Android 14 może być wyposażony w aktualizowalne certyfikaty główne. W tym artykule wyjaśniono, dlaczego ma to znaczenie.
Certyfikaty główne stanowią rdzeń infrastruktury klucza publicznego (PKI) i są podpisane przez zaufane urzędy certyfikacji lub CA. Przeglądarki, aplikacje i inne programy mają wstępnie spakowany magazyn główny, który oznacza, że te certyfikaty są godna zaufania. Jeśli odwiedzisz witrynę internetową obsługującą protokół HTTPS, ale nie korzystającą z certyfikatu podpisanego przez urząd certyfikacji w katalogu głównym przeglądarki, witryna zostanie oznaczona jako niebezpieczna. Zwykle aplikacje i przeglądarki mogą aktualizować swoje certyfikaty, ale Twój telefon nie może tego zrobić, chyba że nastąpi aktualizacja OTA. To może się zmienić z Androida 14, według Espera.
Na przestrzeni lat pojawiło się kilka obaw związanych z certyfikatami, a to dlatego, że polegamy na nich jako na rdzeniu łańcucha zaufania podczas odwiedzania stron internetowych. Tutaj dalej XDA, nasz certyfikat jest podpisany przez Let's Encrypt, organizację non-profit CA. Ich certyfikat jest podpisany przez Internet Security Research Group i to właśnie ten łańcuch zaufania gwarantuje, że Twoje połączenie z tą witryną jest bezpieczne. To samo dotyczy każdej innej witryny internetowej, którą odwiedzasz i która korzysta z protokołu HTTPS.
Każdy system operacyjny ma swój własny wbudowany sklep główny i Android nie jest wyjątkiem. Możesz wyświetlić ten sklep główny na swoim smartfonie z Androidem, przechodząc do opcji Bezpieczeństwo i prywatność w ustawieniach urządzenia. Od tego momentu będzie to zależeć od rodzaju używanego urządzenia, ale poniższe zrzuty ekranu pokazują, gdzie to się znajduje w OneUI 5.
Rzecz w tym, że nawet ten sklep główny nie jest ostatecznym rozwiązaniem. Aplikacje mogą wybierać i ufać własnemu sklepowi głównemu (co robi Firefox) i mogą tylko akceptować określone certyfikaty (nazywane przypinaniem certyfikatów) w celu uniknięcia efektu man-in-the-middle (MITM) ataki. Użytkownicy mogą instalować własne certyfikaty, ale twórcy aplikacji musieli wyrazić zgodę na zezwalanie aplikacjom na korzystanie z tych certyfikatów już od wersji Androida 7.
Dlaczego posiadanie aktualizowalnych certyfikatów głównych jest ważne
Ponieważ certyfikaty Let's Encrypt są podpisane krzyżowo przez Internet Security Research Group, a działka Internetu zależy od bezpieczeństwa ISRG. Jeżeli ISRG utraci kontrolę nad swoim kluczem prywatnym (na przykład w przypadku kradzieży), wówczas ISRG będzie musiało unieważnić klucz. W zależności od reakcji firm może się zdarzyć, że niektóre części Internetu staną się niedostępne dla urządzeń, które nie mają aktualizowalnych certyfikatów głównych. Choć jest to całkowicie katastrofalny, koszmarny scenariusz (i czysto hipotetyczny), właśnie takiego scenariusza Google chce uniknąć. Dlatego to, co dzieje się obecnie z TrustCor, może sygnalizować Google, że nadszedł czas, aby dodać do Androida aktualizowalne certyfikaty główne.
