Como parte de la inversión continua de Google en la transparencia de sus productos, estamos agregando transparencia a dos nuevos APKs de servicios del sistema de Google: SafetyCore del sistema Android (com.google.android.safetycore) y Verificador de claves del sistema Android (com.google.android.contactkeys). Estos APKs potencian las alertas de contenido sensible y la función de verificación de claves de criptografía en Mensajes de Google, respectivamente. El registro de transparencia que publicamos para verificar los reclamos que hacemos con respecto a estos APKs
Paquetes cubiertos
En esta sección, se describen los paquetes que se incluyen en el registro de transparencia y sus respectivas claves de firma de transparencia de código.
Android System SafetyCore
Android System SafetyCore (com.google.android.safetycore) es un componente del sistema Android que proporciona una infraestructura de protección del usuario en el dispositivo para las apps que preserva la privacidad.
Actualmente, el código de este APK está firmado con la siguiente clave que describe este certificado:
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
Android System Key Verifier
El APK de Android System Key Verifier (com.google.android.contactkeys) es un servicio para la verificación de contactos en Android. Permite que un usuario verifique las claves públicas de un contacto para confirmar que se está comunicando con la persona a la que quiere enviarle un mensaje. El servicio es un sistema unificado para la verificación de claves públicas en diferentes apps, que usa la verificación a través del escaneo de códigos QR o la comparación de números.
Actualmente, el código de este APK está firmado con la siguiente clave que describe este certificado:
-----BEGIN CERTIFICATE-----
MIIFyDCCA7CgAwIBAgIUQwApn2X0vcGMw/VyRoUQkFXuekYwDQYJKoZIhvcNAQELBQAwdDELMAkG
A1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWExFjAUBgNVBAcTDU1vdW50YWluIFZpZXcxFDAS
BgNVBAoTC0dvb2dsZSBJbmMuMRAwDgYDVQQLEwdBbmRyb2lkMRAwDgYDVQQDEwdBbmRyb2lkMCAX
DTI0MDczMTE5MzY0MVoYDzIwNTQwNzMxMTkzNjQxWjB0MQswCQYDVQQGEwJVUzETMBEGA1UECBMK
Q2FsaWZvcm5pYTEWMBQGA1UEBxMNTW91bnRhaW4gVmlldzEUMBIGA1UEChMLR29vZ2xlIEluYy4x
EDAOBgNVBAsTB0FuZHJvaWQxEDAOBgNVBAMTB0FuZHJvaWQwggIiMA0GCSqGSIb3DQEBAQUAA4IC
DwAwggIKAoICAQDKZqLKu5eeBir6muCiQ5vGQxIDzZcQhLZLpbAkVBNKcrpjgMB6ef0JvrKBnmzN
tHzgExjv4jzyZ1UnU8kaTinVWZF5F9unwuH/957zpc9Ja/JDioGn0V0Q4fgCfIaCLxj4GxK9ywby
TMBWg4ZN0nzcNTCX7ygSzZa24qSq/zOJd2wcO6RxO6MOS2TJPBABA1Wi6l7R/ldXDvzy/3doy5VU
4SElcwWosLFr4jORKGK4R0en96722skXCfl3kNz0J/aIUohdd3cggRnUX7N7tz1nlJpKmDFKeuKn
4lTITUf0MKWzs6PKabyoHzJZYf3XNN88cDy41wR9lsA33DSutuS2tQ2wUlXHfzikZVoI/kCANLW1
2ew3Wo+1D/qYhWXDzO8eM/c4R17vpzSt3kl/2IkYVuHvp1S4luY0DT3S9rKYg630BO+ubEg5NaMt
hGpCAcfMu8WUbdpWxIvdHPM8mQZbzSB2r5eON7ufzq3pB9pwKvslpdNtINvrKtZCrMSqTTqVI2dL
8d8YWIFHYySgKZFKNNcG0Y/OapbAy8zoQZT8oz4P0lWCTVcCoh/54jCBdAKUO+LOm3ATMzw/v57o
g1Lr0wTM7YjFkToGI/dytMyEFkG3fGxYcgzkn3pu0EoQ4FsrnL3jHcIKPCX6wSykXzODVwPLoO3z
YQHn1i0dxzIkKwIDAQABo1AwTjAMBgNVHRMEBTADAQH/MB0GA1UdDgQWBBQU/Oocht8Ntbcrqvx5
xljCPmYp1DAfBgNVHSMEGDAWgBQU/Oocht8Ntbcrqvx5xljCPmYp1DANBgkqhkiG9w0BAQsFAAOC
AgEAaWxz1VV1hUE+A/rQZNfNe2IH1B9f+4QCSF/VRmEOfSUB346cZgtSMkGpirXOczu0FExUAWzc
9GDV+w59P0YZ37IgB9l8nFh6qW9oCTBp3IOitvfKrz4x6GDhx6iU4j7WU60ezQZKnnchh4fIvraA
vy3m6/PLr6cbIvlHsUqCtt0gbNyj+fAgxJtbDSkqMwxYBOaOhQYQepkQuYD+juO08knwzMy5yFPL
MWBuhdB9Mqvv3l1MNcOB1Y+8RJGTp66ft1pVE2zuBDgix8m/Hizuewlws5xzLap/Rcx2BCHIFBlW
k4VbSZ6ERtkb/uh/q30psrBxcROxDR1LbynvPsayC+0pUjXCMVD7de3+HkeKiAT+OPQf8EAx2bMx
Nyz858lpVX9Eh92Q5jE/sxLvij3T6rBUBdatfpuE1dxGlpHNL7NVOEQpDOCZi9jSPstAoKYdtEzk
Im85maujM8udLoexXBTLgwYc/9Zz0nJXuVQJYyon70thXTrBc43gmi646rU4YFFhIei9N4dUQNgO
fxCGd8y8L8fTFAWQm9YQ7x7uxwjkalCh/ahRDtCdyk/ab8mHl/V1M5gkylUW6lt0Ba8Yw6j8PWqc
+io39beMlVWMfwj5mO2MTIKmUChUxULvQPcR46hve5mhSVZeBohPWnrc6B5XTf/4siWWRu0rYBD8
PLM=
-----END CERTIFICATE-----
Modelo de amenazas
Los sistemas de transparencia se pueden usar para detectar y, por lo tanto, disuadir los ataques a la cadena de suministro. Te mostramos algunos ejemplos.
