✔️ 2022, 03:25:22 — Париж/Франция.
Google «улучшает» работу аттестации ключей на Android, реализуя так называемую удаленную подготовку ключей. Я знаю, что это звучит как еще одна чрезмерно техническая проблема безопасности (и это так), но это может оказать реальное влияние на клиентов, установив более длинную, но более безопасную цепочку доверия, повысив их безопасность. Но, пожалуй, лучше всего то, что это изменение может потенциально исправить множество мелких проблем, с которыми сталкиваются телефоны Android из-за проблем с безопасностью оборудования, например, более изящное восстановление уязвимостей безопасности. Это может быть даже способ Google решить проблему с пикселями Widevine, из-за которой у некоторых людей не работало воспроизведение HD в таких приложениях, как Netflix, более года.
ВИДЕО ДНЯ ПОЛИЦИИ ANDROID
Это грубое упрощение, но способ, которым Android обрабатывал аттестацию, был относительно простым. Программный ключ хранится практически на каждом телефоне Android внутри защищенного элемента и отдельно от ваших собственных данных, даже отдельно от самого Android. Биты, необходимые для этого ключа, предоставляются производителем устройства при изготовлении телефона и подписываются корневым ключом, предоставленным Google. С более практической точки зрения, приложения, которые должны делать что-то конфиденциальное, могут доказать, что предоставленная безопасная аппаратная среда заслуживает доверия, и это основа, на которой может быть построена большая цепочка любящего доверия, позволяющая такие вещи, как биометрические данные, пользовательские данные, и безопасные операции любого рода для безопасного хранения или передачи.
Раньше устройства Android, которые хотели воспользоваться этим процессом, должны были безопасно установить этот ключ на заводе, но Google переходит от предоставления заводского закрытого ключа к извлечению заводского открытого ключа с предоставлением действующих сертификатов, связанных с краткосрочными сертификатами.
Как даже звучит описание, это новое изменение представляет собой более сложную систему, но на практике решает множество проблем. Раньше производителям устройств приходилось самим безопасно «устанавливать» эти ключи при изготовлении телефона, и хотя вы могли доверить это Samsung или Motorola, это предмет обсуждения. Что, если этот ключ будет сохранен или среда, в которую он был помещен, окажется уязвимой для какой-либо атаки после выхода с завода? Вся цепочка доверия, на которую полагаются Android и клиенты, обрывается, и исправить ее не так-то просто.
Эта новая система использует пару открытого/закрытого ключа, сгенерированную на устройстве при его изготовлении. Приватная часть ключа даже никогда не покидает устройство, поэтому его никогда не нужно устанавливать или существовать на потенциально небезопасном оборудовании, а производителям смартфонов больше не нужно об этом беспокоиться. Открытая половина ключа отправляется в Google, и эта простая пара открытого и закрытого ключей служит основой для всей последующей подготовки. Используя эти ключи, Google создаст серию недолговечных сертификатов, позволяющих использовать хранилище ключей Android. их вместо этого для аутентификации. Эти сертификаты регулярно меняются и срок их действия истекает, поэтому каждое приложение, которому нужно что-то делать безопасно, может получить свой собственный.
Это более длинная, но потенциально лучшая цепочка доверия. С одной стороны, это снижает риск случайной утечки ключа через механизм. И если/когда известно, что устройство имеет уязвимость, эти отдельные сертификаты могут быть отозваны независимо от самого ключа. После того, как компрометация будет устранена, в устройстве по-прежнему хранится зерно безопасности, хранящееся глубоко внутри, чтобы восстановить цепочку, поэтому устройствам будет легче «восстановиться» в безопасную систему — закрытый ключ никогда не будет потерян, отозван (надеюсь). Раньше Google просто приходилось отзывать сам встроенный ключ, что нарушало цепочку навсегда.
Это может оказаться несвязанным (и мы связались с Google, чтобы подтвердить), но это изменение также может привести к досадной проблеме, которая иногда возникает, когда приложения на устройствах Android теряют воспроизведение HD. Корень этой проблемы — потеря статуса безопасности L1 Widevine — Widevine — это DRM-решение Google, и более высокие уровни безопасности (например, L1) полагаются на один и тот же аппаратный ключ безопасности, чтобы обеспечить первое звено в собственной цепочке безопасности. устройство имеет безопасную среду для воспроизведения.
В прошлом некоторые устройства, потерявшие сертификацию Widevine, приходилось физически отправлять обратно производителю, предположительно для установки нового ключа. Другим устройствам, которые никогда не поддерживали аппаратные уровни безопасности Widevine, требовалось такое же обращение для установки ключа безопасности в первую очередь, например, OnePlus 5 и OnePlus 5T. В последние годы мы сообщали о том, что такие устройства, как Pixel, случайным образом теряют доступ к сертификации Widevine, возможно, из-за таких ключевых проблем.
Если эти проблемы каким-то образом связаны с уязвимостью системы безопасности с ключом, установленным на заводе, эта новая система может значительно упростить восстановление телефонов после проблемы, вместо этого отзывая связанные сертификаты и создавая новые более изящно позже, независимо от проблемы. . потому что проблема решена.
На самом деле, время этого объявления может быть показательным. Google исправила проблему Widevine для Pixel с недавним мартовским обновлением, которое, возможно, принесло анонсированное сегодня изменение функций и для устройств Pixel, хотя мне не ясно, можно ли переключиться на эту новую систему просто через обновление. Опять же, в настоящее время это спекулятивно, но мы связались с Google, чтобы подтвердить, и мы обновим, если узнаем больше.
Google предписывает новую аттестацию Remote Key Provisioning и схему закрытого ключа в Android 13, и это вариант для устройств на Android 12 — в любом случае мы предполагаем, что это относится к устройствам. lancement с каждой версией, но Google не является явным. Дополнительные технические сведения об изменениях формата ключей, подготовке и изменениях структуры цепочки также задокументированы в объявлении для разработчиков. Это не звук поскольку это повлияет на рутирование или ПЗУ (хотя это, вероятно, по-своему еще больше улучшит безопасность SafetyNet), но нам, вероятно, придется подождать и убедиться в этом.
Pixel 6 и 6 Pro получают бета-версию 1.1 ежеквартальной платформы исправления ошибок
подробнее
об авторе
ИСТОЧНИК: Отзывы Новости
Не стесняйтесь поделиться нашей статьей в социальных сетях, чтобы дать нам солидный импульс. 🤗