Android 14 môže byť dodávaný s aktualizovateľnými koreňovými certifikátmi a tento článok vysvetľuje, prečo je to dôležité.
Koreňové certifikáty sú jadrom infraštruktúry verejného kľúča (PKI) a sú podpísané dôveryhodnými certifikačnými autoritami, resp. CAs. Prehliadače, aplikácie a ďalšie programy majú vopred zabalené koreňové úložisko, čo znamená, že tieto certifikáty sú dôveryhodný. Ak navštívite webovú lokalitu, ktorá podporuje HTTPS, ale nepoužíva certifikát podpísaný certifikačnou autoritou v koreňovom úložisku vášho prehliadača, webová lokalita bude označená ako nezabezpečená. Aplikácie a prehliadače zvyčajne môžu aktualizovať svoje certifikáty, ale váš telefón nie, pokiaľ to nie je prostredníctvom aktualizácie OTA. To sa môže zmeniť s Android 14, podľa Esper.
V priebehu rokov sa v súvislosti s certifikátmi vyskytlo niekoľko obáv, a to preto, že sa na ne spoliehame ako na jadro reťazca dôvery, keď navštevujeme webové stránky. Tu ďalej XDA, náš certifikát je podpísaný Let's Encrypt, nezisková CA. Ich certifikát je podpísaný skupinou Internet Security Research Group a je to reťazec dôvery, ktorý zaisťuje, že vaše pripojenie k tejto webovej lokalite je bezpečné. To isté platí pre akúkoľvek inú webovú stránku, ktorú navštívite a ktorá používa HTTPS.
Každý operačný systém má svoj vlastný koreňový obchod a Android nie je iný. Tento koreňový obchod môžete skutočne zobraziť na svojom smartfóne s Androidom tak, že v nastaveniach zariadenia prejdete na zabezpečenie a súkromie. Odtiaľ to bude závisieť od typu zariadenia, ktoré používate, ale snímky obrazovky nižšie ukazujú, kde sa nachádza na OneUI 5.
Ide však o to, že ani tento koreňový obchod nie je úplný a úplný. Aplikácie sa môžu rozhodnúť používať a dôverovať svojmu vlastnému koreňovému úložisku (čo robí Firefox) a môžu iba akceptovať špecifické certifikáty (dabované pripínanie certifikátov) v snahe vyhnúť sa Man-in-the-Middle (MITM) útokov. Používatelia si môžu nainštalovať svoje vlastné certifikáty, ale vývojári aplikácií sa museli prihlásiť, aby umožnili svojim aplikáciám používať tieto certifikáty už od Androidu 7.
Prečo je dôležité mať aktualizované koreňové certifikáty
S certifikátmi Let's Encrypt krížovo podpísanými spoločnosťou Internet Security Research Group, a veľa internetu závisí od bezpečnosti ISRG. Ak by ISRG stratil kontrolu nad svojím súkromným kľúčom (ak by bol napríklad odcudzený), potom by ISRG musel kľúč odvolať. V závislosti od toho, ako spoločnosti reagujú, sa môže stať, že niektoré časti internetu sa stanú nedostupnými pre zariadenia, ktoré nemajú aktualizovať koreňové certifikáty. Aj keď ide o úplne katastrofický scenár nočnej mory (a čisto hypotetický), je to presne ten scenár, ktorému sa chce Google vyhnúť. To je dôvod, prečo to, čo sa v súčasnosti deje s TrustCor, môže spoločnosti Google signalizovať, že je čas pridať do Androidu koreňové certifikáty s možnosťou aktualizácie.
