Local blog for Spanish speaking developers in LATAM
Manteniendo seguro a Android: Mejoras de seguridad en Nougat
lunes, 14 de noviembre de 2016
Publicado por Xiaowen Xin, Equipo de seguridad de Android
Durante el transcurso del verano, hemos mostrado una variedad de mejoras de seguridad en Android 7.0 Nougat: nos concentramos en la seguridad con nuestro
programa de recompensas por vulnerabilidad
, un nuevo modo llamado
Direct Boot
, un mediaserver rediseñado y una
pila de medios reforzada
, aplicaciones que están protegidas de
regresiones accidentales hasta tráfico cleartext
, una actualización para la forma en que Android maneja las
autoridades de certificados de confianza
, cumplimiento estricto de
verified boot
con corrección de errores, y
actualizaciones del kernel de Linux, para reducir la superficie de ataque e incrementar la protección de la memoria
. ¡Uf!
Ahora que Nougat ya se está distribuyendo, queríamos hacer resumir estas actualizaciones en una sola reseña y resaltar algunas mejoras nuevas.
Direct Boot y encriptación
En las versiones anteriores de Android, los usuarios que tenían dispositivos encriptados tenían que ingresar su PIN/patrón/contraseña de forma predeterminada durante el proceso de inicio para poder desencriptar su área de almacenamiento y finalizar el proceso de inicio. En Android 7.0 Nougat hemos actualizado el esquema de encriptación subyacente y simplificado el proceso de inicio para que puedas reiniciar tu teléfono más rápidamente. Ahora, las funciones principales de tu teléfono, como la aplicación de teléfono y la alarma del reloj, se encuentran listas mucho antes que ingreses tu PIN, esto significa que tus contactos podrán llamarte y la alarma se activará para despertarte. A esta función le dimos el nombre de
Direct Boot
.
Debajo de la superficie se encuentra la encriptación basada en archivos, que es la encargada de esta mejora en la experiencia del usuario. Con este nuevo esquema de encriptación, el área de almacenamiento del sistema y cada área de almacenamiento del perfil del usuario se encuentran encriptadas en forma separada. A diferencia de la encriptación total del disco, mediante la cual se encriptaban todos los datos como una unidad individual, la encriptación por perfiles le permite al sistema reiniciarse normalmente a un estado funcional, solamente utilizando los botones del dispositivo. Las aplicaciones esenciales pueden optar por ejecutarse en un estado limitado luego del reinicio, y cuando ingreses tu credencial en la pantalla de bloqueo, las mismas acceden a tus datos de usuario para brindarte una funcionalidad completa.
La encriptación por archivos aísla y protege mejor a usuarios individuales y perfiles en un dispositivo, mediante la encriptación de datos a un nivel de granularidad más fino. Cada perfil es encriptado utilizando una clave única que solo puede ser desbloqueada con tu PIN o contraseña, para que solo tú puedas desencriptar tus datos.
El soporte de encriptación también se fortalece día a día en todo el ecosistema Android. Comenzando por Marshmallow, se requirió que todos los dispositivos capaces de hacerlo soportaran la encriptación. Muchos dispositivos como el Nexus 5X y 6P también usan claves únicas que solo son accesibles con hardware de confianza, como el ARM TrustZone. Ahora con Nougat 7.0, todos los nuevos dispositivos Android que soporten la encriptación también deben contar con este tipo de hardware para poder almacenar claves y ofrecer protección contra métodos de fuerza bruta, mientras verifica tu credencial de la pantalla de bloqueo, antes de que se puedan utilizar estas claves. De esta manera, todos tus datos solo pueden desencriptarse en ese dispositivo en particular, y solamente tú podrás hacerlo.
Reforzamiento de la pila de medios y la plataforma
En Android Nougat, hemos reforzado y
rediseñado
a mediaserver, uno de los principales servicios del sistema que se encarga de procesar las entradas no confiables. En primer lugar, mediante la incorporación de saneamiento para el desbordamiento de enteros (en inglés, Integer Overflow) (y que forma parte del
UndefinedBehaviorSanitizer
de Clang) prevenimos una clase entera de vulnerabilidades compuestas por la mayoría de los bugs reportados de libstagefright. Tan pronto como se detecta un desbordamiento de enteros, apagamos el proceso para detener el ataque. En segundo lugar, hemos modularizado la pila de medios para colocar componentes diferentes en entornos sandbox individuales, y también reforzamos los privilegios de cada sandbox para que tengan la cantidad mínima de privilegios para realizar su trabajo. Con esta técnica de contención, una amenaza en varias partes de la pila le concede al atacante acceso a muchos menos permisos, y reduce significativamente la superficie de ataque del kernel expuesto.
