การอัปเดตและแหล่งข้อมูลด้านความปลอดภัย

ทีมรักษาความปลอดภัยของ Android มีหน้าที่จัดการช่องโหว่ด้านความปลอดภัยที่พบในแพลตฟอร์ม Android และแอปหลักๆ ของ Android หลายแอปที่มาพร้อมกับอุปกรณ์ Android

ทีมรักษาความปลอดภัยของ Android จะค้นหาช่องโหว่ด้านความปลอดภัยผ่านการวิจัยภายในและตอบสนองต่อข้อบกพร่องที่บุคคลที่สามรายงานเข้ามาด้วย แหล่งที่มาของข้อบกพร่องภายนอก ได้แก่ ปัญหาที่รายงานผ่านแบบฟอร์มช่องโหว่ การวิจัยทางวิชาการที่เผยแพร่แล้วและที่เผยแพร่ก่อนการเผยแพร่ ผู้ดูแลโครงการโอเพนซอร์สที่เป็นแหล่งที่มา การแจ้งเตือนจากพาร์ทเนอร์ผู้ผลิตอุปกรณ์ และปัญหาที่เปิดเผยต่อสาธารณะซึ่งโพสต์ในบล็อกหรือโซเชียลมีเดีย

รายงานปัญหาด้านความปลอดภัย

นักพัฒนาแอป ผู้ใช้ Android หรือนักวิจัยด้านความปลอดภัยสามารถแจ้งทีมรักษาความปลอดภัยของ Android เกี่ยวกับปัญหาด้านความปลอดภัยที่อาจเกิดขึ้นได้ผ่านแบบฟอร์มช่องโหว่

ข้อบกพร่องที่มีการทำเครื่องหมายว่าเป็นปัญหาด้านความปลอดภัยจะไม่ปรากฏภายนอก แต่อาจปรากฏขึ้นหลังจากประเมินหรือแก้ไขปัญหาแล้ว หากวางแผนที่จะส่งการแก้ไขหรือชุดเครื่องมือทดสอบความเข้ากันได้ (CTS) เพื่อแก้ไขปัญหาด้านความปลอดภัย โปรดแนบไฟล์มากับรายงานข้อบกพร่องและรอการตอบกลับก่อนที่จะอัปโหลดโค้ดไปยัง AOSP

คัดแยกข้อบกพร่อง

งานแรกในการจัดการช่องโหว่ด้านความปลอดภัยคือการระบุความรุนแรงของข้อบกพร่องและคอมโพเนนต์ของ Android ที่ได้รับผลกระทบ ความรุนแรงจะเป็นตัวกำหนดลำดับความสำคัญของปัญหา ส่วนคอมโพเนนต์จะเป็นตัวกำหนดว่าใครจะแก้ไขข้อบกพร่อง ใครจะได้รับแจ้ง และวิธีนำการแก้ไขไปใช้งานกับผู้ใช้

ประเภทบริบท

ตารางนี้ครอบคลุมคำจำกัดความของบริบทความปลอดภัยของฮาร์ดแวร์และซอฟต์แวร์ บริบทอาจกำหนดตามความละเอียดอ่อนของข้อมูลที่ประมวลผลตามปกติหรือพื้นที่ที่ทำงาน บริบทความปลอดภัยบางรายการใช้ไม่ได้กับบางระบบ ตารางนี้จัดเรียงจากสิทธิ์น้อยที่สุดไปจนถึงมากที่สุด

ประเภทบริบท คําจํากัดความของประเภท
บริบทที่มีข้อจำกัด สภาพแวดล้อมการเรียกใช้แบบจํากัดที่มีสิทธิ์เพียงน้อยนิด

ตัวอย่างเช่น แอปที่เชื่อถือได้ซึ่งประมวลผลข้อมูลที่ไม่น่าเชื่อถือภายในสภาพแวดล้อมที่ใช้แซนด์บ็อกซ์
บริบทที่ไม่มีสิทธิ์ สภาพแวดล้อมการดําเนินการทั่วไปที่โค้ดที่ไม่มีสิทธิ์คาดหวัง