Supongamos que un atacante modifica de forma maliciosa un APK de los servicios del sistema de Google y hasta logra firmarlo con la clave de firma que usa Google Play. Cualquier persona que reciba el APK malicioso puede consultar el registro de transparencia binaria para verificar su autenticidad. Verá que Google no agregó los metadatos del APK correspondientes al registro y sabrá que no debe confiar en el APK comprometido.
Dado que la publicación en el registro es un proceso independiente del proceso de lanzamiento con firma (como se ilustra en el Diagrama del ecosistema), esto eleva el nivel para el atacante más allá de simplemente vulnerar la clave.
Si bien planeamos integrar este registro en una red pública de testigos con un protocolo de testigo estándar, recomendamos a las partes externas e independientes que supervisen la integridad de este registro disponible para el público en general. Estas partes pueden certificar la propiedad de solo agregar del registro y denunciar cualquier alteración.
La existencia de un sistema de transparencia de este tipo y la visibilidad adicional de los ataques desalientan la actividad maliciosa. Si un APK está comprometido, pero los usuarios solo confían en los que están en el registro, el APK comprometido debería exponerse públicamente. Esto aumenta la probabilidad de descubrir que existe el APK comprometido y se pueden tomar medidas para quitar su distribución.
Modelo de solicitante
El modelo de solicitante es un marco de trabajo que se usa para definir roles y artefactos en un sistema verificable. En el caso de la transparencia de los APKs de los servicios del sistema de Google, afirmamos que el hash de los objetos binarios firmados registrados en este registro representa el código oficial de los APKs de los servicios del sistema de Google correspondientes.
- Reclama GoogleSystemServicesApk: (Yo, Google, declaro que
$codeSignaturees para$googleSystemServicesApk), en el que se cumple lo siguiente:$codeSignaturees un token web JSON (JWT) firmado que contiene una lista de archivos DEX y bibliotecas nativas, así como sus hashes correspondientes, incluidos en una versión específica de$googleSystemServicesApk.$googleSystemServicesApkes un paquete de Android (APK) del siguiente conjunto de paquetes:{Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}
Cualquier persona que tenga una copia de $googleSystemServicesApk puede verificar la declaración anterior, y describimos este proceso en detalle en la página de verificación.
Contenido del registro
Cuando Google lanza una versión nueva de los APKs mencionados anteriormente, agrega una entrada correspondiente al registro de transparencia del APK de los servicios del sistema de Google.
Cada entrada de este registro contiene cuatro metadatos de APK:
- Es el hash de la firma de código de un APK desarrollado por Google. Es una cadena hexadecimal del resumen SHA256 de un token de transparencia de código (también conocido como JWT de transparencia de código).
- La descripción del tipo de hash anterior. Esta es una cadena.
- El nombre del paquete del APK. Esta es una cadena.
- Es el número de versión (versionCode) del APK. Este es un número entero.
El formato de una entrada de registro es la concatenación de los cuatro elementos de información con un carácter de línea nueva (\n), como se ilustra a continuación:
hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n
Ten en cuenta que, en esta versión, estamos experimentando con el uso de la transparencia de código.
Esto significa que, en lugar del hash del APK, estamos registrando el resumen del
token de transparencia de código.
Por lo tanto, la descripción del hash actualmente se fija como SHA256(Signed Code Transparency JWT).
Además, esto demuestra una forma en que los desarrolladores de apps pueden usar la transparencia de código cuando Google Play retiene sus claves de firma de apps.
Diagrama del ecosistema
