Android 14 poate veni cu certificate rădăcină actualizabile, iar acest articol explică de ce contează.
Certificatele rădăcină se află în centrul infrastructurii cu chei publice (PKI) și sunt semnate de autorități de certificare de încredere sau CA. Browserele, aplicațiile și alte programe au un depozit rădăcină pre-ambalat care înseamnă că aceste certificate sunt demn de incredere. Dacă vizitați un site web care acceptă HTTPS, dar nu folosește un certificat semnat de o CA în magazinul rădăcină al browserului dvs., atunci site-ul web va fi semnalat ca nesecurizat. În mod obișnuit, aplicațiile și browserele își pot actualiza certificatele, dar telefonul nu poate decât dacă este printr-o actualizare OTA. Asta se poate schimba cu Android 14, conform Esper.
Au existat câteva înfricoșări de-a lungul anilor legate de certificate și asta din cauza dependenței noastre de ele ca nucleu al unui lanț de încredere atunci când vizităm site-uri web. Aici mai departe XDA, certificatul nostru este semnat de Let's Encrypt, un CA non-profit. Certificatul lor este semnat de Internet Security Research Group și este acel lanț de încredere care asigură că conexiunea dvs. la acest site web este sigură și securizată. Același lucru este valabil și pentru orice alt site web pe care îl vizitați și care utilizează HTTPS.
Fiecare sistem de operare are propriul magazin de rădăcină încorporat, iar Android nu este diferit. Puteți vizualiza acest magazin rădăcină pe smartphone-ul dvs. Android navigând la securitate și confidențialitate în setările dispozitivului dvs. De acolo, va depinde de tipul de dispozitiv pe care îl utilizați, dar capturile de ecran de mai jos arată unde se află pe OneUI 5.
Ideea este, totuși, că nici măcar acest magazin rădăcină nu este sfârșitul tuturor. Aplicațiile pot alege să folosească și să aibă încredere în propriul magazin rădăcină (ceea ce face Firefox) și pot accepta numai certificate specifice (denumită fixarea certificatelor) într-un efort de a evita Man-in-the-Middle (MITM) atacuri. Utilizatorii își pot instala propriile certificate, dar dezvoltatorii de aplicații au trebuit să se înscrie pentru a permite aplicațiilor lor să folosească aceste certificate încă de la Android 7.
De ce este important să aveți certificate rădăcină actualizabile
Având în vedere că certificatele Let's Encrypt sunt semnate încrucișat de Internet Security Research Group, a lot Internetul se bazează pe securitatea ISRG. Dacă ISRG a pierdut controlul asupra cheii sale private (în cazul în care ar fi furată, de exemplu), atunci ISRG ar trebui să revoce cheia. În funcție de modul în care companiile răspund, atunci se poate întâmpla ca unele părți ale internetului să devină inaccesibile dispozitivelor care nu au certificate rădăcină actualizabile. Deși acesta este un scenariu de coșmar complet catastrofal (și pur ipotetic), este exact tipul de scenariu pe care Google vrea să-l evite. De aceea, ceea ce se întâmplă cu TrustCor în prezent ar putea semnala lui Google că este timpul să adăugați certificate rădăcină actualizabile la Android.
Pentru context, TrustCor este una dintre aceste autorități de certificare care a fost examinată după ce cercetătorii au susținut că are legături strânse cu un contractant militar american. TrustCor nu și-a pierdut cheia privată, dar ea are a pierdut încrederea multor companii care trebuie să decidă ce certificate includ în depozitele lor root. Acei cercetători au susținut că contractorul militar american TrustCor a fost apropiat a plătit dezvoltatorii pentru a plasa programe malware de colectare a datelor în aplicațiile pentru smartphone-uri. În PKI, încrederea este totul, iar TrustCor a pierdut această încredere odată ce aceste acuzații au ieșit la lumină. De atunci, companii precum Google, Microsoft și Mozilla au renunțat la TrustCor ca autoritate de certificare. Îndepărtarea certificatelor TrustCor din magazinul rădăcină Android va necesita totuși o actualizare OTA și, în timp ce commit-ul este deja realizat în AOSP, va trece probabil mult timp până când tu sau eu avem actualizarea care elimină certificatele TrustCor din dispozitive.
Avantajul este că puteți dezactiva certificatele TrustCor de pe dispozitivul dvs., accesând certificatele dvs. de pe dispozitivul dvs. dispozitiv, așa cum am arătat mai sus, apoi derulați la TrustCor și dezactivați cele trei certificate care vin cu dvs. dispozitiv. Potrivit dezvoltatorilor de la GrapheneOS proiect, ar trebui să existe „un impact foarte mic asupra compatibilității web, deoarece acest CA abia este folosit de altcineva decât de un anumit furnizor DNS dinamic.”
Soluția: Project Mainline
Dacă sunteți familiarizat cu Project Mainline, atunci puteți vedea deja cum vă poate ajuta acest lucru la rezolvarea problemei. Google folosește module Mainline care sunt livrate prin cadrul Serviciilor Google Play și Magazinul Google Play. Fiecare modul Mainline este livrat fie ca fișier APK, fie ca fișier APEX, fie ca APK-in-APEX. Când un modul Mainline este actualizat, utilizatorul vede o notificare „Google Play System Update” (GPSU) pe dispozitivul său. În mod efectiv, pentru a furniza actualizări ale componentelor critice, Google a ocolit necesitatea de a aștepta ca un OEM să lanseze o actualizare, alegând să facă singur sarcina. Bluetooth și Ultra-wideband sunt două module esențiale Mainline gestionate de Google.
In conformitate să se angajeze pe AOSP Gerrit (descoperit de Esper), Conscrypt, un modul Mainline care oferă implementarea TLS pentru Android, va accepta certificate rădăcină actualizabile într-o actualizare viitoare. Acest lucru ar însemna că certificatele ar putea fi eliminate (sau chiar adăugate) printr-o actualizare a sistemului Google Play Project Mainline, asigurând un proces mult mai rapid în cazul în care apare o altă situație precum TrustCor (sau mai rău) în viitor. Nu este clar când va fi lansat, dar este probabil să ajungă la Android 14. Din punct de vedere tehnic, este posibil ca Google să dorească să-l împingă cu Android 13 QPR2, dar ar beneficia doar utilizatorii Google Pixel până când Android 14 va ajunge oricum la toți ceilalți anul viitor. Acest lucru se datorează faptului că, de obicei, alți OEM nu lansează actualizări QPR.
Întregul motiv pentru care acest lucru ar exista ar fi astfel încât Google să poată menține controlul asupra unui alt aspect crucial al securității dispozitivului, fără a fi nevoie să se bazeze pe OEM-uri care pregătesc actualizări. În prezent, este necesară o OTA pentru a actualiza certificatele, dar într-o situație de urgență, în fiecare zi în care utilizatorii nu au o actualizare ar putea conta. Utilizarea Project Mainline pentru a se asigura că utilizatorii pot obține actualizări cruciale ale certificatelor la timp, dacă sunt vreodată necesare, este cu siguranță o schimbare binevenită.
Sursă: Esper