ตัวอย่างเช่น แอป Android ที่ทำงานในโดเมน SELinux ด้วยแอตทริบิวต์ untrusted_app_all
บริบทที่มีสิทธิ์ สภาพแวดล้อมการเรียกใช้ที่มีสิทธิ์ซึ่งอาจมีสิทธิ์เข้าถึงระดับที่สูงขึ้น จัดการ PII ของผู้ใช้หลายคน และ/หรือรักษาความสมบูรณ์ของระบบ

ตัวอย่างเช่น แอป Android ที่มีความสามารถที่โดเมน SELinux untrusted_app จะห้ามไว้ หรือมีสิทธิ์เข้าถึงprivileged|signature
เคอร์เนลของระบบปฏิบัติการ ฟังก์ชันการทำงานที่มีลักษณะดังนี้
  • เป็นส่วนหนึ่งของเคอร์เนล
  • ทำงานในบริบท CPU เดียวกับเคอร์เนล (เช่น ไดรเวอร์อุปกรณ์)
  • มีสิทธิ์เข้าถึงหน่วยความจำเคอร์เนลโดยตรง (เช่น คอมโพเนนต์ฮาร์ดแวร์ในอุปกรณ์)
  • มีความสามารถในการโหลดสคริปต์ลงในคอมโพเนนต์เคอร์เนล (เช่น eBPF)
  • เป็นหนึ่งในบริการสําหรับผู้ใช้เพียงไม่กี่รายการที่ถือว่าเทียบเท่าเคอร์เนล (เช่น apexd, bpfloader, init, ueventd และ vold)
ฐานฮาร์ดแวร์ที่เชื่อถือได้ (THB) คอมโพเนนต์ฮาร์ดแวร์แบบแยกส่วน ซึ่งโดยทั่วไปอยู่ใน SoC ที่ให้ฟังก์ชันการทำงานที่สำคัญต่อกรณีการใช้งานหลักของอุปกรณ์ (เช่น แบนด์ฐานเครือข่ายมือถือ, DSP, GPU และโปรเซสเซอร์ ML)
Bootloader Chain คอมโพเนนต์ที่กำหนดค่าอุปกรณ์เมื่อบูต จากนั้นส่งการควบคุมไปยังระบบปฏิบัติการ Android
สภาพแวดล้อมการดำเนินการที่เชื่อถือได้ (TEE) คอมโพเนนต์ที่ออกแบบมาเพื่อปกป้องแม้กระทั่งเคอร์เนลระบบปฏิบัติการที่เป็นอันตราย (เช่น TrustZone และไฮเปอร์วิซอร์ เช่น pKVM ซึ่งปกป้องเครื่องเสมือนจากเคอร์เนลระบบปฏิบัติการ)
Secure Enclave / องค์ประกอบความปลอดภัย (SE) คอมโพเนนต์ฮาร์ดแวร์ที่ไม่บังคับซึ่งออกแบบมาเพื่อปกป้องจากคอมโพเนนต์อื่นๆ ทั้งหมดในอุปกรณ์และจากการโจมตีทางกายภาพตามที่ระบุไว้ในข้อมูลเบื้องต้นเกี่ยวกับองค์ประกอบที่ปลอดภัย

ชิปนี้รวมถึงชิป Titan-M ที่มีอยู่ในอุปกรณ์ Android บางรุ่น

ความรุนแรง

โดยทั่วไปแล้ว ความรุนแรงของข้อบกพร่องจะแสดงถึงอันตรายที่อาจเกิดขึ้นหากมีการใช้ประโยชน์จากข้อบกพร่องได้ ใช้เกณฑ์ต่อไปนี้เพื่อพิจารณาความรุนแรง

