Diese Seite wurde von der Cloud Translation API übersetzt.

APK-Transparenz für Google-Systemdienste

Im Rahmen der kontinuierlichen Investitionen von Google in die Transparenz seiner Produkte erhöhen wir die Transparenz bei zwei neuen APKs von Google-Systemdiensten: Android System SafetyCore (com.google.android.safetycore) und Android System Key Verifier (com.google.android.contactkeys). Diese APKs ermöglichen die Warnungen zu sensiblen Inhalten und die Funktion zur Überprüfung kryptografischer Schlüssel in Google Messages. Das Transparenzprotokoll, das wir veröffentlicht haben, um die Behauptungen zu diesen APKs zu überprüfen.

Abgedeckte Pakete

In diesem Abschnitt werden die Pakete beschrieben, die im Transparenzprotokoll enthalten sind, sowie die entsprechenden Signaturschlüssel für die Codetransparenz.

Android System SafetyCore

Android System SafetyCore (com.google.android.safetycore) ist eine Android-Systemkomponente, die eine datenschutzfreundliche On-Device-Infrastruktur für den Nutzerschutz für Apps bietet.

Der Code dieses APKs ist derzeit mit dem folgenden Schlüssel signiert, der in diesem Zertifikat beschrieben ist:

Android System Key Verifier

Die APK Android System Key Verifier (com.google.android.contactkeys) ist ein Dienst zur Kontaktbestätigung unter Android. Nutzer können damit die öffentlichen Schlüssel eines Kontakts überprüfen, um sicherzustellen, dass sie tatsächlich mit der Person kommunizieren, an die sie eine Nachricht senden möchten. Der Dienst ist ein einheitliches System für die Überprüfung öffentlicher Schlüssel in verschiedenen Apps, bei dem die Überprüfung per QR-Code-Scan oder Zahlenvergleich erfolgt.

Der Code dieses APKs ist derzeit mit dem folgenden Schlüssel signiert, der in diesem Zertifikat beschrieben ist:

Bedrohungsmodell

Transparenzsysteme können dazu verwendet werden, Angriffe auf die Lieferkette zu erkennen und so abzuschrecken. Hier einige Beispiele:

Angenommen, ein Angreifer ändert böswillig ein APK für Google-Systemdienste und schafft es sogar, es mit dem Signaturschlüssel zu signieren, der von Google Play verwendet wird. Jeder, der das schädliche APK empfängt, kann das Binary Transparency Log abfragen, um die Authentizität des APK zu überprüfen. Sie stellen fest, dass Google dem Log die entsprechenden APK-Metadaten nicht hinzugefügt hat, und wissen, dass sie dem manipulierten APK nicht vertrauen können.

Da die Veröffentlichung im Log ein separater Prozess vom Release-Prozess mit Signatur ist (wie im Ecosystem-Diagramm dargestellt), muss der Angreifer nicht nur den Schlüssel manipulieren, sondern auch den Log-Datensatz ändern.

Wir planen, dieses Protokoll auch in ein öffentliches Netzwerk von Zeugen einzubinden, das ein standardmäßiges Zeugenprotokoll verwendet. Wir empfehlen externen, unabhängigen Stellen, die Integrität dieses öffentlich zugänglichen Protokolls zu überwachen. Diese Parteien können die Eigenschaft „Nur anhängen“ des Protokolls bestätigen und Manipulationen melden.

Die Existenz eines solchen Transparenzsystems und die zusätzliche Auffindbarkeit von Angriffen schrecken vor schädlichen Aktivitäten ab. Wenn ein APK manipuliert wurde, aber Nutzer nur den im Log enthaltenen vertrauen, muss das manipulierte APK öffentlich zugänglich sein. So lässt sich die Wahrscheinlichkeit erhöhen, dass das manipulierte APK gefunden wird, und es können Maßnahmen ergriffen werden, um die Verbreitung zu beenden.

Modell für Anspruchsteller

Das Claimant-Modell ist ein Framework, mit dem Rollen und Artefakte in einem überprüfbaren System definiert werden. Im Fall der APK-Transparenz von Google-Systemdiensten machen wir den Anspruch geltend, dass der Hash der signierten Binärdateien, der in diesem Log aufgezeichnet ist, offiziellen Code für die entsprechenden APKs der Google-Systemdienste darstellt.

Anspruch^{GoogleSystemServicesApk}: (Ich, Google, beanspruche, dass $codeSignature für $googleSystemServicesApk bestimmt ist), wobei:
- $codeSignature ist ein signiertes JSON Web Token (JWT), das eine Liste von DEX-Dateien und nativen Bibliotheken sowie die entsprechenden Hash-Werte in einer bestimmten Version von $googleSystemServicesApk enthält.
- $googleSystemServicesApk ist ein Android-Paket (APK) aus den folgenden Paketen: {Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}

Jeder, der eine Kopie von $googleSystemServicesApk hat, kann die oben genannte Behauptung überprüfen. Auf der Überprüfungsseite wird dieser Vorgang ausführlich beschrieben.

Protokollinhalt

Wenn Google eine neue Version der oben aufgeführten APKs veröffentlicht, wird dem APK-Transparenzprotokoll für Google-Systemdienste ein entsprechender Eintrag hinzugefügt.

Jeder Eintrag in diesem Protokoll enthält vier APK-Metadaten:

Der Hash der Codesignatur eines von Google entwickelten APKs. Dies ist ein Hexadezimalstring der SHA256-Digest eines Codetransparenz-Tokens (auch als Codetransparenz-JWT bezeichnet).
Die Beschreibung des Hash-Typs oben. Dies ist ein String.
Der Paketname des APK. Dies ist ein String.
Die Versionsnummer (versionCode) des APK. Dies ist eine Ganzzahl.

Das Format eines Logeintrags besteht aus der Konkatenierung der vier Informationen mit einem Zeilenumbruchzeichen (\n), wie im folgenden Beispiel dargestellt:

hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n

In dieser Version testen wir die Codetransparenz. Das bedeutet, dass anstelle des Hashwerts des APK der Digest des Codetransparenz-Tokens aufgezeichnet wird. Daher ist die Hash-Beschreibung derzeit auf SHA256(Signed Code Transparency JWT) festgelegt.

Außerdem zeigt dies, wie App-Entwickler Codetransparenz nutzen können, wenn ihre App-Signaturschlüssel von Google Play aufbewahrt werden.

Diagramm für das Ökosystem

Diagramm zum verifizierbaren Log-System

APK-Transparenz für Google-Systemdienste Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.