В Android 14 потребителят няма да може да променя системните сертификати, дори и с root достъп

Създателите на HTTP Toolkit – набор от инструменти с отворен код за проверка на HTTPS трафика – са забелязали промяна в начина, по който сертификатите на удостоверяващите центрове (CA) ще бъдат актуализирани в бъдеща версия на Android 14. Сертификатите вече няма да бъдат обвързани с фърмуера, а вместо това ще се доставят в отделен пакет, актуализиран чрез Google Play.

Този подход ще улесни поддържането на актуалните сертификати и премахването на сертификати от компрометирани удостоверителни органи, както и ще попречи на производителите на устройства да манипулират списъка на кореновите сертификати и ще направи процеса на тяхното актуализиране независим от актуализациите на фърмуера. От друга страна, новият метод на доставка ще попречи на потребителите да правят промени в системните сертификати, дори ако имат root достъп до системата и имат пълен контрол върху фърмуера.

Вместо от директорията /system/etc/security/cacerts, сега сертификатите в Android 14 се вземат от директорията /apex/com.android.conscrypt/cacerts, разположена в отделен контейнер от типа APEX (Android Pony EXpress), чието съдържание се доставя чрез Google Play и чиято цялост се контролира от цифровия подпис на Google. По този начин, дори при пълен контрол на системата с root привилегии, потребителят няма да може да променя съдържанието на списъка със системните сертификати. Новата схема за съхранение на сертификати може да доведе до затруднения за разработчиците и хакерите, които се занимават с обратно инженерство, проверка на трафика или изследване на фърмуера, и потенциално може да усложни развитието на проекти, разработващи алтернативен фърмуер, базиран на Android, като например GrapheneOS и LineageOS.