Rating ผลที่ตามมาของการประพฤติมิชอบที่สำเร็จ
สำคัญมาก
  • การดำเนินการกับโค้ดที่กําหนดเองใน TEE หรือ SE
  • การเลี่ยงกลไกซอฟต์แวร์ที่ออกแบบมาเพื่อป้องกันไม่ให้ส่วนประกอบซอฟต์แวร์หรือฮาร์ดแวร์ที่เกี่ยวข้องกับความปลอดภัยทำงานผิดปกติ (เช่น การป้องกันความร้อน)
  • การเข้าถึงจากระยะไกลไปยังข้อมูลเข้าสู่ระบบที่มีความละเอียดอ่อนซึ่งใช้สําหรับการตรวจสอบสิทธิ์บริการจากระยะไกล (เช่น รหัสผ่านบัญชีหรือโทเค็นของผู้ถือครอง)
  • การดำเนินการกับโค้ดที่กำหนดเองจากระยะไกลภายในบริบทของย่านความถี่ฐานของเครือข่ายมือถือโดยไม่มีการโต้ตอบของผู้ใช้ (เช่น การใช้ช่องโหว่ในบริการวิทยุของเครือข่ายมือถือ)
  • การดำเนินการกับโค้ดที่กำหนดเองจากระยะไกลในบริบทที่มีสิทธิ์ เชนบูตโหลดเดอร์ THB หรือเคอร์เนลระบบปฏิบัติการ
  • การข้ามข้อกำหนดการโต้ตอบของผู้ใช้จากระยะไกลในการติดตั้งแพ็กเกจหรือลักษณะการทำงานที่เทียบเท่า
  • การข้ามข้อกำหนดการโต้ตอบของผู้ใช้จากระยะไกลสำหรับการตั้งค่านักพัฒนาซอฟต์แวร์หลัก ความปลอดภัย หรือความเป็นส่วนตัว
  • การปฏิเสธการให้บริการระยะไกลอย่างต่อเนื่อง (ถาวร ต้องมีการแฟลชระบบปฏิบัติการทั้งหมดอีกครั้งหรือรีเซ็ตเป็นค่าเริ่มต้น)
  • ข้ามการเปิดเครื่องที่ปลอดภัยจากระยะไกล
  • การเข้าถึงข้อมูลที่มีการรักษาความปลอดภัยโดย SE โดยไม่ได้รับอนุญาต รวมถึงการเข้าถึงที่เปิดใช้โดยคีย์ที่เปราะบางใน SE
สูง
  • การข้ามฟีเจอร์หลักด้านความปลอดภัยโดยสมบูรณ์ (เช่น SELinux, FBE หรือ seccomp)
  • การข้ามทั่วไปสำหรับการป้องกันแบบหลายชั้นหรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ในเชนบูตโหลดเดอร์, TEE หรือ SE
  • การลบล้างทั่วไปสำหรับการปกป้องระบบปฏิบัติการที่เปิดเผยหน่วยความจำหรือเนื้อหาไฟล์ในขอบเขตของแอป ผู้ใช้ หรือโปรไฟล์
  • การโจมตี SE ที่ทำให้มีการดาวน์เกรดเป็นการใช้งานที่ปลอดภัยน้อยลง
  • เปลี่ยนจากเฟิร์มแวร์แบบ Bare Metal ที่ถูกบุกรุกซึ่งเข้าถึงได้จากระยะไกล (เช่น แบนด์ฐาน โปรเซสเซอร์การสื่อสาร (CP)) ไปยังเคอร์เนลของโปรเซสเซอร์แอป (AP) หรือกลไกการบายพาสที่ออกแบบมาเพื่อแยกเฟิร์มแวร์แบบ Bare Metal ออกจากเคอร์เนล AP
  • การหลบเลี่ยงการป้องกันอุปกรณ์ การป้องกันการรีเซ็ตเป็นค่าเริ่มต้น หรือข้อจำกัดของผู้ให้บริการ
  • การละเว้นข้อกำหนดการโต้ตอบของผู้ใช้ที่มีการรักษาความปลอดภัยโดย TEE
  • ช่องโหว่การเข้ารหัสที่เปิดโอกาสให้เกิดการโจมตีโปรโตคอลจากต้นทางถึงปลายทาง ซึ่งรวมถึงการโจมตี Transport Layer Security (TLS) และบลูทูธ (BT)
  • สิทธิ์เข้าถึงข้อมูลเข้าสู่ระบบที่ละเอียดอ่อนซึ่งใช้สำหรับการตรวจสอบสิทธิ์บริการจากระยะไกล (เช่น รหัสผ่านของบัญชีหรือโทเค็นของผู้ถือ)
  • การดำเนินการโค้ดแบบกำหนดเองในบริบทที่มีสิทธิ์ เชน Bootloader, THB หรือเคอร์เนลของระบบปฏิบัติการ
  • การข้ามการเปิดเครื่องที่ปลอดภัยในพื้นที่
  • เลี่ยงหน้าจอล็อก
  • การข้ามข้อกำหนดการโต้ตอบของผู้ใช้สำหรับการตั้งค่าหลักของนักพัฒนาซอฟต์แวร์ ความปลอดภัย หรือความเป็นส่วนตัวในเครื่อง
  • การข้ามข้อกำหนดการโต้ตอบของผู้ใช้ในการติดตั้งแพ็กเกจหรือลักษณะการทำงานที่เทียบเท่าในเครื่อง
  • การปฏิเสธการให้บริการในพื้นที่อย่างต่อเนื่อง (ถาวร ต้องมีการแฟลชระบบปฏิบัติการทั้งหมดอีกครั้ง หรือรีเซ็ตเป็นค่าเริ่มต้น)
  • การเข้าถึงจากระยะไกลไปยังข้อมูลที่ปกป้อง (นั่นคือ ข้อมูลที่จํากัดเฉพาะบริบทที่มีสิทธิ์)
