Nagpapakita ang Android 14 ng mga pagbabago sa pangangasiwa ng mga certificate ng awtoridad
Ilang araw na ang nakaraan ang Ibinahagi ng mga developer ng HTTP Toolkit sa pamamagitan ng isang post sa blog, impormasyon tungkol sa isang detalye na napansin mo sa paraan ng pag-update ng mga certificate authority certificate (CA) sa Android 14.
At ito ay na ang mga developer ng HTTP Toolkit ay nakakuha ng kanilang pansin na sa Android 14, ang mga sertipiko ng system Hindi na sila mali-link sa firmware, ngunit ihahatid ito sa isang hiwalay na pakete na ina-update sa pamamagitan ng "Google Play" system application store.
Noong unang inanunsyo ang Android noong 2007 ng Open Handset Alliance (pinamumunuan ng Google), sinisingil ang flagship project nito bilang isang "bukas na platform," "nagbibigay sa mga developer ng bagong antas ng pagiging bukas" at nagbibigay sa kanila ng "buong access sa mga kakayahan at tool. ng mga telepono. «.
Malayo na ang narating namin mula noon, patuloy na lumalayo sa pagiging bukas at kontrol ng user sa mga device, at patungo sa isang mas sarado at mundong kontrolado ng vendor.
Sa kanilang publikasyon ang mga developer ibahagi ang ilan sa kanilang mga alalahanin sa ebolusyon at lalo na sa landas na tinahak ng pag-unlad ng Android, na lalong lumalayo sa ipinangako na "maging isang bukas na platform", dahil sa pagpasa ng paglulunsad ng iba't ibang mga bersyon, ang sistema ay "mas nagsara at iba pa."
Binabanggit nila yan sa seksyon ng mga sertipiko ng awtoridad "maging mas mahigpit at tila ginagawang imposibleng baguhin ang hanay ng mga pinagkakatiwalaang sertipiko" kahit na sa mga ganap na naka-root na device.
Tungkol sa pagbabago sa pangangasiwa ng mga certificate sa Android 14, ang diskarteng ito ay "dapat" upang gawing mas madaling panatilihing napapanahon ang mga sertipiko at pag-aalis ng mga certificate mula sa mga nakompromisong awtoridad sa certification, at pipigilan din ang mga manufacturer ng device na pakialaman ang listahan ng mga root certificate at gawing hiwalay ang proseso ng pag-update sa mga update ng firmware.
Sa halip na ang /system/etc/security/cacerts directory, mga certificate sa Android 14 na-load ang mga ito mula sa direktoryo ng /apex/com.android.conscrypt/cacerts, na naka-host sa isang hiwalay na lalagyan ng APEX (Android Pony EXpress), ang nilalaman nito ay inihahatid sa pamamagitan ng Google Play at ang integridad ay digital na kinokontrol at nilagdaan ng Google. Samakatuwid, kahit na may ganap na kontrol sa system na may mga karapatan sa ugat, ang gumagamit, nang hindi gumagawa ng mga pagbabago sa platform, ay hindi magagawang baguhin ang mga nilalaman ng listahan ng mga sertipiko ng system.
Ang pangunahing pagbabago sa prosesong ito ay ang Android 7 (Nougat, na inilabas noong 2016), kung saan ang mga awtoridad sa certification ng device (mga CA) na dating ganap na nababago ng may-ari ng telepono ay nahati sa dalawa: isang listahan ay ibinigay ng fixed CA ng OS vendor. at ginamit bilang default ng lahat ng app sa iyong telepono, at isa pang hanay ng mga CA na nababago ng user na maaaring kontrolin ng mga user, ngunit ginamit lang para sa mga app na partikular na nag-opt in ( iyon ay, halos wala).
Ang bagong scheme imbakan ng sertipiko maaaring magdulot ng mga kahirapan para sa mga developer na kasangkot sa reverse engineering, inspeksyon sa trapiko o pagsasaliksik ng firmware, at maaaring maging kumplikado sa pagbuo ng mga proyektong bumubuo ng alternatibong firmware na nakabatay sa Android, gaya ng GrapheneOS at LineageOS.
Dahil hindi lahat ay kasing ganda nito at gaya ng nabanggit na namin, ipinapahayag ng HTTP Toolkit ang hindi pagsang-ayon nito sa bagong paraan ng paghahatid, dahil hindi nito papayagan ang user na gumawa ng mga pagbabago sa mga certificate ng system, kahit na mayroon silang root access sa system at magkaroon ng Full firmware control.
Ang pagbabago ay nakakaapekto lamang sa mga certificate ng system ng CA, Ginagamit ang mga ito bilang default sa lahat ng application sa device, at hindi nakakaapekto sa pagproseso ng mga certificate ng user o ang kakayahang magdagdag ng mga karagdagang certificate para sa mga indibidwal na application (halimbawa, nananatili ang kakayahang magdagdag ng mga karagdagang certificate para sa browser).
Kasabay nito, ang problema ay hindi limitado lamang sa pakete na may mga sertipiko: habang ang pag-andar ng system ay inilipat sa hiwalay na na-update na mga pakete ng APEX, ang bilang ng mga bahagi ng system na hindi makontrol o mababago ng user ay tataas, anuman ang pagkakaroon ng root access sa device.
Panghuli sKung interesado kang malaman ang higit pa tungkol dito, maaari mong suriin ang mga detalye Sa sumusunod na link.