Gadgetshowto
Pokud sledujete vývoj v systému Android, název „Verified Boot“ jste za posledních pár let docela dost slyšeli. Google představil funkci zabezpečení v systému Android 4.4 (Kitkat) důkladně neintruzivním způsobem a pomalu zvyšuje viditelnost v novějších verzích svého operačního systému Android.
V posledních několika dnech jsme viděli zprávy o přítomnosti „Přísně vynucené ověřené spuštění”V nejnovější iteraci Google o nejpoužívanějším mobilním OS na světě. Android Nougat použije při spuštění zařízení vyšší úroveň kontroly zabezpečení. Zatímco na Marshmallow Verified Boot dal uživateli pouze varování, v případě, že zjistí něco v nepořádku se systémovým oddílem, Android Nougat to posune o krok dále a použije to, co Google nazývá „Strictly Enforced Verified Boot“, což nepovolit vůbec spuštění zařízení, v případě, že zjistí anomálie v oddílu, změny provedené v zavaděči nebo přítomnost „škodlivého“ kódu v zařízení. To si klade otázku: „Co to přesně znamená pro uživatele?“, Ukazuje se, že odpověď se liší pro dvě hlavní kategorie uživatelů Androidu (příležitostní i pokročilí uživatelé) a my jim poskytneme odpověď pro oba.
Přísně vynucené ověřené spuštění
Nejprve malé pozadí na Verified Boot: Typicky, když Android spustí ověřovací test na oddílech, udělá to tak, že rozdělí oddíly na bloky 4KiB a zkontroluje je proti podepsané tabulce. Pokud vše proběhne, znamená to, že je systém zcela čistý. Pokud však dojde k narušení nebo poškození některých bloků, Android informuje uživatele o problémech a ponechá to na uživateli, aby to vyřešil (nebo ne).
Vše, co se chystá změnit s Androidem Nougat a Strictly Enforced Verified Boot. Když ověřené spuštění běží v vynuceném režimu, je nebude tolerovat žádné poruchy v oddílech. Pokud zjistí nějaké problémy, je neumožní spuštění zařízení, a mohl umožnit uživateli bootovat do prostředí bezpečného režimu, pokusit se opravit problémy. Strictly Enforced Verified Boot však není jen kontrolou proti špatným datovým blokům. Obvykle také dokáže opravit chyby v datových blocích. To je možné díky přítomnosti kódů pro opravu chyb vpřed, které lze použít k opravě chyb v datových blocích. To však nemůže vždy fungovat a v případech, kdy tomu tak není, jste ve vodě docela mrtví.
Přísně vynucené ověřené spuštění: Dobrý, špatný a ošklivý
1. Dobrý
Vynucení ověřeného spuštění na zařízeních Android bude zvýšit bezpečnost na zařízeních. V případě infikování zařízení malwarem jej Strictly Enforced Verified Boot detekuje při příštím spuštění zařízení a buď ho opraví, nebo vás docela vyzve, abyste s tím něco udělali.
Tato funkce bude také zkontrolujte poškození dat, a ve většině případů bude schopen opravit všechny chyby zavedené v datech díky kódům FEC. Google používá kódy FEC, které mohou opravit jednu neznámou bitovou chybu za 255 bitů. Jistě, vypadá to jako docela malé číslo, ale řekněme to v perspektivě, pokud jde o mobilní zařízení:
Poznámka: Níže uvedené hodnoty jsou převzaty z blogového příspěvku Google Engineer Sami Tolvanen na Android Developers.
Google mohl použít kódy FEC RS (255 223): tyto kódy by byly schopné opravit 16 neznámých bitových chyb za 255 bitů, ale prostor nad hlavou kvůli 32 bitům nadbytečných dat by byl téměř 15%, a to je hodně, zejména na mobilních zařízeních. Přidejte to k tomu, že Android je převládajícím operačním systémem na levných smartphonech, které se dodávají se 4 až 8 GB paměti a 15% prostoru navíc se zdá být hodně.
Obětováním možností opravy chyb ve prospěch úspory místa se Google rozhodl použít kódy FEC RS (255 253). Tyto kódy mohou opravit pouze jednu neznámou chybu za 255 bitů, ale režie prostoru je pouze 0,8%.