  • การดำเนินการกับโค้ดที่กําหนดเองจากระยะไกลในบริบทที่ไม่มีสิทธิ์
  • การป้องกันจากระยะไกลไม่ให้เข้าถึงบริการเครือข่ายมือถือหรือ Wi-Fi โดยที่ผู้ใช้ไม่ต้องโต้ตอบ (เช่น การทำให้บริการเครือข่ายมือถือขัดข้องด้วยแพ็กเก็ตที่มีรูปแบบไม่ถูกต้อง)
  • การข้ามข้อกำหนดการโต้ตอบของผู้ใช้จากระยะไกล (การเข้าถึงฟังก์ชันการทำงานหรือข้อมูลที่ต้องได้รับการเริ่มต้นจากผู้ใช้หรือสิทธิ์ของผู้ใช้)
  • การป้องกันแบบเจาะจงในการเข้าถึงบริการช่วยเหลือฉุกเฉิน
  • การส่งข้อมูลที่ละเอียดอ่อนผ่านโปรโตคอลเครือข่ายที่ไม่ปลอดภัย (เช่น HTTP และบลูทูธที่ไม่ได้เข้ารหัส) เมื่อผู้ขอคาดหวังการส่งข้อมูลที่ปลอดภัย โปรดทราบว่าการดำเนินการนี้ไม่มีผลกับการเข้ารหัส Wi-Fi (เช่น WEP)
  • การเข้าถึงที่ไม่ได้รับอนุญาตไปยังข้อมูลที่ TEE รักษาความปลอดภัยไว้ รวมถึงการเข้าถึงที่เปิดใช้โดยคีย์ที่รัดกุมไม่เพียงพอใน TEE
ปานกลาง
  • การข้ามทั่วไปสําหรับการป้องกันแบบหลายชั้นหรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ในบริบทที่มีสิทธิ์ THB หรือเคอร์เนลระบบปฏิบัติการ
  • การลบล้างทั่วไปสำหรับการป้องกันระบบปฏิบัติการที่เปิดเผยสถานะกระบวนการหรือข้อมูลเมตาในขอบเขตของแอป ผู้ใช้ หรือโปรไฟล์
  • การข้ามการเข้ารหัสหรือการตรวจสอบสิทธิ์ของ Wi-Fi
  • ช่องโหว่การเข้ารหัสในองค์ประกอบพื้นฐานการเข้ารหัสมาตรฐานที่ทำให้เกิดการรั่วไหลของข้อความธรรมดา (ไม่ใช่องค์ประกอบพื้นฐานที่ใช้ใน TLS)
  • การเข้าถึงข้อมูลที่ได้รับการปกป้องในเครื่อง (นั่นคือ ข้อมูลที่จํากัดอยู่ในบริบทที่มีสิทธิ์)
  • การดำเนินการกับโค้ดที่กำหนดเองในบริบทที่ไม่มีสิทธิ์
  • การลบล้างข้อกำหนดของการโต้ตอบของผู้ใช้ในเครื่อง (การเข้าถึงฟังก์ชันการทำงานหรือข้อมูลที่ปกติแล้วจะต้องได้รับการเริ่มต้นจากผู้ใช้หรือสิทธิ์ของผู้ใช้)
  • การเข้าถึงจากระยะไกลไปยังข้อมูลที่ไม่มีการปกป้อง (นั่นคือ ข้อมูลที่แอปที่ติดตั้งในเครื่องเข้าถึงได้ตามปกติ)
  • การดำเนินการกับโค้ดที่กําหนดเองจากระยะไกลในบริบทที่มีข้อจำกัด
  • การปฏิเสธบริการอุปกรณ์ชั่วคราวจากระยะไกล (การหยุดทำงานหรือรีบูตจากระยะไกล)
ต่ำ
  • การลบล้างทั่วไปสําหรับการป้องกันแบบหลายชั้นในระดับผู้ใช้หรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ในบริบทที่ไม่มีสิทธิ์
  • การลบล้างสิทธิ์ระดับการป้องกันปกติ
  • ช่องโหว่ทางวิทยาการเข้ารหัสในการใช้งานที่ไม่เป็นไปตามมาตรฐาน
  • การข้ามทั่วไปของฟีเจอร์การปรับในแบบของคุณในอุปกรณ์ เช่น Voice Match หรือ Face Match
  • เอกสารประกอบที่ไม่ถูกต้องซึ่งอาจทำให้เกิดช่องโหว่ด้านความปลอดภัย
  • การดำเนินการกับโค้ดที่กำหนดเองในบริบทที่มีข้อจำกัด
  • ข้อความที่ระบบกําหนดซึ่งมีคําอธิบายที่ทําให้เข้าใจผิดซึ่งสร้างความคาดหวังด้านความปลอดภัยที่เป็นเท็จ
ผลกระทบด้านความปลอดภัยเล็กน้อย (NSI)
  • ช่องโหว่ที่ผลกระทบได้รับการบรรเทาโดยตัวแก้ไขคะแนนอย่างน้อย 1 รายการหรือการเปลี่ยนแปลงสถาปัตยกรรมเฉพาะเวอร์ชันเพื่อให้ความรุนแรงที่ได้ผลต่ำกว่าระดับต่ำ แม้ว่าปัญหาโค้ดพื้นฐานจะยังคงอยู่ก็ตาม
  • ช่องโหว่ที่ต้องใช้ระบบไฟล์ที่มีรูปแบบไม่ถูกต้อง หากระบบไฟล์ดังกล่าวได้รับการนำใช้งาน/เข้ารหัสเสมอก่อนใช้งาน
  • การปฏิเสธการให้บริการชั่วคราวในเครื่อง เช่น กรณีที่เงื่อนไขสามารถแก้ไขได้ด้วยการรีบูตอุปกรณ์หรือถอนการติดตั้งแอปที่ทริกเกอร์

