Pek çok şeye ek olarak kullanıcıya yönelik iyileştirmeler Dün duyurulan Android'in en son versiyonunda çok sayıda ilginç güvenlik özelliği mevcut Google'ın bu yeni sürümde platform güvenliğini tamamen ihmal etmediğini gösteren gelişmeler serbest bırakmak. Bu makale yenilikleri ve bunların sizin için ne anlama geldiğini açıklayacaktır.
Zorlama Modunda SELinux
Android 4.4'te SELinux, izin verilen modda (sadece hataları günlüğe kaydeden) çalışma modundan zorlama moduna geçti. Android 4.3'te tanıtılan SELinux, mevcut erişim kontrol haklarının uygulanmasına yardımcı olmak amacıyla Linux çekirdeğine yerleştirilmiş zorunlu bir erişim kontrol sistemidir (yani. izinleri) ve ayrıcalık yükseltme saldırılarını önlemeye çalışmak (yani. cihazınızda root erişimi elde etmeye çalışan bir uygulama).
AndroidKeyStore'da Eliptik Eğri Şifreleme (ECDSA) İmzalama anahtarları desteği
Entegre Android anahtar deposu sağlayıcısı artık Eliptik Eğri imzalama anahtarları için destek içeriyor. Eliptik Eğri Kriptografisi son zamanlarda bazı (haksız) kötü tanıtımlara maruz kalmış olsa da, ECC bir RSA ve benzeri diğer kriptografilere iyi bir alternatif sağlayabilecek geçerli bir genel anahtar şifreleme biçimi algoritmalar. Asimetrik kriptografi kuantum hesaplama gelişmelerine dayanamayacak olsa da Android 4.4'ün geliştiricilere daha fazla seçenek sunduğunu görmek güzel. Uzun vadeli veri depolama için simetrik şifreleme en iyi yöntem olmaya devam ediyor.
SSL CA Sertifikası Uyarıları
Birçok kurumsal BT ortamı, bilgisayarınıza ve/veya tarayıcınıza bir Sertifika Yetkilisi (CA) ekleyen SSL izleme yazılımını içerir. güvenlik ve izleme amacıyla kurumsal web filtreleme yazılımının HTTPS oturumlarınıza "ortadaki adam" saldırısı gerçekleştirmesine izin verin amaçlar. Bu, Android'de cihaza ek bir CA anahtarının eklenmesiyle mümkün olmuştur (bu, şirketinizin ağ geçidi sunucusunun, seçtiği herhangi bir web sitesi gibi "rol yapmasına" olanak tanır). Android 4.4, cihazlarına böyle bir CA sertifikası eklenmişse kullanıcıları uyararak bunun olma ihtimalinin farkında olmalarını sağlayacaktır.
Otomatik Arabellek Taşması Tespiti
Android 4.4 artık seviye 2'de çalışan FORTIFY_SOURCE ile derleniyor ve tüm C kodlarının bu korumayla derlenmesini sağlıyor. clang ile derlenen kod da bu kapsamdadır. FORTIFY_SOURCE, derleyicinin bir güvenlik özelliğidir ve tanımlamaya çalışır. bazı arabellek taşması fırsatları (kötü amaçlı yazılımlar veya kullanıcılar tarafından, bir cihazda rastgele kod yürütme elde etmek için kullanılabilir). FORTIFY_SOURCE, arabellek taşmalarının tüm olasılığını ortadan kaldırmasa da, arabellekleri tahsis ederken bariz gözden kaçmaları önlemek için kesinlikle kullanılmamasından daha iyidir.
Google Sertifika Sabitleme
Jellybean'in önceki sürümlerinde sertifika sabitleme desteğini genişleten Android 4.4, Google sertifikaları için sertifika değişikliğine karşı koruma sağlıyor. Sertifika Sabitleme, yalnızca beyaz listeye alınmış belirli SSL sertifikalarının belirli bir alan adına kullanılmasına izin verme eylemidir. Bu sizi, sağlayıcınızın, ülkenizin hükümetinin emriyle kendisine verilen bir sertifikayı değiştirmesine (örneğin) karşı korur. Sertifika sabitleme olmadan cihazınız bu geçerli SSL sertifikasını kabul eder (çünkü SSL, herhangi bir güvenilen CA'nın herhangi bir sertifika vermesine izin verir). Sertifika sabitlemeyle, telefonunuz tarafından yalnızca sabit kodlu geçerli sertifika kabul edilecek ve sizi ortadaki adam saldırısından koruyacaktır.
Görünüşe göre Google, Android güvenliği konusunda pek de başarılı değil. Bu, şunlara ek olarak dm-verity'nin dahil edilmesiBu, cihazlarını kilitli önyükleyicilerle rootlamayı ve değiştirmeyi seven kişiler için muhtemelen ciddi sonuçlar doğurabilir (yani. çekirdek imzalarını zorlayan).