Андроид 14 можда долази са ажурираним роот сертификатима, а овај чланак објашњава зашто је то важно.
Роот сертификати су у самој сржи инфраструктуре јавних кључева (ПКИ) и потписани су од стране поузданих ауторитета за издавање сертификата, или ЦА. Прегледачи, апликације и други програми имају унапред упаковано основно складиште које означава да су ови сертификати поуздан. Ако посетите веб локацију која подржава ХТТПС, али не користи сертификат потписан од стране ЦА у основној продавници вашег прегледача, тада ће веб локација бити означена као небезбедна. Обично апликације и прегледачи могу да ажурирају своје сертификате, али ваш телефон не може осим ако није путем ОТА ажурирања. То се може променити са Андроид 14, према Еспер.
Било је неколико страхова током година у вези са сертификатима, а то је због тога што се ослањамо на њих као на срж ланца поверења када посећујемо веб странице. Ево на КСДА, наш сертификат је потписао Лет'с Енцрипт, непрофитни ЦА. Њихов сертификат је потписала Интернет Сецурити Ресеарцх Гроуп, а тај ланац поверења осигурава да је ваша веза са овом веб локацијом сигурна и безбедна. Исто важи и за било коју другу веб локацију коју посетите и која користи ХТТПС.
Сваки оперативни систем има своју уграђену роот продавницу, а Андроид се не разликује. Можете да видите ову роот продавницу на свом Андроид паметном телефону тако што ћете отићи на безбедност и приватност у подешавањима уређаја. Одатле ће зависити од типа уређаја који користите, али снимци екрана испод показују где се налази на ОнеУИ 5.
Ствар је, међутим, у томе да чак ни ова основна продавница није крај-све и бити-све. Апликације могу да изаберу да користе и верују својој сопственој основној продавници (што Фирефок ради), а могу само да прихвате специфични сертификати (названи прикачење сертификата) у настојању да се избегне човек у средини (МИТМ) напада. Корисници могу да инсталирају сопствене сертификате, али програмери апликација су морали да омогуће својим апликацијама да користе ове сертификате још од Андроида 7.
Зашто је важно имати роот сертификате који се могу ажурирати
Са Лет'с Енцрипт сертификатима које је унакрсно потписала истраживачка група Интернет безбедности, а лот Интернета се ослања на безбедност ИСРГ-а. Ако је ИСРГ изгубио контролу над својим приватним кључем (ако би га, на пример, украли), онда би ИСРГ морао да опозове кључ. У зависности од тога како компаније реагују, може се догодити да неки делови интернета постану недоступни уређајима који немају ажуриране роот сертификате. Иако је то потпуно катастрофалан сценарио из ноћне море (и чисто хипотетички), то је управо она врста сценарија коју Гоогле жели да избегне. Зато оно што се тренутно дешава са ТрустЦор-ом може сигнализирати Гоогле-у да је време да се на Андроид додају ажурирани роот сертификати.
За контекст, ТрустЦор је један такав ауторитет за сертификацију који је био под лупом након што су истраживачи навели да има блиске везе са америчким војним извођачем. ТрустЦор није изгубио свој приватни кључ, али јесте има изгубио поверење многих компанија које треба да одлуче које сертификате ће укључити у своје основне продавнице. Ти истраживачи су тврдили да је амерички војни извођач ТрустЦор близак платио програмере да у апликације за паметне телефоне поставе малвер за прикупљање података. У ПКИ-ју је поверење све, а ТрустЦор је изгубио то поверење када су те оптужбе изашле на видело. Од тада су компаније као што су Гоогле, Мицрософт и Мозилла одбациле ТрустЦор као ауторитет за сертификацију. Међутим, уклањање ТрустЦор сертификата из Андроид роот продавнице ће захтевати ОТА ажурирање и док је урезивање већ направљено у АОСП-у, вероватно ће проћи много времена док ви или ја заиста не добијемо ажурирање које одбацује ТрустЦор сертификате са нашег уређаја.
Добра страна је што сада можете да онемогућите сертификате ТрустЦор-а на свом уређају тако што ћете отићи на своје сертификате на свом уређај, као што смо показали изнад, а затим скролујте до ТрустЦор-а и онемогућите три сертификата која долазе са вашим уређај. Према програмерима из ГрапхенеОС пројекта, требало би да постоји „веома мали утицај на веб компатибилност због тога што овај ЦА једва да користи било ко осим одређеног динамичког ДНС провајдера.“
Решење: Пројецт Маинлине
Ако сте упознати са Пројецт Маинлине-ом, већ можете видети како ово може помоћи у решавању проблема. Гоогле користи главне модуле који се испоручују преко оквира Гоогле Плаи услуга и Гоогле Плаи продавнице. Сваки главни модул се испоручује као АПК датотека, АПЕКС датотека или АПК-ин-АПЕКС. Када се главни модул ажурира, корисник види обавештење „Гоогле Плаи Систем Упдате“ (ГПСУ) на свом уређају. У ствари, да би испоручио ажурирања критичним компонентама, Гоогле је заобишао потребу да чека да ОЕМ изда ажурирање, бирајући да сам уради задатак. Блуетоотх и ултра-широкопојасни су два основна главна модула којима управља Гоогле.
Према да се обавеже на АОСП Геррит (уочио Еспер), Цонсцрипт, главни модул који обезбеђује Андроид-ову ТЛС имплементацију, подржаваће коренске сертификате који се могу ажурирати у будућем ажурирању. То би значило да се сертификати могу уклонити (или чак додати) путем ажурирања Гоогле Плаи система Пројецт Маинлине, обезбеђујући много бржи процес уколико дође до друге ситуације као што је ТрустЦор (или још горе). будућност. Није јасно када ће се ово појавити, али је вероватно да ће доћи на Андроид 14. Технички је могуће да ће Гоогле можда желети да га прогура са Андроидом 13 КПР2, али би то користило само корисницима Гоогле Пикел-а док Андроид 14 не стигне до свих осталих следеће године. То је зато што други ОЕМ-ови обично не објављују КПР ажурирања.
Читав разлог да ово постоји би био да Гоогле може да задржи контролу над другим кључним аспектом безбедности уређаја без потребе да се ослања на ОЕМ произвођаче који гурају ажурирања. Тренутно је потребан ОТА за ажурирање сертификата, али у хитним случајевима, сваки дан када корисници немају ажурирање може бити важан. Коришћење Пројецт Маинлине-а како би се осигурало да корисници могу да добију кључна ажурирања сертификата на време ако им икада буду потребни је свакако добродошла промена.
Извор: Еспер