Cette page a été traduite par l'API Cloud Translation.

Transparence des APK des services système Google

Dans le cadre de l'investissement continu de Google dans la transparence de ses produits, nous ajoutons de la transparence à deux nouveaux APK de services système Google : Android System SafetyCore (com.google.android.safetycore) et Android System Key Verifier (com.google.android.contactkeys). Ces APK permettent respectivement d'afficher les avertissements de contenu sensible et la fonctionnalité de validation des clés cryptographiques dans Google Messages. Le journal de transparence que nous avons publié pour vérifier les affirmations que nous faisons concernant ces APK.

Compte tenu des avancées de l'IA, nous ajoutons également de la transparence aux APK suivants :

Private Compute Services (com.google.android.as.oss)

Packages couverts

Cette section décrit les packages couverts par le journal de transparence, ainsi que leurs clés de signature de transparence du code respectives.

Android System SafetyCore

Android System SafetyCore (com.google.android.safetycore) est un composant du système Android qui fournit une infrastructure de protection des utilisateurs sur l'appareil, respectueuse de la confidentialité, pour les applications.

Le code de cet APK est actuellement signé avec la clé suivante décrite par ce certificat :

Android System Key Verifier

L'APK Android System Key Verifier (com.google.android.contactkeys) est un service de validation des contacts sur Android. Il permet à un utilisateur de valider les clés publiques d'un contact pour confirmer qu'il communique avec la personne à laquelle il souhaite envoyer un message. Il s'agit d'un système unifié pour la validation des clés publiques dans différentes applications, qui utilise la validation par scan de code QR ou par comparaison de chiffres.

Le code de cet APK est actuellement signé avec la clé suivante décrite par ce certificat :

Private Compute Services

L'APK Private Compute Services (com.google.android.as.oss) est un service système qui applique des mesures de protection de la confidentialité pour les données utilisateur utilisées par les fonctionnalités basées sur l'IA sur un appareil Android. Private Compute Services sert de passerelle sécurisée et auditable pour les applications Private Compute Core (PCC) telles qu'Android System Intelligence (AiAi), qui gèrent les données sensibles sur l'appareil, afin d'accéder aux ressources réseau. En fournissant des API bien définies et axées sur la confidentialité pour des tâches telles que les téléchargements HTTP et l'apprentissage fédéré, et en rendant son code public, Astrea permet aux utilisateurs et aux chercheurs de vérifier que les données sont traitées de manière à préserver la confidentialité.

Le code de cet APK est actuellement signé avec la clé suivante décrite par ce certificat :

Modèle de menace

Les systèmes de transparence peuvent être utilisés pour détecter et ainsi dissuader les attaques de la chaîne d'approvisionnement. Nous allons illustrer cela avec quelques exemples.

Imaginons qu'un pirate informatique modifie de manière malveillante un APK des services système Google et parvienne même à le signer avec la clé de signature utilisée par Google Play. Toute personne qui reçoit l'APK malveillant peut interroger le journal de transparence des binaires pour vérifier son authenticité. Ils constateront que Google n'a pas ajouté les métadonnées APK correspondantes au journal et sauront qu'ils ne doivent pas faire confiance à l'APK piraté.

Étant donné que la publication dans le journal est un processus distinct du processus de publication avec signature (comme illustré dans le diagramme de l'écosystème), cela augmente la barre pour l'attaquant au-delà de la simple compromission de la clé.

Nous prévoyons également d'intégrer ce journal à un réseau public de témoins à l'aide d'un protocole de témoin standard. Nous encourageons les tiers externes et indépendants à surveiller l'intégrité de ce journal accessible au public. Ces parties peuvent attester de la propriété d'ajout uniquement du journal et signaler toute falsification.

L'existence d'un tel système de transparence et la possibilité de découvrir plus facilement les attaques découragent les activités malveillantes. Si un APK est compromis, mais que les utilisateurs ne font confiance qu'à ceux qui figurent dans le journal, l'APK compromis devra être exposé publiquement. Cela augmente la probabilité de découvrir l'existence de l'APK piraté et de prendre des mesures pour arrêter sa distribution.

Modèle du demandeur

Le modèle de demandeur est un framework utilisé pour définir les rôles et les artefacts dans un système vérifiable. Dans le cas de la transparence des APK des services système Google, l'affirmation que nous faisons est que le hachage des binaires signés enregistrés dans ce journal représente le code officiel des APK des services système Google respectifs.

Claim^{GoogleSystemServicesApk} : (I, Google, claim that $codeSignature is for $googleSystemServicesApk), où :
- $codeSignature est un jeton Web JSON (JWT) signé qui contient une liste de fichiers DEX et de bibliothèques natives, ainsi que leurs hachages correspondants inclus dans une version spécifique de $googleSystemServicesApk.
- $googleSystemServicesApk est un package Android (APK) de l'ensemble de packages suivant : {Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}

Toute personne disposant d'une copie de $googleSystemServicesApk peut valider l'affirmation ci-dessus. Nous décrivons ce processus en détail sur la page de validation.

Contenu du journal

Lorsque Google publie une nouvelle version des APK listées ci-dessus, il ajoute une entrée correspondante au journal de transparence de l'APK des services système de Google.

Chaque entrée de ce journal contient quatre éléments de métadonnées APK :

Hachage de la signature du code d'un APK développé par Google. Il s'agit d'une chaîne hexadécimale du condensé SHA256 d'un jeton de transparence du code (également appelé JWT de transparence du code).
Description du type de hachage ci-dessus. Il s'agit d'une chaîne.
Le nom du package de l'APK. Il s'agit d'une chaîne.
Numéro de version (versionCode) de l'APK. Il s'agit d'un nombre entier.

Le format d'une entrée de journal correspond à la concaténation des quatre informations avec un caractère de nouvelle ligne (\n), comme illustré ci-dessous :

hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n

Notez que dans cette version, nous testons l'utilisation de la transparence du code. Cela signifie qu'au lieu du hachage de l'APK, nous enregistrons le condensé du jeton de transparence du code. La description du hachage est donc actuellement définie sur SHA256(Signed Code Transparency JWT).

Cela montre également comment les développeurs d'applications peuvent utiliser la transparence du code lorsque leurs clés de signature d'application sont conservées par Google Play.

Schéma de l'écosystème

Schéma de l'écosystème de journaux vérifiables

Transparence des APK des services système Google Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Packages couverts

Android System SafetyCore

Android System Key Verifier

Private Compute Services

Modèle de menace

Modèle du demandeur

Contenu du journal

Schéma de l'écosystème

Transparence des APK des services système Google