Dla kontekstu TrustCor jest jednym z takich urzędów certyfikacji, który został poddany analizie po tym, jak badacze zarzucili mu bliskie powiązania z amerykańskim wykonawcą wojskowym. TrustCor nie stracił swojego klucza prywatnego, ale ma stracił zaufanie wielu firm, które muszą decydować, jakie certyfikaty umieszczają w swoich sklepach głównych. Badacze ci utrzymywali, że blisko związany z amerykańskim wykonawcą wojskowym TrustCor płacił programistom za umieszczanie złośliwego oprogramowania gromadzącego dane w aplikacjach na smartfony. W PKI zaufanie jest najważniejsze, a TrustCor je utracił, gdy te zarzuty wyszły na jaw. Od tego czasu firmy takie jak Google, Microsoft i Mozilla zrezygnowały z TrustCor jako urzędu certyfikacji. Usunięcie certyfikatów TrustCor ze sklepu głównego Androida będzie jednak wymagać aktualizacji OTA i chociaż zatwierdzenie zostało już wykonane wykonane w AOSP, prawdopodobnie upłynie dużo czasu, zanim ty lub ja otrzymamy aktualizację, która usuwa certyfikaty TrustCor z naszego urządzenia.
Zaletą jest to, że możesz teraz wyłączyć certyfikaty TrustCor na swoim urządzeniu, przechodząc do swoich certyfikatów na swoim urządzenie, jak pokazaliśmy powyżej, a następnie przewiń do TrustCor i wyłącz trzy certyfikaty dołączone do twojego urządzenie. Według twórców z GrafenOS projektu, powinien mieć „bardzo niewielki wpływ na kompatybilność sieciową, ponieważ ten urząd certyfikacji jest rzadko używany przez kogokolwiek innego niż określony dostawca dynamicznego DNS”.
Rozwiązanie: Projekt Mainline
Jeśli znasz Project Mainline, możesz już zobaczyć, jak może to pomóc w rozwiązaniu problemu. Google korzysta z modułów Mainline, które są dostarczane poprzez platformę Usług Google Play i Sklep Google Play. Każdy moduł Mainline jest dostarczany jako plik APK, plik APEX lub plik APK-in-APEX. Gdy moduł Mainline jest aktualizowany, użytkownik widzi na swoim urządzeniu powiadomienie „Aktualizacja systemu Google Play” (GPSU). W efekcie, aby dostarczać aktualizacje kluczowych komponentów, Google ominęło potrzebę czekania, aż producent OEM wdroży aktualizację, decydując się na samodzielne wykonanie tego zadania. Bluetooth i ultraszerokopasmowy to dwa podstawowe moduły Mainline obsługiwane przez Google.
Według do zobowiązań wobec AOSP Gerrit (zauważony przez Espera), Conscrypt, moduł Mainline zapewniający implementację TLS w systemie Android, będzie obsługiwał aktualizowalne certyfikaty główne w przyszłej aktualizacji. Oznaczałoby to, że certyfikaty można usunąć (lub nawet dodać) za pośrednictwem aktualizacji systemu Google Play Project Mainline, zapewniający znacznie szybszy proces w przypadku wystąpienia innej sytuacji, takiej jak TrustCor (lub gorsza). przyszły. Nie jest jasne, kiedy zostanie to wprowadzone, ale prawdopodobnie pojawi się w systemie Android 14. Technicznie możliwe jest, że Google będzie chciał wypuścić to z Androidem 13 QPR2, ale przyniesie to korzyści tylko użytkownikom Google Pixel, dopóki Android 14 i tak nie dotrze do wszystkich pozostałych w przyszłym roku. Dzieje się tak dlatego, że inni producenci OEM zazwyczaj nie udostępniają aktualizacji QPR.
Jedynym powodem takiego stanu rzeczy jest to, że Google może zachować kontrolę nad innym kluczowym aspektem bezpieczeństwa urządzeń bez konieczności polegania na producentach OEM wypychających aktualizacje. Obecnie do aktualizacji certyfikatów wymagane jest OTA, ale w sytuacji awaryjnej każdy dzień, w którym użytkownicy nie mają aktualizacji, może mieć znaczenie. Wykorzystanie Project Mainline do zapewnienia użytkownikom możliwości otrzymania na czas kluczowych aktualizacji certyfikatów, jeśli zajdzie taka potrzeba, jest z pewnością mile widzianą zmianą.
Źródło: Espera