Android 14에서는 기관 인증서 관리에 대한 변경사항을 제시합니다.
며칠 전, HTTP 툴킷 개발자들은 블로그 게시물을 통해 안드로이드 14에서 인증 기관(CA) 인증서가 업데이트되는 방식에서 발견한 세부 사항에 대한 정보를 공유했습니다.
HTTP 툴킷 개발자들은 안드로이드 14에서 시스템 인증서가 더 이상 펌웨어에 연결되지 않고 , 시스템 애플리케이션 스토어인 "구글 플레이"를 통해 업데이트되는 별도의 패키지로 제공된다는 사실을 발견했습니다.
2007년 Open Handset Alliance(Google 주도)가 Android를 처음 발표했을 때 Android의 주력 프로젝트는 '개방형 플랫폼'으로 광고되어 '개발자에게 새로운 수준의 개방성을 제공'하고 '기능과 도구에 대한 완전한 액세스'를 제공했습니다. 전화기. «.
그 이후로 우리는 꾸준히 장치의 개방성과 사용자 제어에서 벗어나 훨씬 더 폐쇄적이고 공급업체가 제어하는 세계로 나아가면서 먼 길을 걸어왔습니다.
개발자들은 자신들의 발표문에서 안드로이드 개발의 진화, 특히 개발 방향에 대한 우려를 표명했습니다 . 안드로이드는 당초 약속했던 "개방형 플랫폼"이라는 목표에서 점점 멀어지고 있으며, 각 버전이 출시될 때마다 시스템이 "점점 더 폐쇄적으로" 변해가고 있다는 것입니다.
그들은 권한 인증서 관련 섹션에서 "규정이 상당히 엄격해져서 완전히 루팅된 기기에서도 신뢰할 수 있는 인증서 세트를 수정하는 것이 불가능해지는 것 같다" 고 언급합니다.
안드로이드 14의 인증서 처리 방식 변경과 관련하여, 이러한 접근 방식은 인증서를 최신 상태로 유지 하고 손상된 인증 기관의 인증서를 제거하는 것을 더 쉽게 만들고, 기기 제조업체가 루트 인증서 목록을 조작하는 것을 방지하며, 업데이트 프로세스를 펌웨어 업데이트와 독립적으로 만들 것으로 "추정"됩니다.
Android 14에서는 기존의 /system/etc/security/cacerts 디렉토리 대신 별도의 APEX(Android Pony Express) 컨테이너에 저장된 /apex/com.android.concrypt/cacerts 디렉토리에서 인증서를 불러옵니다 . 이 컨테이너의 내용은 Google Play를 통해 제공되며, Google에서 디지털 방식으로 인증서의 무결성을 검증하고 서명합니다. 따라서 루트 권한으로 시스템을 완전히 제어하더라도 플랫폼을 수정하지 않고는 시스템의 인증서 목록 내용을 변경할 수 없습니다.
이 과정에서 중요한 전환점은 Android 7(Nougat, 2016년 출시)으로, 이전에는 휴대폰 소유자가 완전히 수정할 수 있었던 기기 인증 기관(CA)이 두 개로 분할되었습니다. OS 공급업체에서 고정된 CA 목록을 제공했습니다. 기본적으로 휴대폰의 모든 앱에서 사용되며 사용자가 제어할 수 있지만 특별히 선택한 앱에만 사용되는 사용자 수정 가능한 CA 세트(즉, 거의 없음).
새로운 인증서 저장 방식은 리버스 엔지니어링, 트래픽 분석 또는 펌웨어 연구에 참여하는 개발자들에게 어려움을 초래할 수 있으며 , GrapheneOS 및 LineageOS와 같은 대안적인 안드로이드 기반 펌웨어를 개발하는 프로젝트를 복잡하게 만들 가능성이 있습니다.
모든 것이 말처럼 좋지는 않기 때문에, 우리가 이미 언급한 것처럼 HTTP 툴킷은 사용자가 시스템 인증서에 대한 루트 액세스 권한이 있더라도 시스템 인증서를 변경할 수 없도록 허용하기 때문에 새로운 전달 방법에 동의하지 않음을 표명합니다. 시스템이며 전체 펌웨어 제어 기능을 갖추고 있습니다.
이번 변경 사항은 기기의 모든 애플리케이션에서 기본적으로 사용되는 시스템 CA 인증서에만 영향을 미치며, 사용자 인증서 처리나 개별 애플리케이션에 추가 인증서를 추가하는 기능(예: 브라우저에 추가 인증서를 추가하는 기능은 그대로 유지됨)에는 영향을 미치지 않습니다.
동시에 문제는 인증서가 있는 패키지에만 국한되지 않습니다. 시스템 기능이 별도로 업데이트된 APEX 패키지로 이동함에 따라 루트 액세스 여부에 관계없이 사용자가 제어하거나 변경할 수 없는 시스템 구성 요소 수가 증가합니다. 장치에.
마지막으로, 더 자세한 내용을 알고 싶으시다면 다음 링크에서 확인하실 수 있습니다 .