Root Store: Android bekommt leicht aktualisierbare Root-Zertifikate
Seit Jahrzehnten könnten Betriebssystemanbieter leicht per Update die Root-Zertifikate aktualisieren. Google ermöglicht das nun für Android.
Die kommende Version 14 von Googles Mobilbetriebssystem Android erhält einen einfachen Update-Pfad für den sogenannten Root-Store für Zertifizierungsstellen (Certification Authority, CA). Das geht aus entsprechenden Code-Beiträgen hervor, über die Esper.io berichtet. Der neuen Android-Root-Store wird demnach in dem neuen Paketformat Apex (Android Pony Express) umgesetzt. Derartige Pakete kann Google über den Play Store selbst aktualisieren, bisher musste das Update über die OEM-Hersteller als Teil eines Image ausgeliefert werden.
Alle großen Betriebssystemanbieter verfügen über ein eigenes Programm, um Root-Zertifikate als vertrauenswürdig einzustufen. Die Linux-Distributionen setzen hier meist auf den Root-Store, den Mozilla für seinen Firefox-Browser pflegt. Diese sind leicht aktualisierbar, was von den Verantwortlichen auch regelmäßig umgesetzt wird. Im Fall von Android ist dies so aber bisher eben nicht ohne Weiteres möglich gewesen, was Probleme verursachen kann.
Probleme mit veraltetem Root-Store
Bereits vor rund zwei Jahren kritisierte die kostenlose Zertifizierungsstelle Let's Encrypt, dass vor allem alte Android-Versionen gar keine Updates mehr erhalten und auch viele Hardware-Hersteller kaum Versionsupdates für ihre Geräte anbieten. Für Let's Encrypt hätte das zur Folge gehabt, dass durch einen Zertifikatswechsel einige Webseiten nicht mehr richtig funktionierten, was das Team letztlich aber noch abwenden konnte.
Der Grund dafür, dass es überhaupt zu der Warnung durch Let's Encrypt kam, war, dass der Browser Chrome anders als der Firefox-Browser eben über keinen eigenen Root-Store verfügte, sondern den des Betriebssystemanbieters nutze. Mit Chrome 105 hat das Team dies zwar inzwischen geändert. Probleme mit Webseiten im Browser sollten also nicht mehr auftreten und auch auf Sicherheitsrisiken wie erst kürzlich bei der CA Trustcor kann schnell reagiert werden.
Der Root Store in Android selbst wird nun also nicht mehr zwingend für Webseiten verwendet, aber möglicherweise für HTTPS-Verbindungen, die Apps aufbauen. Unverschlüsselte Verbindungen müssen seit Android 9 explizit deklariert werden, es ist also wahrscheinlich, dass die Verbindungen verschlüsselt sind. Darüber hinaus können App-Entwickler zwar eigene vertrauenswürdige CAs für ihre Apps festlegen, andernfalls wird aber der Root Store des Systems genutzt.
Und wird dieser nicht mehr durch die OEMs gepflegt, ist auch das Entfernen einer CA mit Verbindungen zu einer Spyware-Firma wie bei Trustcor eben nicht mehr möglich. Die Verwendung des Apex-Formats und die Möglichkeit zum Update durch Google verhindert das und erlaubt eben einfache Updates.