Además de reforzar a mediaserver, agregamos una larga lista de protecciones para la plataforma, y que incluye:
Verified Boot
: Ahora Verified Boot se ejecuta estrictamente para prevenir que los dispositivos afectados puedan iniciarse; soporta
corrección de errores
para mejorar la confiabilidad frente a la corrupción "no maliciosa" de datos.
SELinux
: La configuración actualizada de SELinux y el aumento de la cobertura de Seccomp aumenta el hermetismo del sandbox de la aplicación y reduce la superficie de ataque.
Selección aleatoria del orden de carga de bibliotecas y ASLR mejorado
: Un aumento de aleatoriedad provoca que algunos ataques basados en reutilización de código sean menos efectivos.
Reforzamiento del kernel
: Se añadió una protección de memoria adicional para los kernel más nuevos, el proceso consiste en:
marcar porciones de la memoria del kernel como de "solo lectura"
,
restringir el acceso del kernel a direcciones del espacio de usuario
y reducir aun más la superficie de ataque existente.
Esquema de firma de APK v2
: Introdujo un esquema de firma de archivos que mejora la
velocidad de verificación
y fortalece las garantías de integridad.
Mejoras en la seguridad de las aplicaciones
Android Nougat es la versión de Android más segura y fácil de usar para los programadores.
Las aplicaciones que quieran compartir datos con otras aplicaciones ahora deben optar explícitamente ofreciendo sus archivos a través de un
proveedor de contenidos
como
FileProvider
. El directorio privado de la aplicación (por lo general, /data/data/
) ahora tiene una configuración de permiso de Linux 0700, para las aplicaciones que utilicen una API de nivel +24.
Para que las aplicaciones pueden controlar más fácilmente el acceso a su tráfico de red seguro,
de forma predeterminada, ya no se consideran confiables
a las autoridades de certificados instaladas por el usuario y aquellas instaladas a través de las API para administración del dispositivo para las aplicaciones que utilicen una API de nivel +24. Además, es necesario que todos los nuevos dispositivos Android cuenten con la
misma y confiable CA store
.
Con la
configuración de seguridad para redes
, los programadores pueden configurar más fácilmente la política de seguridad a través de un archivo de configuración declarativo. Incluye el bloqueo de tráfico cleartext, configurar el conjunto de los CA y certificados y la preparación de una configuración de depuración por separado.
También continuamos refinando los permisos de las aplicaciones y las capacidades para protegerte de aplicaciones potencialmente dañinas.
Restringimos y eliminamos aun más el acceso a identificadores de dispositivo persistentes (como las direcciones MAC) para mejorar la privacidad de los dispositivos.
Las superposiciones en la interfaz de usuario ya no se pueden mostrar sobre los diálogos de permisos. Esta técnica de "captura de clic" era utilizada por algunas aplicaciones para obtener permisos de forma indebida.
Redujimos el poder que tenían las aplicaciones de administración del dispositivo, para que ya no puedan cambiar tu pantalla de bloqueo (si habías configurado una) y el administrador del dispositivo ya no será notificado de una inminente deshabilitación a través de
onDisableRequested()
. Estas eran tácticas utilizadas por algunos ransomware para conseguir el control de un dispositivo.
Actualizaciones del sistema
Por último, realizamos mejoras significativas al sistema de actualizaciones OTA, para mantener tu dispositivo actualizado de forma más simple con el software del sistema más reciente y los parches de seguridad. Aceleramos los tiempos de instalación de las OTA y redujimos su tamaño para las actualizaciones de seguridad. Ya no tendrás que esperar a que finalice la fase de optimización de las aplicaciones, que era una de las partes más lentas del proceso de actualización, y todo esto gracias a que el nuevo compilador JIT ha sido
optimizado
para acelerar al máximo las instalaciones y actualizaciones.
La experiencia de actualización es aun más rápida en los nuevos dispositivos Android que cuenten con el firmware más actual para Nougat. Al igual que sucede con las Chromebook, las actualizaciones son aplicadas en segundo plano, mientras el dispositivo sigue funcionando normalmente. Estas actualizaciones se aplican en una partición del sistema diferente, y cuando reinicies, se cambiará automáticamente a esa nueva partición que ejecuta la versión más reciente del software del sistema.
Siempre estamos trabajando para mejorar la seguridad en Android, y Android Nougat ofrece mejoras de seguridad significativas en todos los frentes. Como siempre, apreciamos los comentarios sobre nuestro trabajo y recibimos con gusto sugerencias para mejorar Android. Escríbenos a
security@android.com
.
