Android安全升级的7.0： Nougat

Tamic

http://www.jianshu.com/users/3bbb1ddf4fd5/latest_articles

今年夏天以来，Google做了多种增强的安全性在Android的7.0Nougat：更加注重安全性与他们提出的漏洞奖励计划

，一个开机新的直接引导模式，重新架构的MediaServer和硬化介质叠，被保护的应用程序意外的回归为明文传输，更新了Android处理方法可信证书颁发机构，严格执行开机验证启动纠错和更新Linux内核，以减少攻击面，增加内存保护。

现在，Android7.0已经开始推出，并希望在一个个单一的回顾下这些更新，并增强了一些新的改进。

直接引导和加密

在Android的早期版本中，用户的加密设备将在默认情况下在引导过程中输入自己的PIN /模式/密码，解密他们的存储区域，完成引导。

Android 7.0牛轧糖，更新了底层加密方案，并简化了手机启动过程，以加快重新启动用户的手机。

现在，手机的普通功能，假设喜欢这款手机的某个应用程序，在你设置闹钟之前你必须甚至输入PIN码，所以只有自己设置的闹钟可以唤醒你。

我们把这种功能直接引导引擎下，基于文件的加密后使得用户有更好的体验。

用这种新的加密方案，在系统的存储区域，以及每个用户配置文件的存储区域，都分别进行了加密。

不像以前全局加密，其中所有的数据都被加密为一个单元数据，每个信息为基础的加密使系统正常重新引导到仅使用设备密钥的功能状态。

基本的应用程序可以选择加入重启后在有限的状态下运行，当你输入你的锁屏界面的凭证（密码指纹人脸等），这些应用程序得到访问用户数据，以提供完整的功能。

基于文件的加密得到了更好地分离，并通过在更细的粒度对数据进行加密，用来保护设备上个人用户信息和配置文件。每个配置文件使用一个唯一的密钥，只能通过PIN或密码解锁，让您的数据只能由你来解密加密。

加密支持越来越整个Android生态系统更强大，并且与棉花糖开始，要求所有的设备，以便支持加密。许多设备，如Nexus 5X和6P还采用独特的键是只与可信硬件访问，如ARM的TrustZone。

现在用7.0牛轧糖，所有新的Android设备也必须有这样的硬件支持的密钥存储和验证您的锁屏界面的凭证，提供强有力的保障。这样一来，所有的数据只可以在精确的设备上解密，并只能由你解锁。

媒体协议栈和平台硬化

在Android的7.0，Google都做了加固，重新设计了的MediaServer，Ta是处理不受信任的输入主系统服务之一。

首先，通过引入整数溢来出消除全局漏洞的一分UndefinedBehaviorSanitizer，为了防止一整个类漏洞，其中包括大多数报道libstagefright错误的。一旦检测到整数溢出，就会关闭收到的攻击这个进程。

其次，模块化媒体堆栈将不同组件集成到单个沙箱和收紧每个沙箱的权限，并包括执行其工作所需的最低权限。有了这个技术限制，在栈上许多地方的限制了用的较少的权限和明显减少暴露的内核攻击面的访问权限。

除了硬化媒体服务器，谷歌添加了保护的机制，包括以下方面：

验证启动：开机验证现在是严格执行，以防止设备受损的引导;

它支持纠错，提高对非恶意数据破坏的可靠性。
SELinux的：更新的SELinux配置，提高覆盖面的Seccomp进一步锁定了应用程序沙箱，并减少攻击面。
库加载顺序随机化和提高ASLR：增加随机性使得一些代码重用的攻击不可靠。
内核硬化：通过增加了新的内核额外的内存保护
标志的内核内存部分为只读，限制访问内核到用户空间的地址，并进一步降低现有的攻击面。
APK签名2.0方案：引入了一个提高整个文件签名验证速度，并加强诚信保证。

应用程序安全性改进

Android的7.0是Android的最安全和最简单的版本，应用程序开发者使用。

- 那现在要与其他应用程序数据的应用程序必须明确禁止在通过一个提供其文件[内容提供商(https://developer.android.com/guide/topics/providers/content-providers.html?utm_campaign=android_discussion_security_090616&utm_source=anddev&utm_medium=blog)

，像FileProvider。该应用程序私有目录（通常是/数据/数据/）现在设置为应用定位API等级24+的Linux许可0700。

- 为了更方便的应用程序来控制访问他们的安全网络流量，用户安装的证书颁发机构，并通过设备管理API的安装的那些被默认不再信任为应用定位API级别24+。

此外，所有新的Android设备必须与船同信任的CA存储。

随着网络安全配置，开发人员可以更轻松地通过声明配置文件来配置网络安全策略。这包括阻止明文交通，配置集信任的CA和证书，并建立一个独立的调试配置。

我们还继续完善的应用权限和能力来保护您免受潜在恶意应用。
为了提高设备的隐私，Android7.0已经进一步限制和删除访问持久性设备标识符，例如MAC地址。
用户界面覆盖可以不再权限对话框的顶部显示。使用某些应用程序这种“点击劫持”技术，以试图获得不当权限。
谷歌已经降低了设备管理应用程序的能力，使他们再也不能改变你的锁屏，如果你有一个锁屏设置和设备管理将不再被通知即将通过禁用onDisableRequested（）。

这些都是被一些强制来获得设备的控制策略。

系统更新

最后，谷歌已经取得了明显增强了OTA更新系统使用最新的系统软件和安全补丁，以便将最新的更新很容易的更新到我们的设备上。

7.0缩短了的安装时间，在线上网社交更快，安全更新的OT内存大小更小。

您不必再等待优化应用程式的那一步，因为这是更新过程中最慢的部分之一，因为新的JIT编译器已经被优化，使安装和更新快如闪电。更新的目的是更快的运行与7.0 ：Nougat的固件更新到新的Android设备。

就像他们的Chromebook用做更新在后台，而该设备会继续再前台正常运行的应用。这些更新应用到将部署到不同的系统分区，当你重新启动，它会无缝地切换到运行新的系统软件版本，新的分区。