Cette page a été traduite par l'API Cloud Translation.

Transparence des APK des services système Google

Dans le cadre de l'investissement continu de Google en faveur de la transparence de ses produits, nous ajoutons de la transparence à deux nouveaux APK de services système Google : Android System SafetyCore (com.google.android.safetycore) et Android System Key Verifier (com.google.android.contactkeys). Ces APK permettent d'utiliser les avertissements de contenu sensible et la fonctionnalité de vérification des clés cryptographiques dans Google Messages. Le journal de transparence que nous avons publié pour vérifier les affirmations que nous faisons concernant ces APK.

Packages couverts

Cette section décrit les packages couverts par le journal de transparence, ainsi que leurs clés de signature de transparence de code respectives.

Android System SafetyCore

Android System SafetyCore (com.google.android.safetycore) est un composant du système Android qui fournit une infrastructure de protection des utilisateurs sur l'appareil protégeant la confidentialité pour les applications.

Le code de cet APK est actuellement signé avec la clé suivante décrite par ce certificat:

Android System Key Verifier

L'APK Android System Key Verifier (com.google.android.contactkeys) est un service de validation des contacts sur Android. Il permet à un utilisateur de vérifier les clés publiques d'un contact pour confirmer qu'il communique avec la personne à qui il souhaite envoyer un message. Il s'agit d'un système unifié pour la validation des clés publiques dans différentes applications, qui utilise la validation par scan d'un code QR ou par comparaison de chiffres.

Le code de cet APK est actuellement signé avec la clé suivante décrite par ce certificat:

Modèle de menace

Les systèmes de transparence peuvent être utilisés pour détecter et donc dissuader les attaques de la chaîne d'approvisionnement. Nous illustrons cela par quelques exemples.

Supposons qu'un pirate informatique modifie de manière malveillante un APK de services système Google et parvienne même à le signer avec la clé de signature utilisée par Google Play. Toute personne qui reçoit l'APK malveillant peut interroger le journal de transparence binaire pour vérifier l'authenticité de l'APK. Il constatera que Google n'a pas ajouté les métadonnées APK correspondantes au journal et saura ne pas faire confiance à l'APK compromis.

Étant donné que la publication dans le journal est un processus distinct du processus de publication avec signature (comme illustré dans le diagramme de l'écosystème), cela augmente la difficulté pour l'attaquant au-delà de la compromission de la clé.

Nous prévoyons également d'intégrer ce journal à un réseau public de témoins à l'aide d'un protocole de témoin standard. Nous encourageons les parties externes et indépendantes à surveiller l'intégrité de ce journal accessible au public. Ces parties peuvent attester de la propriété d'ajout uniquement du journal et signaler toute falsification.

L'existence d'un tel système de transparence et la visibilité accrue des attaques découragent les activités malveillantes. Si un APK est compromis, mais que les utilisateurs ne font confiance qu'à ceux qui figurent dans le journal, l'APK compromis doit être exposé publiquement. Cela augmente la probabilité de découvrir l'existence de l'APK compromis et des mesures peuvent être prises pour en supprimer la distribution.

Modèle de demandeur

Le modèle de demandeur est un framework utilisé pour définir les rôles et les artefacts dans un système vérifiable. Dans le cas de la transparence des APK des services système Google, nous affirmons que le hachage des binaires signés enregistrés dans ce journal représente le code officiel des APK des services système Google respectifs.

Réclamation ^{GoogleSystemServicesApk}: (je, Google, affirme que $codeSignature est pour $googleSystemServicesApk), où :
- $codeSignature est un jeton Web JSON (JWT) signé qui contient une liste de fichiers DEX et de bibliothèques natives, ainsi que leurs hachages correspondants inclus dans une version spécifique de $googleSystemServicesApk.
- $googleSystemServicesApk est un package Android (APK) de l'ensemble de packages suivant: {Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}

Toute personne disposant d'une copie de $googleSystemServicesApk peut vérifier la revendication ci-dessus. Nous décrivons ce processus en détail sur la page de validation.

Contenu du journal

Lorsque Google publie une nouvelle version des APK listés ci-dessus, il ajoute une entrée correspondante au journal de transparence de l'APK des services système Google.

Chaque entrée de ce journal contient quatre métadonnées APK:

Hachage de la signature de code d'un APK développé par Google. Il s'agit d'une chaîne hexadécimale du condensé SHA256 d'un jeton de transparence du code (également appelé jeton JWT de transparence du code).
Description du type de hachage ci-dessus. Il s'agit d'une chaîne.
Nom du package de l'APK. Il s'agit d'une chaîne.
Numéro de version (versionCode) de l'APK. Il s'agit d'un entier.

Le format d'une entrée de journal est la concaténation des quatre éléments d'information avec un caractère de nouvelle ligne (\n), comme illustré ci-dessous:

hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n

Notez que dans cette version, nous testons l'utilisation de la transparence du code. Cela signifie qu'au lieu du hachage de l'APK, nous enregistrons le récapitulatif du jeton de transparence du code. La description du hachage est donc actuellement définie sur SHA256(Signed Code Transparency JWT).

De plus, cela montre comment les développeurs d'applications peuvent utiliser la transparence du code lorsque leurs clés de signature d'application sont détenues par Google Play.

Schéma de l'écosystème

Schéma de l'écosystème des journaux vérifiables

Transparence des APK des services système Google Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.