Android 14 จะบล็อกการแก้ไขใบรับรองระบบทั้งหมด แม้มีสิทธิ์รูทก็ตาม?

 (httptoolkit.com)
1 คะแนน โดย GN⁺ 2023-09-06 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Android 14 รุ่นที่กำลังจะมาถึงจะบล็อกการแก้ไขใบรับรองระบบทั้งหมด แม้กระทั่งสำหรับผู้ใช้ที่มีสิทธิ์รูท
  • การเปลี่ยนแปลงนี้ถือว่าเบี่ยงออกไปอย่างมากจากคำมั่นสัญญาในช่วงแรกของ Android ในการเป็น "แพลตฟอร์มเปิด" ที่อนุญาตให้นักพัฒนาเข้าถึงความสามารถและเครื่องมือของโทรศัพท์ได้อย่างเต็มที่
  • ข้อจำกัดเกี่ยวกับใบรับรองของผู้ออกใบรับรอง (CA) จะเข้มงวดยิ่งขึ้นมาก จนทำให้ไม่สามารถแก้ไขชุดใบรับรองที่เชื่อถือได้บนอุปกรณ์ที่รูทเต็มรูปแบบแล้วได้
  • การเปลี่ยนแปลงนี้จะสร้างความท้าทายใหม่ให้กับนักพัฒนา Android, ผู้ทดสอบ, วิศวกรย้อนกลับ และผู้ที่สนใจควบคุมว่าอุปกรณ์ของตนจะเชื่อถือใครบ้าง
  • การเปลี่ยนผ่านไปสู่โลกที่ถูกจำกัดมากขึ้นและอยู่ภายใต้การควบคุมของผู้ผลิตเริ่มต้นขึ้นตั้งแต่ Android 7 (Nougat) ซึ่งแยกรายการผู้ออกใบรับรอง (CAs) ของอุปกรณ์ออกเป็นสองส่วน คือรายการคงที่ที่ผู้ผลิต OS จัดให้ และรายการที่ผู้ใช้สามารถแก้ไขได้
  • ความสามารถในการแก้ไขชุดใบรับรองที่เชื่อถือได้มีความสำคัญต่อความเป็นส่วนตัวและงานวิจัยด้านความปลอดภัย, การทำ reverse engineering, การดีบักและทดสอบแอป ตลอดจนการตั้งค่าเครือข่ายภายในองค์กรหลายรูปแบบ
  • แม้จะไม่สะดวก แต่ที่ผ่านมาเรายังสามารถรูทอุปกรณ์ Android และหลบเลี่ยงข้อจำกัดเหล่านี้ได้ ทว่าวิธีหลบเลี่ยงดังกล่าวจะใช้ไม่ได้อีกต่อไปใน Android 14
  • ฟีเจอร์ความปลอดภัยใหม่ของ Android 14 อย่างใบรับรอง CA ที่อัปเดตจากระยะไกลได้ จะช่วยให้อัปเดต CA ได้รวดเร็วยิ่งขึ้น และทำให้ Google สามารถเพิกถอนความเชื่อถือของ CA ที่มีปัญหาหรือใช้งานไม่ได้บนอุปกรณ์ Android 14+ ทุกเครื่องได้ โดยไม่ต้องรอให้ผู้ผลิตโทรศัพท์แต่ละรายปล่อย OTA update
  • แม้เป้าหมายของฟีเจอร์นี้จะเป็นไปในทางบวก แต่การนำไปใช้กลับก่อให้เกิดผลกระทบรุนแรง เพราะใบรับรองระบบ CA จะไม่ถูกโหลดจาก /system อีกต่อไป และการเปลี่ยนแปลงใด ๆ ที่ทำผ่านสิทธิ์รูทจะถูกทุกแอปบนอุปกรณ์เมินเฉย
  • การเปลี่ยนแปลงนี้ยังหมายความว่าองค์ประกอบระบบอื่น ๆ ในอนาคตที่ถูกย้ายเข้าไปอยู่ในขอบเขตของโมดูล Android Pony EXpress (APEX) ก็จะถูกดึงออกจากการควบคุมของผู้ใช้เช่นกัน ซึ่งอาจสร้างปัญหาให้กับ Android fork อย่าง GrapheneOS และ LineageOS รวมถึงเครื่องมือปรับแต่งอุปกรณ์ขั้นสูงอย่าง Magisk
  • ณ ตอนนี้ ผู้ที่สนใจตั้งค่าใบรับรองระบบ CA ของตนเองเพื่อการดีบัก, reverse engineering, การทดสอบ หรือการวิจัย ควรหลีกเลี่ยงการอัปเดตเป็น Android 14 หรือใช้ OS แบบกำหนดเองที่ไม่ได้จัดการใบรับรอง CA ผ่านโมดูล APEX

