Esta página foi traduzida pela API Cloud Translation.

Transparência do APK dos serviços do sistema do Google

Como parte do investimento contínuo do Google na transparência dos produtos, estamos adicionando transparência a dois novos APKs de serviços do sistema do Google: Android System SafetyCore (com.google.android.safetycore) e Android System Key Verifier (com.google.android.contactkeys). Esses APKs alimentam o recurso de alertas de conteúdo sensível e verificação de chave criptográfica no Google Mensagens, respectivamente. O registro de transparência que publicamos para verificar as declarações que fazemos em relação a esses APKs.

Devido aos avanços na IA, também estamos adicionando transparência aos seguintes APKs:

Private Compute Services (com.google.android.as.oss)

Pacotes cobertos

Esta seção descreve os pacotes cobertos no registro de transparência e as respectivas chaves de assinatura de transparência de código.

Android System SafetyCore

O Android System SafetyCore (com.google.android.safetycore) é um componente do sistema Android que fornece infraestrutura de proteção do usuário no dispositivo para apps, preservando a privacidade.

O código deste APK está assinado com a seguinte chave descrita por este certificado:

Verificador de Chaves do Sistema Android

O APK Verificador de Chaves do Sistema Android (com.google.android.contactkeys) é um serviço para verificação de contatos no Android. Ele permite que um usuário verifique as chaves públicas de um contato para confirmar que está se comunicando com a pessoa certa. O serviço é um sistema unificado para verificação de chaves públicas em diferentes apps, que usa a verificação por leitura de QR code ou comparação de números.

O código deste APK está assinado com a seguinte chave descrita por este certificado:

Private Compute Services

O APK Private Compute Services (com.google.android.as.oss) é um serviço do sistema que aplica proteções de privacidade aos dados do usuário usados por recursos baseados em IA em um dispositivo Android. O Private Compute Services funciona como um gateway seguro e auditável para aplicativos do Núcleo de processamento privado (PCC), como a Inteligência do sistema Android (AiAi), que processam dados sensíveis no dispositivo para acessar recursos de rede. Ao fornecer APIs bem definidas e com foco na privacidade para tarefas como downloads HTTP e aprendizado federado, e ao tornar o código disponível publicamente, o Astrea permite que usuários e pesquisadores verifiquem se os dados estão sendo tratados de maneira a preservar a privacidade.

O código deste APK está assinado com a seguinte chave descrita por este certificado:

Modelo de ameaça

Os sistemas de transparência podem ser usados para detectar e, assim, impedir ataques à cadeia de suprimentos. Ilustramos com alguns exemplos.

Suponha que um invasor modifique maliciosamente um APK de serviços do sistema do Google e até consiga assiná-lo com a chave de assinatura usada pelo Google Play. Qualquer pessoa que receber o APK malicioso pode consultar o registro de transparência binária para verificar a autenticidade do APK. Eles vão descobrir que o Google não adicionou os metadados do APK correspondente ao registro e saberão que não devem confiar no APK comprometido.

Como a publicação no registro é um processo separado do processo de lançamento com assinatura (conforme ilustrado no Diagrama do ecossistema), isso aumenta a dificuldade para o invasor além de apenas comprometer a chave.

Embora planejemos integrar esse registro a uma rede pública de testemunhas usando um protocolo de testemunha padrão, incentivamos partes externas e independentes a monitorar a integridade desse registro disponível publicamente. Essas partes podem atestar a propriedade de anexação exclusiva do registro e denunciar qualquer adulteração.

A existência de um sistema de transparência e a capacidade adicional de descoberta de ataques desencorajam atividades maliciosas. Se um APK for comprometido, mas os usuários confiarem apenas nos que estão no registro, o APK comprometido precisará ser exposto publicamente. Isso aumenta a probabilidade de descobrir que o APK comprometido existe e permite tomar medidas para remover a distribuição dele.

Modelo de reclamante

O modelo de requerente é uma estrutura usada para definir funções e artefatos em um sistema verificável. No caso da transparência do APK dos serviços do sistema do Google, a declaração que fazemos é que o hash dos binários assinados registrados nesse registro representa o código oficial dos respectivos APKs dos serviços do sistema do Google.

Declaração^{GoogleSystemServicesApk}: (Eu, Google, declaro que $codeSignature é para $googleSystemServicesApk), em que:
- $codeSignature é um JSON Web Token (JWT) assinado que contém uma lista de arquivos DEX e bibliotecas nativas, além dos hashes correspondentes incluídos em uma versão específica de $googleSystemServicesApk.
- $googleSystemServicesApk é um pacote Android (APK) do seguinte conjunto de pacotes: {Android System SafetyCore (com.google.android.safetycore), Android System Key Verifier (com.google.android.contactkeys)}

Qualquer pessoa que tenha uma cópia de $googleSystemServicesApk pode verificar a declaração acima, e descrevemos esse processo em detalhes na página de verificação.

Conteúdo do registro

Quando o Google lança uma nova versão dos APKs listados acima, ele adiciona uma entrada correspondente ao Registro de transparência do APK dos Serviços do sistema do Google.

Cada entrada nesse registro contém quatro metadados de APK:

O hash da assinatura de código de um APK desenvolvido pelo Google. É uma string hexadecimal do resumo SHA256 de um token de transparência de código (também conhecido como JWT de transparência de código).
A descrição do tipo de hash acima. Isso é uma string.
O nome do pacote do APK. Isso é uma string.
O número da versão (versionCode) do APK. Esse é um número inteiro.

O formato de uma entrada de registro é a concatenação das quatro informações com um caractere de nova linha (\n), conforme ilustrado a seguir:

hash\nSHA256(Signed Code Transparency JWT)\npackage_name\npackage_version\n

Nesta versão, estamos testando o uso da transparência do código. Isso significa que, em vez do hash do APK, estamos gravando o resumo do token de transparência do código. Assim, a descrição do hash está atualmente fixa como SHA256(Signed Code Transparency JWT).

Além disso, isso demonstra uma maneira de a transparência do código ser usada por desenvolvedores de apps quando as chaves de assinatura do app são mantidas pelo Google Play.

Diagrama do ecossistema

Diagrama do ecossistema de registros verificáveis

Transparência do APK dos serviços do sistema do Google Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Pacotes cobertos

Android System SafetyCore

Verificador de Chaves do Sistema Android

Private Compute Services

Modelo de ameaça

Modelo de reclamante

Conteúdo do registro

Diagrama do ecossistema

Transparência do APK dos serviços do sistema do Google