Labels
.app
.dev
.txt
#AMP
#CPU
#DeveloperStudentClubs
#DevFest
#DragonBall
#DSC
#Forsety
#ForsetySecurity
#freeandopen
#GCP
#Google
#GoogleCloud
#GoogleCloudPlatform
#GoogleLaunchpad
#iio2009
#Kubernetes
#MaterialDesign
#OneCommunity
#Security
#TensorFlow
#UPGlobal
#UpLatam
#WithGoogle
+page
10 YEARS
2013
2019
64 bits
A/B Testing
AA
Accelerator
Action on Goolge
actionbar
Actions
Actions Console
AdMob
Ads
adwords
adwords api
AI
AIY
ajax
alarmmanager
ALFA
almacenamiento
alojamiento de proyectos en google code
AMP
AMP Conf
AMP Project
amp-date-picker
amphtml
Analytics
Andorid
android
Android (operating System)
Android 3.1
android 3.3
android 4.2
android 9
Android 9 Pie
Android App Bundle
android design
Android Dev Summit
Android Developers
android Jetpack
Android P
Android SDK
Android Studio
Android Things
Android Wear
AndroidDevStory
androititlan
angelina jolie
Annotation
Announcements
anuncios
API
API Analytics YouTube
Apigee
APIs
Aplicaciones
aplicaciones chrome
app
app engine
App Indexing
app invites
App Server
applications
AppQuality
apps
Apps Script
AR
ARCore
arte
ATLAS
AWP
backend
Base64
batch
Bava
Betatesting
Better Ads Standars
bigdata
BigQuery
Biometrics
blink
bootcamp
BOT
BQ
Business
búsqueda ajax
by Google
byCases
byCommunity
byDevelopers
byGoogle
C++
CALENDAR
Cardboard
case
caso de éxito
Casos de éxito
casos destacados
CCOSS
Century Fox
chat
chrome
chrome web store
chromebook
chromecast
chromium
Cinéfilos
cloud
Cloud Anchors
CLOUD endpoints
Cloud Firestore
Cloud Functions
Cloud IoT Core
Cloud Next
Cloud Scheduler
Cloud services
cloud test lab
Cloud Text-to-Speech
Cloud Translation
CMD en vivo
coconut
code
code-in
code.org
CodeLabs
código
código abierto
Colab
colombia
Communities
Comunidades
concurso google
conference
contenedores
convocatoria
Coordinate
crashlytics
CRE
crear aplicaciones ajax
creatividad
Crowdsource
CSS
cws
daniela robles
dart
dart sdk
dartium
dartlang
Dataset
DCL
denis labelle
desarrolladores
Desarrolladores Google
desarrolladores LatAm
Desarrollar
Design
Design Sprint
Destacados
dev
Dev.f
DevArt
DevBus
DevBusLatAm
Developer Bus
Developer Summit
DeveloperConsole
developers
DevFest
devoxx
dialogflow
diseño UX
Distribuir
DNS
DOM
domain
DonkeyCar
doubleclick
Drive SDK
Drivers
ecommerce
ecosistema
elections
elizalde
Emoticons
emprendedores
empresas
engagement
english
Enhanced Campaigns
enterprise
eventos
Events
evolución de aplicaciones
Excel
ExpertosDicen
Faas
Family
FanBridge
FCM
FCP
Featured
fido
find people
Fintech
firebase
Firebase Cloud Messaging
firebase summit
flu trends
Flutter
Flutter 1.0
flutter 1.7
flutter developers
Flutter Live
FlutterLive
FoundersLab
Freebase
Fuction
Fuctions
Full-Stack
functional programming
G Suite Dev Show
G+
g+ goto gal
G+GotoGal
GAE
game
games
GCloud
gcm
GCP
GCS
GDA
GDE
GDG
GDH
GDL
GDLevent
GDS
Get Inspired
get.app
GitHub
GLP
gmail
golang
GOMO
Google
Google Accelerator
Google AdMob SDK
Google AdWords
Google Analytics
Google APIS
Google App Engine
Google Apps
Google Apps Script
Google Art Project
Google Assistant
google calendar
google cast
Google Charts
Google Chrome
Google Cloud
Google Cloud Console
Google Cloud Messaging
Google Cloud Next
Google Cloud Platform
Google Cloud Platform Newsletter
google cloud platforn
Google Cloud Storage
google code-in
Google Compute Engine
Google Dataset
Google Developer Groups
google developers
Google Developers Academy
google developers expert
Google Developers Hackademy
google dns
Google Drawings
Google Drive
Google Earth
Google for games
Google Forms
google geo
Google Home
google i/o
google i/o extended
google io
Google Keep
Google Kubernetes Engine
Google Launchapad
Google Launchpad
Google Maps
google maps coordinate
Google Maps Platform
Google Mexico
Google Nose
