Android 14 : même le root bloque désormais toute modification des certificats système ?

• La prochaine version d’Android 14 bloquera toute modification des certificats système, même pour les utilisateurs disposant des droits root.
• Ce changement s’éloigne fortement de la promesse initiale d’Android en tant que « plateforme ouverte », qui permettait aux développeurs un accès complet aux capacités et aux outils du terminal.
• Les restrictions autour des certificats d’autorité de certification (CA) seront encore renforcées, au point qu’il deviendra impossible de modifier l’ensemble des certificats de confiance, même sur un appareil totalement rooté.
• Ce changement posera de nouveaux défis aux développeurs Android, aux testeurs, aux spécialistes du reverse engineering et à tous ceux qui veulent contrôler qui leur appareil considère comme digne de confiance.
• La transition vers un univers plus verrouillé et contrôlé par les constructeurs a commencé avec Android 7 (Nougat), qui a séparé les autorités de certification (CA) de l’appareil en deux listes : une liste fixe fournie par l’éditeur de l’OS et une liste modifiable par l’utilisateur.
• La possibilité de modifier l’ensemble des certificats de confiance est importante pour la recherche en confidentialité et en sécurité, le reverse engineering, le débogage et les tests d’applications, ainsi que pour diverses configurations de réseaux internes d’entreprise.
• Malgré ces contraintes, il restait possible de rooter un appareil Android et de contourner ces restrictions, mais cette méthode de contournement ne fonctionnera plus avec Android 14.
• La nouvelle fonctionnalité de sécurité d’Android 14, les certificats CA pouvant être mis à jour à distance, permet des mises à jour plus rapides des CA et permet à Google de révoquer la confiance accordée à des CA problématiques ou défaillantes sur tous les appareils Android 14+, sans attendre que chaque constructeur publie une mise à jour OTA.
• Malgré l’objectif positif de cette fonctionnalité, son implémentation a de lourdes conséquences : les certificats CA système ne seront plus chargés depuis /system, et toutes les modifications effectuées via un accès root seront ignorées par l’ensemble des applications de l’appareil.
• Ce changement signifie aussi que de futurs composants système déplacés dans le périmètre des modules Android Pony EXpress (APEX) échapperont eux aussi au contrôle de l’utilisateur, ce qui pourrait poser problème aux forks d’Android comme GrapheneOS et LineageOS, ainsi qu’aux outils avancés de configuration d’appareil comme Magisk.
• Pour l’instant, celles et ceux qui souhaitent configurer leurs propres certificats CA système pour le débogage, le reverse engineering, les tests ou la recherche devraient éviter de passer à Android 14, ou utiliser une version d’OS personnalisée qui ne gère pas les certificats CA via des modules APEX.

[GN⁺]

Commentaires sur Hacker News

• Article sur les impacts potentiels du blocage de toute modification des certificats système par Android 14
• Un développeur Android expérimenté affirme que le titre est trompeur et soutient que l’accès root permet toujours des modifications étendues sur Android, y compris l’édition du code Java
• Le développeur suggère que l’impossibilité de modifier les certificats système n’est peut-être pas un problème généralisé, mais un problème propre à l’auteur de l’article
• Le développeur critique Android, qu’il juge de plus en plus hostile aux utilisateurs, en particulier aux power users, et espère que cela poussera davantage de personnes à utiliser des ROM personnalisées
• Un autre commentateur se dit reconnaissant que les PC ne fonctionnent pas comme les smartphones, critiquant Android comme offrant moins de contrôle à l’utilisateur et étant moins stable que Windows
• Un utilisateur du Pinephone Pro évoque les difficultés liées à l’utilisation de navigateurs et de systèmes d’exploitation mobiles non standard, en soulignant les défis pour échapper au duopole des OS mobiles propriétaires
• Un utilisateur souligne qu’Android a été plus restrictif qu’Apple pour l’installation et la confiance accordée à une nouvelle autorité de certification racine, Android 7+ ignorant par défaut les CA ajoutées par l’utilisateur
• Un autre utilisateur suggère que l’impossibilité de modifier les CA racine pourrait être un sous-produit du namespacing/de la conteneurisation chez Google, et non un effort délibéré pour empêcher les modifications
• Un commentateur partage une méthode consistant à définir des propriétés système pour contourner la lecture depuis le répertoire de certificats APEX, suggérant que le problème n’est peut-être pas aussi grave qu’on le pensait au départ
• Des inquiétudes sont exprimées quant à la viabilité à long terme des certificats codés en dur dans des versions abandonnées d’Android, ce qui remet en question la pérennité de cette approche
• Un utilisateur critique le retrait de fonctionnalités à chaque nouvelle version d’Android et suggère qu’iOS pourrait finir par dépasser Android en matière d’expérience utilisateur
• Un utilisateur qui dépend d’une PKI personnelle pour des logiciels auto-hébergés exprime la nécessité d’ajouter son propre certificat racine à la liste des autorités de confiance, en soulignant l’importance pour les utilisateurs de contrôler leurs propres appareils
• Un utilisateur partage son expérience d’extraction d’API cachées dans une application de recharge de véhicules électriques avec HTTP Toolkit et Frida, mettant en avant l’utilité potentielle de ces outils pour les développeurs