Android 14 tutvustab muudatusi volitussertifikaatide haldamises
Mõni päev tagasi HTTP Toolkiti arendajad jagasid ajaveebipostituse kaudu, teave detaili kohta mida märkasite sertifitseerimisasutuse sertifikaatide värskendamisel (CA) operatsioonisüsteemis Android 14.
Ja HTTP Toolkiti arendajad juhtisid teie tähelepanu asjaolule, et Android 14-s on süsteemi sertifikaadid Neid ei seostata enam püsivaraga, kuid see tarnitakse eraldi pakendis, mida värskendatakse "Google Play" süsteemirakenduste poe kaudu.
Kui Google'i juhitud Open Handset Alliance 2007. aastal Androidi algselt välja kuulutas, loeti selle lipulaevaprojektiks "avatud platvorm", mis "pakkub arendajatele uuel tasemel avatust" ja annab neile "täieliku juurdepääsu võimalustele ja tööriistadele". telefonidest. «.
Oleme sellest ajast saati teinud pika tee, eemaldudes pidevalt avatusest ja seadmete kasutajakontrollist ning liikudes palju suletuma ja müüja poolt kontrollitavama maailma poole.
Oma väljaandes arendajad jagada mõnda oma muret arengus ja eriti Androidi arendamise teel, mis üha enam eemaldub lubatust "olla avatud platvorm", kuna erinevate versioonide turuletulekuga on süsteem "rohkem sulgunud". ja veel."
Nad mainivad seda volituste sertifikaatide jaotises "muutuda oluliselt rangemaks ja tundub, et usaldusväärsete sertifikaatide komplekti muutmine on võimatu" isegi täielikult juurdunud seadmetes.
Seoses muudatustega Android 14 sertifikaatide käsitlemises Selline lähenemine "peab" hõlbustama sertifikaatide ajakohasena hoidmist ja sertifikaatide eemaldamine ohustatud sertifitseerimisasutustelt ning takistab ka seadmete tootjatel juursertifikaatide loendit rikkumast ning muudab värskendusprotsessi püsivara värskendustest sõltumatuks.
Kataloogi /system/etc/security/cacerts asemel, sertifikaadid Android 14-s need laaditakse /apex/com.android.conscrypt/cacerts kataloogist, mis on majutatud eraldi APEX-i (Android Pony EXpress) konteineris, mille sisu tarnitakse Google Play kaudu ning terviklikkus on digitaalselt kontrollitud ja Google'i allkirjastatud. Seetõttu ei saa kasutaja isegi juurõigustega süsteemi täieliku juhtimisega süsteemi sertifikaatide loendi sisu ilma platvormi muutmata muuta.
Selle protsessi peamiseks pöördepunktiks oli Android 7 (Nougat, välja antud 2016. aastal), kus seadme sertifitseerimisasutused (CA-d), mida telefoniomanik varem täielikult muutsid, jagati kaheks: OS-i müüja esitas loendi fikseeritud CA-d. ja mida kasutavad vaikimisi kõik teie telefoni rakendused, ja veel üks kasutaja poolt muudetavate CA-de komplekt, mida kasutajad said juhtida, kuid mida kasutati ainult nende rakenduste jaoks, mis on spetsiaalselt lubatud (st peaaegu mitte ühtegi).
Uus skeem sertifikaatide hoidla võib pöördprojekteerimisega seotud arendajatele raskusi tekitada, liiklusjärelevalve või püsivara uurimine ning võib potentsiaalselt keerulisemaks muuta alternatiivset Androidi-põhist püsivara (nt GrapheneOS ja LineageOS) arendavate projektide väljatöötamist.
Kuna kõik pole nii hästi, kui see kõlab ja nagu me juba mainisime, väljendab HTTP Toolkit mittenõustumist uue edastusmeetodiga, kuna see ei võimalda kasutajal süsteemisertifikaatides muudatusi teha, isegi kui tal on juurjuurdepääs süsteem ja täielik püsivara kontroll.
Muudatus mõjutab ainult süsteemi CA sertifikaate, Neid kasutatakse vaikimisi kõigis seadme rakendustes ja need ei mõjuta kasutajasertifikaatide töötlemist ega võimalust lisada üksikutele rakendustele täiendavaid sertifikaate (näiteks brauseri jaoks lisasertifikaatide lisamise võimalus jääb alles).
Samas ei piirdu probleem ainult sertifikaatidega paketiga: kuna süsteemi funktsionaalsus liigub eraldi uuendatavatesse APEX-pakettidesse, suureneb süsteemikomponentide hulk, mida kasutajal pole võimalik juhtida ega muuta, sõltumata juurjuurdepääsu olemasolust. seadmele.
Lõpuks sKui teil on huvi selle kohta rohkem teada saada, saate üksikasju kontrollida Järgmisel lingil.