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-09-06
ความเห็นจาก Hacker News
  • บทความเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากการที่ Android 14 บล็อกการแก้ไข system certificate ทั้งหมด
  • นักพัฒนา Android ที่มีประสบการณ์รายหนึ่งโต้แย้งว่าพาดหัวนั้นทำให้เข้าใจผิด โดยยืนยันว่า root access บน Android ยังคงอนุญาตให้แก้ไขได้อย่างกว้างขวาง รวมถึงการแก้ไขโค้ด Java
  • นักพัฒนารายดังกล่าวเสนอว่าปัญหาการแก้ไข system certificate ไม่ได้เป็นปัญหาทั่วไป แต่อาจเป็นปัญหาเฉพาะของผู้เขียนบทความเท่านั้น
  • นักพัฒนาวิจารณ์ว่า Android กำลังเป็นปฏิปักษ์ต่อผู้ใช้มากขึ้นเรื่อย ๆ โดยเฉพาะผู้ใช้ระดับ power user และหวังว่าสิ่งนี้จะทำให้มีคนหันไปใช้ custom ROM มากขึ้น
  • ผู้แสดงความคิดเห็นอีกรายกล่าวว่ารู้สึกขอบคุณที่ PC ไม่ได้ทำงานเหมือนสมาร์ตโฟน พร้อมวิจารณ์ว่า Android ให้การควบคุมแก่ผู้ใช้น้อยกว่าและไม่เสถียรเมื่อเทียบกับ Windows
  • ผู้ใช้ Pinephone Pro พูดถึงความยากลำบากในการใช้เบราว์เซอร์และระบบปฏิบัติการมือถือที่ไม่ใช่มาตรฐาน พร้อมชี้ให้เห็นความท้าทายของการหลุดพ้นจากภาวะ duopoly ของระบบปฏิบัติการมือถือแบบปิด
  • ผู้ใช้ชี้ว่า Android มีข้อจำกัดมากกว่า Apple ในการติดตั้งและเชื่อถือ root CA ใหม่ โดย Android 7+ จะเพิกเฉยต่อ CA ที่ผู้ใช้เพิ่มเข้ามาโดยค่าเริ่มต้น
  • ผู้ใช้อีกรายเสนอว่าปัญหาการไม่สามารถเปลี่ยน root CA ได้อาจเป็นผลพลอยได้จากการทำ namespacing/containerization ของ Google มากกว่าจะเป็นความพยายามตั้งใจเพื่อป้องกันการเปลี่ยนแปลง
  • ผู้แสดงความคิดเห็นแชร์วิธีข้ามการอ่านจากไดเรกทอรี APEX cert โดยการตั้งค่า system property พร้อมเสนอว่าปัญหานี้อาจไม่ร้ายแรงอย่างที่คิดในตอนแรก
  • มีความกังวลเกี่ยวกับความอยู่รอดระยะยาวของ certificate ที่ถูก hardcode ไว้ใน Android เวอร์ชันที่ถูกทิ้งร้างไปแล้ว พร้อมตั้งคำถามถึงความยั่งยืนของแนวทางนี้ในระยะยาว
  • ผู้ใช้รายหนึ่งวิจารณ์ว่า Android ตัดฟีเจอร์ออกในทุก ๆ รุ่น และเสนอว่าในที่สุด iOS อาจแซง Android ในด้านประสบการณ์ผู้ใช้
  • ผู้ใช้ที่พึ่งพา personal PKI สำหรับซอฟต์แวร์ self-hosted แสดงความจำเป็นในการเพิ่ม root certificate ของตนเองเข้าไปในรายการหน่วยงานที่เชื่อถือได้ พร้อมเน้นย้ำความสำคัญของการที่ผู้ใช้ควบคุมอุปกรณ์ของตนเองได้
  • ผู้ใช้แชร์ประสบการณ์การใช้ HTTP Toolkit และ Frida เพื่อดึง API ที่ซ่อนอยู่จากแอปชาร์จรถ EV พร้อมเน้นถึงคุณค่าที่เป็นไปได้ของเครื่องมือเหล่านี้สำหรับนักพัฒนา