Poznámka: RS (255, N) je reprezentace kódů Reed-Solomon, které jsou typem kódů pro opravu chyb.
2. Špatný
Už jste někdy slyšeli o tom, že „existují dvě strany mince“? Samozřejmě, že máte. Zatímco záměry společnosti Google s přísně vynuceným ověřeným spuštěním byly bezpochyby čisté jako dětský jednorožec, přicházejí s vlastními problémy.
When Strictly Enforced Verified Boot kontroluje malware, také kontroluje nelegální úpravy k jádru, bootloaderu a dalším věcem, s nimiž vás nebudu nudit, ale to znamená, že Android Nougat pravděpodobně narazí na spoustu problémů s rootováním a blikáním vlastních ROM, protože Verified Boot nedokáže rozlišit mezi nechtěným malwarovým kódem, a kód, který odemkl bootloader. Což znamená, že pokud bylo vaše zařízení dodáno se zamčeným zavaděčem a váš OEM neumožňuje odemknutí zavaděče, nemůžete to udělat. Doufejme, že někdo pro to přijde na vykořisťování.
Naštěstí většina lidí, kteří rootují svá zařízení a flashují vlastní ROM pro přidané funkce a funkce, používají telefony vhodné pro vývojáře, jako je Nexus. Co se týče tohoto tématu, je třeba toho hodně zvážit a rozhodně to není konec vlastních ROM, alespoň ne na zařízeních, která jsou dodávána s odemčeným bootloaderem nebo umožňují odemknutí bootloaderu. Zařízení jako telefony Samsung však oficiálně neumožňují odemknutí bootloaderu a na těchto zařízeních bude odemknutí bootloaderu s největší pravděpodobností považováno za „problém“ od Verified Boot, což znemožňuje bootování zařízení.
Dalším problémem, který se objeví při přísně vynuceném ověřeném spuštění, je problém, který se dotkne i uživatelů, kteří se opravdu nestarají o získání oprávnění root nebo o instalaci vlastních ROM. Postupem času, jak používáte zařízení, bude v paměti přirozeně dojít k poškození dat; ne kvůli přítomnosti malwaru, ale jednoduše proto, že se to stane. To obvykle není problém, nebo přinejmenším ne tak závažný problém, jak jej Verified Boot promění. Pokud máte poškozená data, která přísně vynucené ověřené spuštění nedokáže opravit při spuštění, nedovolí zařízení spustit se. Podle mého názoru je to větší a viditelnější problém než některá poškozená data v uživatelském oddílu.
3. Ošklivý
Ve všech výhodách vynucení ověřeného spuštění a všech potenciálních problémech je nejznepokojivější pravděpodobně skutečnost, že výrobci OEM by to mohli začít zneužívat k uzamčení svých zařízení, aby lidé nemohli používat Android k tomu, k čemu to mělo být být: otevřený, přátelský k vývojářům a zcela přizpůsobitelný. Přísně vynucené ověřené spuštění dá do rukou OEM, což zajistí, že lidé nebudou moci odemknout bootloadery na svých zařízeních, což jim znemožňuje instalaci vlastních ROM a nástrojů pro vylepšení funkcí, jako jsou Xposed Modules..
VIZ TÉŽ: Žádná vlastní ROM ROM Android N není k dispozici? Máme pro vás řešení
Android Nougat: Radikální změna ve způsobu, jakým Android funguje?
I když jsme si jisti, že záměrem společnosti Google bylo jednoduše vyhnout se potenciálním problémům pro příležitostné uživatele Androidu, kteří by nevěděli, co dělat v případě, že jejich zařízení bylo ovlivněno malwarem, nebo pokud jejich paměť poškodila datové bloky, mohla předat OEM a výrobce je dokonalým nástrojem, který zamkne uživatele, aby žili s tím, co jim bylo nabídnuto, a nic víc.
Samozřejmě někdo přijde na zneužití nebo řešení této situace a my doufáme, že to udělá, ve skutečném duchu Androidu. Dokud však někdo nevyřeší řešení, vše, co jako uživatelé dokážeme, je zajistit, abychom kupovali naše zařízení od výrobců, kteří jsou přátelští k vývojářům.
Doporučený obrázek se svolením: Flickr