Pre kontext je TrustCor jednou z takýchto certifikačných autorít, ktoré sa dostali pod kontrolu po tom, čo výskumníci tvrdili, že má úzke väzby na amerického vojenského dodávateľa. TrustCor nestratil svoj súkromný kľúč, ale on má stratili dôveru mnohých spoločností, ktoré sa musia rozhodnúť, aké certifikáty zahrnú do svojich koreňových obchodov. Títo výskumníci tvrdili, že americký vojenský dodávateľ TrustCor mal blízko k tomu, že zaplatil vývojárom za umiestnenie škodlivého softvéru na zber údajov do aplikácií pre smartfóny. V PKI je dôvera všetkým a TrustCor túto dôveru stratil, keď tieto obvinenia vyšli najavo. Odvtedy spoločnosti ako Google, Microsoft a Mozilla upustili od TrustCor ako certifikačnej autority. Odstránenie certifikátov TrustCor z koreňového úložiska systému Android si však bude vyžadovať aktualizáciu OTA a kým je už potvrdenie vyrobené v AOSP, bude pravdepodobne trvať dlho, kým vy alebo ja skutočne získame aktualizáciu, ktorá odstráni certifikáty TrustCor z nášho zariadení.
Výhodou je, že teraz môžete zakázať certifikáty TrustCor na svojom zariadení tak, že prejdete na svoje certifikáty na svojom zariadení zariadení, ako sme si ukázali vyššie, a potom prejdite na TrustCor a deaktivujte tri certifikáty, ktoré sú súčasťou vášho zariadenia zariadenie. Podľa vývojárov z GrapheneOS projekt by mal mať „veľmi malý vplyv na kompatibilitu webu, pretože túto CA sotva používa niekto iný ako konkrétny poskytovateľ dynamického DNS“.
Riešenie: Project Mainline
Ak poznáte Project Mainline, už môžete vidieť, ako to môže pomôcť vyriešiť problém. Google využíva hlavné moduly, ktoré sú dodávané prostredníctvom rámca služieb Google Play a obchodu Google Play. Každý modul hlavnej línie sa dodáva buď ako súbor APK, súbor APEX alebo súbor APK-in-APEX. Keď sa aktualizuje hlavný modul, používateľovi sa na jeho zariadení zobrazí upozornenie „Aktualizácia systému Google Play“ (GPSU). Pri poskytovaní aktualizácií kritickým komponentom spoločnosť Google efektívne obišla potrebu čakať na aktualizáciu od výrobcu OEM a rozhodla sa vykonať túto úlohu sama. Bluetooth a ultraširokopásmové pripojenie sú dva základné moduly hlavnej línie, ktoré spravuje spoločnosť Google.
Podľa k záväzkom na AOSP Gerrit (všimol si Esper), Conscrypt, modul hlavnej línie, ktorý poskytuje implementáciu TLS systému Android, bude v budúcej aktualizácii podporovať aktualizovať koreňové certifikáty. To by znamenalo, že certifikáty by bolo možné odstrániť (alebo dokonca pridať) prostredníctvom aktualizácie systému Google Play Project Mainline, ktorý zaisťuje oveľa rýchlejší proces, ak by nastala iná situácia ako TrustCor (alebo horšia). budúcnosti. Nie je jasné, kedy sa to spustí, ale je pravdepodobné, že príde na Android 14. Je technicky možné, že Google to možno bude chcieť presadiť so systémom Android 13 QPR2, ale z toho budú mať úžitok len používatelia Google Pixel, kým sa Android 14 v budúcom roku aj tak nedostane ku všetkým ostatným. Je to preto, že iní výrobcovia OEM zvyčajne neuvádzajú aktualizácie QPR.
Celý dôvod, prečo to tak je, by bolo, aby si Google mohol udržať kontrolu nad ďalším kľúčovým aspektom zabezpečenia zariadenia bez toho, aby sa musel spoliehať na to, že OEM budú namiesto toho posúvať aktualizácie. Aktualizácia certifikátov sa v súčasnosti vyžaduje OTA, ale v núdzovej situácii môže byť dôležitý každý deň, keď používatelia nemajú aktualizáciu. Využitie Project Mainline na zabezpečenie toho, aby používatelia mohli získať dôležité aktualizácie certifikátov včas, ak ich niekedy budú potrebovať, je určite vítanou zmenou.
Zdroj: Esper