Android 14 может поставляться с обновляемыми корневыми сертификатами, и в этой статье объясняется, почему это важно.
Корневые сертификаты лежат в основе инфраструктуры открытых ключей (PKI) и подписываются доверенными центрами сертификации или ЦС. Браузеры, приложения и другие программы имеют предварительно упакованное корневое хранилище, что означает, что эти сертификаты заслуживающий доверия. Если вы посещаете веб-сайт, который поддерживает HTTPS, но не использует сертификат, подписанный центром сертификации в корневом хранилище вашего браузера, веб-сайт будет помечен как небезопасный. Обычно приложения и браузеры могут обновлять свои сертификаты, но ваш телефон не может этого делать, если только это не происходит через OTA-обновление. Это может измениться с Андроид 14, в соответствии с Эспер.
За прошедшие годы было несколько опасений, связанных с сертификатами, и это из-за того, что мы полагались на них как на ядро цепочки доверия при посещении веб-сайтов. Здесь на XDA, наш сертификат подписан некоммерческим центром сертификации Let's Encrypt. Их сертификат подписан Группой исследований интернет-безопасности, и именно эта цепочка доверия гарантирует, что ваше соединение с этим веб-сайтом является безопасным и надежным. То же самое касается любого другого посещаемого вами веб-сайта, использующего HTTPS.
Каждая операционная система имеет собственное встроенное корневое хранилище, и Android не является исключением. Вы можете просмотреть это корневое хранилище на своем смартфоне Android, перейдя в раздел «Безопасность и конфиденциальность» в настройках вашего устройства. Далее это будет зависеть от типа устройства, которое вы используете, но на скриншотах ниже показано, где оно находится в OneUI 5.
Однако дело в том, что даже это корневое хранилище не является окончательным и решающим. Приложения могут использовать и доверять своему собственному корневому хранилищу (что и делает Firefox), и они могут принимать только определенные сертификаты (так называемое закрепление сертификата) во избежание «человека посередине» (MITM) атаки. Пользователи могут устанавливать свои собственные сертификаты, но разработчикам приложений необходимо разрешить своим приложениям использовать эти сертификаты начиная с Android 7.
Почему важно иметь обновляемые корневые сертификаты
Сертификаты Let's Encrypt подписываются Исследовательской группой интернет-безопасности. много Интернета зависит от безопасности ISRG. Если ISRG потеряет контроль над своим закрытым ключом (например, в случае его кражи), то ISRG придется отозвать ключ. В зависимости от того, как отреагируют компании, может случиться так, что некоторые части Интернета станут недоступными для устройств, не имеющих обновляемых корневых сертификатов. Хотя это совершенно катастрофический кошмарный сценарий (и чисто гипотетический), именно такого сценария Google хочет избежать. Вот почему то, что сейчас происходит с TrustCor, может быть сигналом Google о том, что пришло время добавить обновляемые корневые сертификаты в Android.
Для контекста, TrustCor является одним из таких центров сертификации, который оказался под пристальным вниманием после того, как исследователи заявили, что он имеет тесные связи с военным подрядчиком США. TrustCor не потерял свой закрытый ключ, но имеет потеряли доверие многих компаний, которым необходимо решить, какие сертификаты включать в свои корневые хранилища. Эти исследователи утверждали, что американский военный подрядчик TrustCor, с которым был близок, платил разработчикам за размещение вредоносного ПО для сбора данных в приложениях для смартфонов. В PKI доверие – это все, и TrustCor потерял это доверие, как только эти обвинения стали известны. С тех пор такие компании, как Google, Microsoft и Mozilla, отказались от TrustCor в качестве центра сертификации. Однако для удаления сертификатов TrustCor из корневого хранилища Android потребуется OTA-обновление, и хотя фиксация уже выполнена. сделано в AOSP, вероятно, пройдет много времени, прежде чем вы или я действительно получим обновление, которое удаляет сертификаты TrustCor из нашего устройства.
Плюсом является то, что вы можете отключить сертификаты TrustCor на своем устройстве прямо сейчас, перейдя к своим сертификатам на своем устройстве. устройстве, как мы показали выше, а затем прокрутите до TrustCor и отключите три сертификата, поставляемые с вашим устройство. По словам разработчиков из ГрафенОС проекта, должно быть «очень незначительное влияние на веб-совместимость, поскольку этот центр сертификации практически не используется никем, кроме конкретного провайдера динамического DNS».
Решение: Project Mainline
Если вы знакомы с Project Mainline, то уже понимаете, как это может помочь решить проблему. Google использует модули Mainline, которые предоставляются через платформу Google Play Services и Google Play Store. Каждый модуль Mainline поставляется в виде файла APK, файла APEX или APK-in-APEX. Когда модуль Mainline обновляется, пользователь видит на своем устройстве уведомление «Обновление системы Google Play» (GPSU). По сути, для доставки обновлений критически важных компонентов компания Google обошла необходимость ждать, пока OEM-производитель выпустит обновление, и предпочла выполнить эту задачу самостоятельно. Bluetooth и сверхширокополосный доступ — два основных модуля Mainline, поддерживаемых Google.
Согласно коммиты на AOSP Gerrit (замечено Эспер), Conscrypt, модуль Mainline, обеспечивающий реализацию TLS в Android, будет поддерживать обновляемые корневые сертификаты в будущем обновлении. Это будет означать, что сертификаты можно удалить (или даже добавить) с помощью обновления системы Google Play через Project Mainline, обеспечивающий гораздо более быстрый процесс в случае возникновения другой ситуации, такой как TrustCor (или хуже), в будущее. Пока неясно, когда это появится, но вполне вероятно, что оно появится и на Android 14. Технически возможно, что Google захочет реализовать эту идею с помощью Android 13 QPR2, но это принесет пользу только пользователям Google Pixel, пока Android 14 не дойдет до всех остальных в следующем году. Это связано с тем, что другие OEM-производители обычно не выпускают обновления QPR.
Вся причина существования этого заключается в том, что Google может сохранять контроль над другим важным аспектом безопасности устройств, не полагаясь вместо этого на OEM-производителей, продвигающих обновления. В настоящее время для обновления сертификатов требуется OTA, но в чрезвычайной ситуации каждый день, когда у пользователей нет обновлений, может иметь значение. Использование Project Mainline, позволяющее пользователям своевременно получать важные обновления сертификатов, если они когда-либо потребуются, безусловно, является долгожданным изменением.
Источник: Эспер