ตัวปรับราคา

แม้ว่าความรุนแรงของช่องโหว่ด้านความปลอดภัยมักจะระบุได้ง่าย แต่การจัดประเภทอาจเปลี่ยนแปลงได้ ทั้งนี้ขึ้นอยู่กับสถานการณ์

เหตุผล เอฟเฟ็กต์
ต้องทำงานในบริบทที่มีสิทธิ์เพื่อทำการโจมตี (ใช้ไม่ได้กับ TEE, SE และไฮเปอร์วิซอร์ เช่น pKVM) ความรุนแรง -1
รายละเอียดเฉพาะของช่องโหว่จะจำกัดผลกระทบของปัญหา ความรุนแรง -1
การข้ามการตรวจสอบสิทธิ์ด้วยข้อมูลไบโอเมตริกที่ต้องใช้ข้อมูลไบโอเมตริกจากเจ้าของอุปกรณ์โดยตรง ความรุนแรง -1
การกําหนดค่าคอมไพเลอร์หรือแพลตฟอร์มช่วยลดช่องโหว่ในซอร์สโค้ด ความรุนแรงปานกลาง หากช่องโหว่พื้นฐานมีความรุนแรงปานกลางขึ้นไป
ต้องมีการเข้าถึงส่วนภายในของอุปกรณ์ และยังคงทำได้หากอุปกรณ์ปิดอยู่หรือไม่ได้ปลดล็อกตั้งแต่เปิดเครื่อง ความรุนแรง -1
ต้องเข้าถึงส่วนภายในของอุปกรณ์ขณะที่อุปกรณ์เปิดอยู่และเคยปลดล็อกไว้ก่อนหน้านี้ ความรุนแรงระดับ -2
การโจมตีในเครื่องที่กำหนดให้ต้องปลดล็อกเชน Bootloader ไม่เกิน "ต่ำ"
การโจมตีในเครื่องที่กำหนดให้ต้องเปิดใช้โหมดนักพัฒนาซอฟต์แวร์หรือการตั้งค่าโหมดนักพัฒนาซอฟต์แวร์แบบถาวรในอุปกรณ์ (และไม่ใช่ข้อบกพร่องในโหมดนักพัฒนาซอฟต์แวร์) ไม่เกิน "ต่ำ"
หากไม่มีโดเมน SELinux ที่ดําเนินการภายใต้ SEPolicy ที่ Google ระบุ ผลกระทบด้านความปลอดภัยเล็กน้อย

