper.
Det har vært et par skrekk i løpet av årene knyttet til sertifikater, og det er på grunn av vår avhengighet av dem som kjernen i en tillitskjede når vi besøker nettsteder. Her på XDA, sertifikatet vårt er signert av Let's Encrypt, en non-profit CA. Sertifikatet deres er signert av Internet Security Research Group, og det er denne tillitskjeden som sikrer at tilkoblingen din til denne nettsiden er trygg og sikker. Det samme gjelder alle andre nettsider du besøker som bruker HTTPS.
Hvert operativsystem har sin egen innebygde rotbutikk, og Android er ikke annerledes. Du kan faktisk se denne rotbutikken på Android-smarttelefonen din ved å navigere til sikkerhet og personvern i enhetens innstillinger. Derfra vil det avhenge av typen enhet du bruker, men skjermbildene nedenfor viser hvor den er på OneUI 5.
Saken er imidlertid at selv denne rotbutikken ikke er ende-all og be-all. Apper kan velge å bruke og stole på sin egen rotbutikk (som Firefox gjør), og de kan bare godta spesifikke sertifikater (kalt sertifikatfesting) i et forsøk på å unngå Man-in-the-Middle (MITM) angrep. Brukere kan installere sine egne sertifikater, men apputviklere har måttet velge å la appene deres bruke disse sertifikatene helt siden Android 7.
Hvorfor det er viktig å ha oppdaterbare rotsertifikater
Med Let's Encrypt-sertifikater som krysssigneres av Internet Security Research Group, en mye av internett er avhengig av ISRGs sikkerhet. Hvis ISRG mistet kontrollen over sin private nøkkel (hvis den for eksempel skulle bli stjålet), må ISRG tilbakekalle nøkkelen. Avhengig av hvordan selskaper reagerer, kan det hende at enkelte deler av internett vil bli utilgjengelige for enheter som ikke har oppdaterbare rotsertifikater. Selv om det er et fullstendig katastrofalt marerittscenario (og rent hypotetisk), er det akkurat den typen scenario som Google ønsker å unngå. Det er derfor det som skjer med TrustCor for øyeblikket kan signalisere til Google at det er på tide å legge til oppdaterbare rotsertifikater til Android.
For kontekst er TrustCor en slik sertifikatmyndighet som har blitt undersøkt etter at forskere påsto den hadde nære bånd til en amerikansk militærkontraktør. TrustCor har ikke mistet sin private nøkkel, men den har mistet tilliten til mange selskaper som må bestemme hvilke sertifikater de inkluderer i root-butikkene sine. Disse forskerne påsto at den amerikanske militærentreprenøren TrustCor var i nærheten av hadde betalt utviklere for å plassere skadevare for datainnsamling i smarttelefonapper. I PKI er tillit alt, og TrustCor mistet den tilliten når disse påstandene kom frem. Siden den gang har selskaper som Google, Microsoft og Mozilla droppet TrustCor som sertifiseringsinstans. Fjerning av TrustCors sertifikater fra Android-rotbutikken vil imidlertid kreve en OTA-oppdatering, og mens forpliktelsen allerede er laget i AOSP, vil det sannsynligvis ta lang tid før du eller jeg faktisk har oppdateringen som fjerner TrustCors sertifikater fra vår enheter.
Fordelen er at du kan deaktivere TrustCors sertifikater på enheten din nå ved å gå til sertifikatene dine på enhet, som vi viste ovenfor, og deretter bla til TrustCor og deaktivere de tre sertifikatene som følger med enhet. Ifølge utviklere fra GrapheneOS prosjekt, bør det være "veldig liten innvirkning på nettkompatibilitet på grunn av at denne CA knapt blir brukt av andre enn en spesifikk dynamisk DNS-leverandør."
Løsningen: Project Mainline
Hvis du er kjent med Project Mainline, kan du allerede se hvordan dette kan bidra til å løse problemet. Google bruker hovedlinjemoduler som leveres gjennom rammeverket for Google Play Services og Google Play Store. Hver hovedlinjemodul leveres enten som en APK-fil, en APEX-fil eller en APK-i-APEX. Når en hovedlinjemodul oppdateres, ser brukeren et "Google Play System Update" (GPSU)-varsel på enheten sin. Effektivt, for å levere oppdateringer til kritiske komponenter, har Google omgått behovet for å vente på at en OEM skal rulle ut en oppdatering, og valgt å gjøre oppgaven selv. Bluetooth og Ultra-wideband er to viktige hovedlinjemoduler som håndteres av Google.
I henhold å forplikter seg til AOSP Gerrit (oppdaget av Esper), Conscrypt, en hovedlinjemodul som gir Androids TLS-implementering, vil støtte oppdaterbare rotsertifikater i en fremtidig oppdatering. Dette vil bety at sertifikater kan fjernes (eller til og med legges til) via en systemoppdatering for Google Play Project Mainline, som sikrer en mye raskere prosess dersom en annen situasjon som TrustCor (eller verre) skulle oppstå i framtid. Det er ikke klart når dette vil rulle ut, men det er sannsynlig at det kommer til Android 14. Det er teknisk mulig at Google kanskje vil presse det med Android 13 QPR2, men det vil bare være til fordel for Google Pixel-brukere til Android 14 når alle andre uansett neste år. Dette er fordi andre OEM-er vanligvis ikke ruller ut QPR-oppdateringer.
Hele grunnen til at dette eksisterer ville være slik at Google kan opprettholde kontrollen over et annet viktig aspekt ved enhetssikkerhet uten å måtte stole på at OEM-er pusher oppdateringer i stedet. En OTA kreves for øyeblikket for å oppdatere sertifikater, men i en nødsituasjon kan hver dag der brukere ikke har en oppdatering ha betydning. Å bruke Project Mainline for å sikre at brukere kan få viktige sertifikatoppdateringer i tide hvis de noen gang er nødvendige, er absolutt en velkommen endring.
Kilde: Esper