Google heeft uitgebreide Binary Transparency voor Android aangekondigd als een manier om het ecosysteem te beschermen tegen supply chain-aanvallen.
“Dit nieuwe openbare grootboek zorgt ervoor dat de Google-apps op uw apparaat precies zijn wat we wilden bouwen en distribueren”, aldus de product- en beveiligingsteams van Google.
Het initiatief bouwt voort op de basis van Pixel Binary Transparency, die Google in oktober 2021 introduceerde om de software-integriteit te versterken door ervoor te zorgen dat Pixel-apparaten alleen geverifieerde besturingssysteemsoftware (OS) gebruiken door een openbaar, cryptografisch logboek bij te houden waarin metagegevens over officiële fabrieksafbeeldingen worden vastgelegd.
De verifieerbare beveiligingsinfrastructuur weerspiegelt Certificate Transparency, een open raamwerk dat vereist dat alle uitgegeven SSL/TLS-certificaten worden vastgelegd in openbare, alleen toe te voegen en cryptografisch verifieerbare logboeken om verkeerd uitgegeven of kwaadaardige certificaten te helpen detecteren.
Deze stap is gericht op het tegengaan van de risico’s die gepaard gaan met binaire supply chain-aanvallen, die verschillende manieren hebben gevonden om kwaadaardige code af te leveren door de software-updatekanalen te vergiftigen, terwijl hun digitale handtekeningen intact blijven. Het nieuwste voorbeeld is het compromis van Windows-installatieprogramma’s van de DAEMON Tools-software om een lichtgewicht achterdeur te bedienen, die vervolgens fungeert als kanaal voor een implantaat genaamd QUIC RAT.
Bovendien worden de installatieprogramma’s gedistribueerd vanaf de legitieme website van DAEMON Tools en ondertekend met digitale certificaten van de ontwikkelaars van DAEMON Tools.
“Het wordt onvoldoende om alleen op de handtekening van het binaire bestand te vertrouwen, omdat een handtekening niet kan garanderen dat dit specifieke binaire bestand bedoeld was om door de auteur aan het publiek te worden vrijgegeven”, aldus Google. “Digitale handtekeningen zijn een certificaat van oorsprong, maar binaire transparantie is een intentiecertificaat.”
Door Binary Transparency op Android uit te breiden, zegt het bedrijf dat het de bedoeling is om garanties te bieden dat de Google-software op het apparaat van een gebruiker precies is wat bedoeld was om te worden gebouwd en gedistribueerd. Daartoe zullen de productie-Android-applicaties van Google die na 1 mei 2026 zijn uitgebracht, een overeenkomstige cryptografische vermelding hebben die hun authenticiteit bevestigt.
Het initiatief omvat momenteel productie-Google-applicaties, waaronder zowel Google Play Services als zelfstandige Google-applicaties, evenals Mainline-modules die deel uitmaken van het besturingssysteem en dynamisch kunnen worden bijgewerkt buiten de normale releasecyclus.
“Dit biedt een transparante ‘Bron van Waarheid’ waarmee iedereen kan verifiëren dat de Google-software op zijn Android-apparaat een door Google geautoriseerde productieversie is en niet door een aanvaller is gewijzigd”, aldus Google. “Als de software niet in het grootboek staat, heeft Google deze niet als productiesoftware uitgebracht. Elke poging om een ’eenmalige’ versie in te zetten zal detecteerbaar zijn.”
Als onderdeel van deze inspanning stelt de technologiegigant ook verificatietools beschikbaar die gebruikers en onderzoekers kunnen gebruiken om de transparantiestatus van ondersteunde softwaretypen te verifiëren.
De ontwikkeling komt te midden van een reeks supply chain-aanvallen die zich de afgelopen maanden hebben gericht op ontwikkelaars en downstreamgebruikers van populaire software. Slechte actoren brengen steeds vaker de accounts van ontwikkelaars in gevaar en misbruiken die toegang om malware te pushen, waardoor ze meerdere gebruikers tegelijk kunnen binnendringen.
“Dit is een cruciale pijler voor de privacy en veiligheid van gebruikers, omdat het de fundamentele machtsdynamiek van software-updates verandert”, aldus Google. “Dit niveau van transparantie dient als een extra beschermingslaag voor de integriteit van onze software en fungeert als een krachtig afschrikmiddel tegen ongeoorloofde binaire releases.”
