В Android 14 пользователь не сможет изменить системные сертификаты, даже при наличии root-доступа

Разработчики HTTP Toolkit, открытого инструментария для инспектирования HTTPS-трафика, обратили внимание на изменение способа обновления сертификатов удостоверяющих центров (CA) в будущем выпуске платформы Android 14. Системные сертификаты больше не будут привязаны к прошивке, а станут доставляться отдельным пакетом, обновляемым через Google Play.


Подобный подход упростит поддержание актуальных сертификатов и удаление сертификатов скомпрометированных удостоверяющих центров, а также не позволит производителям устройств манипулировать списком корневых сертификатов и сделает процесс их обновления независимым от обновления прошивки. С другой стороны, новый способ доставки не позволит пользователю вносить изменения в системные сертификаты, даже если он имеет root-доступ в системе и полностью контролирует прошивку.

Вместо каталога /system/etc/security/cacerts сертификаты в Android 14 загружаются из каталога /apex/com.android.conscrypt/cacerts, размещённого в отдельном контейнере APEX (Android Pony EXpress), содержимое которого доставляется через Google Play, а целостность контролируется цифровой подписью Google.

Таким образом, даже полностью контролируя систему с правами root, пользователь, без внесения изменений в платформу, не сможет изменить содержимое списка системных сертификатов. Новая схема хранения сертификатов может привести к трудностям у разработчиков, занимающихся обратным инжинирингом, инспектированием трафика или исследованием прошивок, а также потенциально может усложнить разработку проектов, развивающих альтернативные прошивки на базе Android, такие как GrapheneOS и LineageOS.

Изменение касается только системных CA-сертификатов, по умолчанию используемых во всех приложениях на устройстве, и не затрагивает обработку пользовательских сертификатов и возможность добавить дополнительные сертификаты для отдельных приложений (например, сохраняется возможность добавить дополнительные сертификаты для браузера). При этом проблема не ограничивается только пакетом с сертификатами - по мере выноса функциональности системы в отдельно обновляемые пакеты APEX, будет увеличиваться число системных компонентов, недоступных для контроля и изменения пользователем, независимо от наличия root-доступа к устройству.

Источник

На российской ОС «Аврора» теперь можно запускать любые Android-приложения

Я так понимаю готовят отключение России от https?

barmen писал(а):

Я так понимаю готовят отключение России от https?

Откуда такой вывод?

Цитата:

не затрагивает обработку пользовательских сертификатов и возможность добавить дополнительные сертификаты для отдельных приложений (например, сохраняется возможность добавить дополнительные сертификаты для браузера).

P.S. Как вообще можно "отключить от https"?

Jackers писал(а):

Как вообще можно "отключить от https"?

а как недавно на платежных формах всех российских интернет магазинов была информация установить российский сертификат или перейти на яндекс браузер.
Там тогда центры сертификации отказывались работать с российскими банками и всё такое прочее. Браузеры хром и файрфокс грозились не устанавливать российский сертификат.
Было же такое.

barmen, я не совсем понимаю фразу отключить Россию от https. Можно создать свой центр сертификации, например, но при этом лишить Россию самого протокола невозможно.

barmen писал(а):

я не совсем понимаю фразу отключить Россию от https

Центры сертификации уже угрожали уйти из РФ. Это бы привело к тому, что все браузеры начали бы сообщать о недействительных сертификатах. То-есть браузеры не могут гарантировать отсутствие MITM атаки.

А возможность MITM атаки превращает https в пустышку. А бесполезный https = отключить Россию от https

barmen писал(а):

А бесполезный https = отключить Россию от https

В РФ уже есть свои ssl сертификаты. О каком отключении от https может идти речь?

Jackers писал(а):

В РФ уже есть свои ssl сертификаты. О каком отключении от https может идти речь?

Например Apple Android Windows могут сделать так чтобы они не работали в этих системах.

barmen писал(а):

Jackers писал(а): В РФ уже есть свои ssl сертификаты. О каком отключении от https может идти речь? Например Apple Android Windows могут сделать так чтобы они не работали в этих системах.

Каким образом, расскажите. Я устанавливаю, например, YandexBrowser, в который встроены нужные российские сертификаты.
Какие действия Apple Android Windows?

Jackers писал(а):

Я устанавливаю, например, YandexBrowser, в который встроены нужные российские сертификаты. Какие действия Apple Android Windows?

У сертификатов есть файлы, а файлы можно удалить, заблокировать возможность их создания итп.

barmen писал(а):

У сертификатов есть файлы, а файлы можно удалить, заблокировать возможность их создания итп.

На данный момент у Apple, например, в AppStore есть YandexBrowser, который прошел их верификацию. Скажите, каким образом будет Apple удалять файлы верифицированного приложения непосредственно в системе?

Аналогично и у других систем. Андроид вообще спокойно позволяет поставить стороннее приложение.

Jackers
Apple, например, может вообще удалить YandexBrowser из AppStore.
Надеюсь вы не будете отрицать что Windows 10 ранее удаляла программы и файлы без ведома пользователя?
У андроида все езе впереди.

barmen писал(а):

Apple, например, может вообще удалить YandexBrowser из AppStore.

Может удалить, а может не удалить. Пока такого на данный момент нет и это явно не подходит под "отключить Россию от https". Одного Apple для этого мало.

barmen писал(а):

Надеюсь вы не будете отрицать что Windows 10 ранее удаляла программы и файлы без ведома пользователя?

Это еще не значит, что также будет и сертификатами YB, например.

barmen писал(а):

У андроида все езе впереди.

В обсуждаемой новости изменение способа обновления CA применяется для всего мира и нет никакой исключительности для России.

И соответственно в Магиске появится патч с сертификатами (правда который надо будет проверить перед установкой). И все. Проблема прям) Разблокировка бута и рут доступ тоже детектировался, раньше)

В 14 версии редми уже и так никуда не даёт зайти, ни в какие скрытые папки и посмотреть, вот и пришло время контроля корпорацией большого брата твоего смартфона, хуже всего что нет альтернативы, и даже при получении root прав всё плохо, да и с правами root не каждый пользователь будет заморачиваться, остаётся только пользоваться старыми версиями смартфона, или ставить старые прошивки смартфона чтоб не следили, хотя и это мало что даст, в общем беда. Выходит чем дороже смартфон, тем меньше у тебя прав. Мой смартфон Redmi Note 11S.