google now
Google Person Finder
google places api
Google Play
Google Play Books
Google Play Developer API
google play games
Google Play Movies
Google Play Protect
Google Play Services
Google Plus
Google Science Fair
google search
Google Sheets
google sign in
Google Top Geek
Google+
Google+ Communities
Google+ Hangouts
google+ sign-in
GoogleAPI
googlecloud storage
GoogleCloudPlatform
googledevs
GooglePlay
Googleplex
Goolge Lunchpad
GTG
Hackademy
hackers
Haiko
Haití
hangouts
Hangouts Remote Desktop
hardcode
Heello
honeycomb
HTML
HTML5
HTTPS
I/O
IA
IAM
IETF
IFAI
in app purchases
in-app
ingles
Ingress
instagram
integración de soluciones
interactive post
Interesante
International
International Women’s Day
IO
io15
io18
io19
iOS
IoT
istio
IU
IVR
J2EE
java
JavaScript
jelly bean
JS
JSON
Juegos
juegos html5
Kit ML
Knative
kotlin
kUBERNATES
Kubernetes
LATAM
latamRegionSur
Launchpad
Launchpad Studio
Lenovo Mirage Solo
lightbox
linux
lucero galindo
machine learning
Made with Code
Mapdata
Mapeo
maps
Maps Ad Unit
Maps API
Maps Engine
Market
Marketing
Marshmallow
MATERIAL DESIG
Material Design
mejores apps 2013
México
michelle marie
MIT
MIT Global Start-up Labs
MIT-AITI
ML
ML Kit
mobile
monetizar
mongoDB
MOOC
Motorola
Mountain View
móvil
MQTT
mr.white
mTLS
natalie villalobos
Navigation
NBA JAM
NES
Next Big Sound
Next Level
nfc
Niantic
Nik
NINTENDO
node.js
NoSQL
nube
OAuth2
Objective-C
OClock
open source
OPenApi
OS
OSS
Paas
PageSpeed
PagesSpeed
parallel18
patrones
patters
performance
permisos
Pipeline API
Pixability
pixel
Píxel
play
Play Console
Playtime
Podcast
pollito pio
Polymer
por lote
Posse
Prediction API
primer
Producto
programación
Propositos
Protocol Buffers
proyecto 20%
Push API
PYMES
python
Q
Q4
quickoffice
Rasberry Pi Zero WH
Raspberry Pi
Realtime
Reflectly
register
Release
Resources
robots.txt
Safe
SDK
Search
Security
seedbank
seguridad
SEO
servidores
Showyou
sign-in
SNES
SO
social media
Spain
SpLATAM
SQL
SQLite
Start
startup grind
Startup Launch
startup weekend
startup weekend for the planet
startupbus
startups
StayAtHome
story
Street View
subtitles
success
sw
SyScan
tablet
Tablet Optimization Tips
tabletas
takeaction
Tango
tendencias 2013
TensorFlow Developer Summit
testing
TextView
TF JAM
The Garage
The Venture City
tips G+
tips gmail
TLD
TLS
Top Experts
Top Geek
top level domain
TopExpert
topics
traducciones
Transparency Report
triggers
Tubular Labs
twilio
Tyka
TypeScript
UAC
udacity
ui
Umbrales
UNAM
unity
Unity3D
universal search
UX
Vector
VectorDrawable
video juegos
vidIQ
ViewPager
Visual Progress
Voicekit
VPC
VR
VSCode
web
Web hosting
Web móvil
WebAssembly
with google
Wizdeo
WizTracker
Women at Google
Women Techmakers
workmanager
WTM
XKCD
XML
Yifat Cohen
youtube
YouTube Analytics API
YouTube API
YouTube Data API
YouTube One Channel
YouTube Player API
Archive
2024
sept
2023
nov
oct
sept
ago
jun
may
abr
mar
ene
2022
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2021
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
2020
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2019
dic
nov
oct
sept
ago
jun
may
abr
mar
feb
ene
2018
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
2017
nov
sept
ago
jul
jun
may
abr
ene
2016
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2015
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2014
dic
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2013
dic
nov
oct
ago
jul
jun
may
abr
mar
feb
ene
2012
dic
nov
oct
sept
ago
jul
2011
nov
oct
may
mar
2010
dic
nov
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2009
dic
nov
sept
ago
jul
jun
may
abr
mar
feb
ene
2008
oct
sept
ago
jul
jun
may
abr
mar
feb
ene
2007
dic
Feed
Desarrolladores
Eventos y Comunidad
Casos Destacados
Dicen los Expertos
Google Accelerator