Android 14 presenta canvis en el maneig dels certificats d'autoritat
Fa pocs dies els desenvolupadors de HTTP Toolkit van compartir mitjançant una publicació de bloc, informació sobre un detall que van notar en la manera com s'actualitzen els certificats d'autoritat certificadora (CA) a Android 14.
I és que els desenvolupadors de HTTP Toolkit els crido l'atenció que a Android 14, els certificats del sistema ja no estaran vinculats al firmware, però sí que es lliurarà en un paquet per separat el qual és actualitzat a través de la botiga d'aplicacions del sistema Google Play.
Quan Android va ser anunciat inicialment el 2007 per l'Open Handset Alliance (encapçalada per Google), el seu projecte estrella va ser anunciat com una «plataforma oberta», «que proporcionava als desenvolupadors un nou nivell d'obertura» i els donava «accés complet a les capacitats i eines dels telèfons». «.
Hem recorregut un llarg camí des de llavors, allunyant-nos constantment de l'obertura i el control dels dispositius per part de l'usuari i avançant cap a un món molt més tancat i controlat pels proveïdors.
En la publicació els desenvolupadors comparteixen part de les seves preocupacions en l'evolució i sobretot el camí que ha pres el desenvolupament d'Android, el qual cada cop més es va allunyant del que s'ha promès «ser una plataforma oberta», ja que amb el pas del llançament de les diferents versions, el sistema s'ha «tancat cada cop més».
Esmenten que a l'apartat de certificats d'autoritat «es tornen significativament més estrictes i semblen fer impossible modificar el conjunt de certificats fiables» fins i tot en dispositius totalment rootejats.
Sobre el canvi en el maneig dels certificats a Android 14, se «suposa» que aquest enfocament facilitarà el manteniment de certificats actualitzats i l'eliminació de certificats d'autoritats de certificació compromeses, i també evitareu que els fabricants de dispositius manipulin la llista de certificats root i farà que el procés d'actualització sigui independent de les actualitzacions de microprogramari.
En lloc del directori /system/etc/security/cacerts, els certificats en Android 14 es carreguen des del directori /apex/com.android.conscrypt/cacerts, allotjat en un contenidor APEX (Android Pony EXpress) separat, el contingut del qual es lliura a través de Google Play i la integritat està controlada digitalment i signada per Google. Per tant, fins i tot amb el control total del sistema amb drets de root, l'usuari, sense fer canvis a la plataforma, no podrà canviar el contingut de la llista de certificats del sistema.
El punt d'inflexió clau en aquest procés va ser Android 7 (Nougat, llançat el 2016), on les autoritats de certificació (CA) del dispositiu que anteriorment eren totalment modificables pel propietari del telèfon es van dividir en dues: es va proporcionar una llista fixa de CA pel proveïdor del sistema operatiu i utilitzat per defecte per totes les aplicacions del telèfon, i un altre conjunt de CA modificables per l'usuari que els usuaris podien controlar, però que s'usava només per a aplicacions que específicament optaven per participar ( és a dir, gairebé cap).
El nou esquema d'emmagatzematge de certificats podria causar dificultats als desenvolupadors involucrats en enginyeria inversa, inspecció de trànsit o investigació de firmware, i podria complicar potencialment el desenvolupament de projectes que desenvolupin firmware alternatiu basat en Android, com GrapheneOS i LineageOS.
Atès que no tot és tan bo com sona i com ja esmentem, els HTTP Toolkit expressen el seu desacord amb el nou mètode de lliurament, ja que no permetrà a l'usuari fer canvis als certificats del sistema, fins i tot si té accés root al sistema i té control total del microprogramari.
El canvi només afecta els certificats de CA del sistema, que s'utilitzen per defecte a totes les aplicacions del dispositiu, i no afecta el processament de certificats d'usuari ni la capacitat d'afegir certificats addicionals per a aplicacions individuals (per exemple, la capacitat d'afegir certificats addicionals per al navegador roman).
Alhora, el problema no es limita només al paquet amb certificats: a mesura que la funcionalitat del sistema es trasllada a paquets APEX actualitzats per separat, augmentarà la quantitat de components del sistema que l'usuari no pot controlar ni canviar, independentment de la presència d'accés root al dispositiu.
finalment si estàs interessat a poder conèixer més sobre això, pots consultar els detalls en el següent enllaç.