大家一起看一看新的Android P將引入哪些安全性改進

根據Google的Android開發團隊發布的新版本Android系統概述，下一個Android版本（Android P或Android 9.0）大家應該很快就可以「吃」上了。文件表示，Google在2018年第三季度的版本推送計劃將在三個月左右的時間內實施完成：

AndroidP的測試目前即將結束，第一個候選版本也已經在7月份正式發布了。作為一名安全行業的從業人員，我們有必要看一看Android的最新版本到底引入了哪些新的安全功能。在這篇文章中，我們將主要討論Android安全方面的改進。

提升指紋驗證功能

為了保護數據的安全，目前絕大多數的設備都擁有不同形式的驗證功能。新版的Android P提供了改進的基於生物特徵的身份驗證方法。在Android 8.1中，引入了兩個新的指標來幫助身份特徵系統抵禦攻擊，即SAR（欺騙接受率）和IAR（偽造接受率）。隨著Android P引入的基於改進生物特徵安全模型，新版本Android的生物認證將變得更加可靠和可信。

除此之外，Android P還會給指紋驗證對話框提供標準化界面布局，以此增加用戶對安全性方面的信心。應用程序開發者在調用指紋驗證功能時，需要調用一個名叫BiometricPrompt的新型API，其他驗證邏輯並不需要開發人員自己去實現。

簽名機制v3

AndroidP支持APK簽名機制V3，這個版本跟V2相比，主要區別在於增加了密鑰輪轉的支持。對於開發者來說，密鑰輪轉是非常有用的，因為這種機制包含了ApkSignerLineage。在這個功能的幫助下，你可以輕鬆對一個新的證書進行簽名，並與APK文件進行綁定。雖然簽名機制V3在新版本系統中是默認開啟的，但你仍然可以使用舊版本的簽名證書。

默認支持HTTPS

現在，很多App仍然會以未加密的形式來傳輸用戶數據，這種方式存在很大的安全隱患。如果人們知道AndroidP默認支持安全傳輸協議的話，人們對數據安全的擔憂將會降低。在Android P中，第三方開發者可以為自己的App開啟HTTPS，不過他們也可以忽略這條建議，並指定專用的域名來傳輸未加密的流量數據。

保護確認API

所有運行了Android P的設備中都將出現一個保護確認API，在這個API的幫助下，App可以使用ConfirmationPrompt類來向用戶顯示確認彈窗，並詢問他們是否允許相應操作，例如敏感交易和賬單支付等等。

確認之後，App將接收到一個加密簽名，這個簽名在受信執行環境（TEE）中生成，並由基於密鑰的哈希消息驗證碼（HMAC）保護。這種機制既保證了對話框的正確顯示，又保護了用戶的輸入數據，這也是安全性提升的一個方面。

硬體安全模塊

這個額外更新是每一位用戶都會從中受益的：安裝了Android P的設備將支持一個名叫StringBox Keymaster的功能，這個功能模塊擁有自己的CPU、安全存儲區域以及一個真實隨機數生成器，它還可以保護App的數據包不被篡改。

為了支持StringBox Keymaster，Android P使用了原本加密演算法的密鑰子集，例如：

RSA2048

AES128 and 256

ECDSAP-256

HMAC-SHA256

TripleDES 168

外圍設備後台策略

在Android P中，App將無法直接訪問設備的麥克風、攝像頭和感測器。當App嘗試在後台訪問這些組件時，用戶將收到通知消息。如果App嘗試在後台訪問組件數據，系統將返回空白的音頻數據，並斷開攝像頭連接，然後讓所有的感測器停止返回數據。

備份數據加密

從Android P開始，系統會開始使用一種基於客戶端的方法來對用戶的備份數據進行加密，這也就意味著整個加密過程都將在客戶端設備上完成。在此之前，這樣的加密過程是在伺服器端完成的。

由於新策略的引入，用戶在恢復備份文件的時候將需要輸入設備PIN碼、圖形解鎖碼或依靠生物特徵來完成。

總結

所有的這些改進都將意味著一件事情，那就是網路犯罪分子竊取用戶數據將會難上加難。這對於用戶來說，是一個好消息，因為他們不必再像以前一樣去過分擔心自己的隱私數據發生泄漏了。

* 參考來源：malwarebytes，FB小編Alpha_h4ck編譯，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！