Представете си следното: отключвате вашия (предполагаемо много стар) телефон един прекрасен ден, за да потърсите нещо в интернет, но осъзнавате, че повечето, ако не и всички уебсайтове просто отказват да се свържат, като вместо това извеждат предупреждения за сигурност. Тази ситуация почти възниква за телефони с Android 7 или по-стари версии през 2021 г., когато изтече валидността на така наречения основен сертификат. Проблемът може да бъде предотвратен благодарение на странния начин, по който Android обработва такива изтекли сертификати, но Google търси по-трайно решение и то може да бъде въведено в Android 14.

Както старшият технически редактор на Esper.io Мишал Рахман забеляза в отворения код на Android, Google работи върху нов основен модул, който ще направи възможно актуализирането на основните сертификати в движение. В момента главните сертификати се актуализират като част от пълни системни актуализации, които рядко достигат до по-стари устройства, които могат да бъдат изложени на риск от навлизане в територията на остарелите основни сертификати.

Вместо да бъде част от самия системен пакет, новият модул за сертифициране може да бъде актуализиран чрез услугите на Google Play. Това позволява на Google да изпраща ъпдейти, когато са необходими, което прави възможно устройствата да бъдат свързани с всички уебсайтове, които можете да посетите в интернет. Това е подобно на това колко компоненти на Android са били настроени за известно време, включително Bluetooth.

Този нов подход е добър и поради друга причина. Основните сертификати се основават предимно на доверие и те правят възможно сайтовете да установяват сигурни връзки на първо място. Един от тези центрове за основни сертификати, TrustCor, наскоро беше забелязан да има връзки с компания, която предоставя разузнавателни услуги с шпионски софтуер. Въпреки че не са открити проблеми със самия TrustCor, компаниите бързо се отдалечават от платформата поради опасения, че може да се случи нещо подозрително. В крайна сметка не би било добре, ако разузнавателните служби могат да преглеждат всички криптирани данни, обменени между сървър и потребител. Въпреки че Android премахва поддръжката за сертификата на TrustCor в пълните актуализации за сигурност на системата, би било за предпочитане, ако Google може да изключи сертификата по-бързо от това.

Проблемът с остарелите главни сертификати е особено голям при Android. Тук повечето приложения и браузъри разчитат на вградените основни сертификати, за да проверят защитените връзки, докато в Windows и macOS много приложения имат пакетирани свои собствени основни сертификати, които могат да се актуализират. Всъщност Chrome едва наскоро представи свое собствено основно хранилище, което е името на мястото, където се записват основните сертификати. В Android виден пример за приложение, което разчита на собствено основно хранилище, е Firefox. Това означава, че браузърът ще продължи да работи на по-стари телефони с Android независимо от всичко, дори ако системният основен сертификат е изтекъл. За щастие следващият голям основен сертификат трябва да изтече едва през 2035 г., така че не трябва скоро да очакваме проблем като този с Android 7 през 2021 г.

Снимка: Unsplash

Виж още: AI на Google може да се изплъзне от контрол с катастрофални последици