อุปกรณ์ใกล้เคียงกับอุปกรณ์ระยะไกล

เวกเตอร์การโจมตีจากระยะไกลบ่งชี้ว่าสามารถใช้ประโยชน์จากข้อบกพร่องได้โดยไม่ต้องติดตั้งแอปหรือเข้าถึงอุปกรณ์ ซึ่งรวมถึงข้อบกพร่องที่อาจเกิดขึ้นจากการเรียกดูหน้าเว็บ การอ่านอีเมล การรับข้อความ SMS หรือการเชื่อมต่อกับเครือข่ายที่เป็นอันตราย

เวกเตอร์การโจมตีแบบ Proximal จะถือว่าอยู่ระยะไกล ซึ่งรวมถึงข้อบกพร่องที่ผู้โจมตีที่อยู่ใกล้กับอุปกรณ์เป้าหมายเท่านั้นที่จะใช้ประโยชน์ได้ เช่น ข้อบกพร่องที่ต้องใช้การส่งแพ็กเก็ต Wi-Fi หรือบลูทูธที่มีรูปแบบไม่ถูกต้อง เราถือว่าการโจมตีที่ใช้แถบความถี่กว้างยิ่งยวด (UWB) และ NFC เป็นการโจมตีจากระยะใกล้และระยะไกล

การโจมตีในเครื่องกำหนดให้ผู้โจมตีมีสิทธิ์เข้าถึงเหยื่อก่อน ในตัวอย่างนี้ซึ่งสมมติขึ้นเกี่ยวกับซอฟต์แวร์เท่านั้น การดำเนินการนี้อาจเกิดขึ้นผ่านแอปที่เป็นอันตรายซึ่งเหยื่อติดตั้งไว้ หรือInstant App ที่เหยื่อยินยอมให้ทำงาน

ระบบจะถือว่าอุปกรณ์ที่จับคู่สำเร็จ (เช่น อุปกรณ์เสริมบลูทูธ) เป็นอุปกรณ์ภายใน เราแยกความแตกต่างระหว่างอุปกรณ์ที่จับคู่แล้วกับอุปกรณ์ที่เข้าร่วมขั้นตอนการจับคู่

  • ข้อบกพร่องที่ลดความสามารถของผู้ใช้ในการระบุอุปกรณ์เครื่องอื่นที่จับคู่อยู่ (เช่น การตรวจสอบสิทธิ์) จะถือว่าอยู่ใกล้และจึงจัดว่าเป็นข้อบกพร่องระยะไกล
  • ข้อบกพร่องที่เกิดขึ้นระหว่างขั้นตอนการจับคู่แต่ก่อนที่จะได้รับความยินยอมจากผู้ใช้ (เช่น การให้สิทธิ์) จะถือว่าอยู่ในช่วงใกล้เคียงและอยู่ระยะไกล
  • ข้อบกพร่องที่เกิดขึ้นหลังจากได้รับความยินยอมจากผู้ใช้จะถือว่าเป็นข้อบกพร่องในอุปกรณ์ แม้ว่าการจับคู่จะดำเนินการไม่สำเร็จในท้ายที่สุดก็ตาม

เวกเตอร์การโจมตีที่จับต้องได้จะถือว่าอยู่ในพื้นที่ ซึ่งรวมถึงข้อบกพร่องที่ผู้โจมตีที่มีสิทธิ์เข้าถึงอุปกรณ์เท่านั้นที่จะใช้ประโยชน์ได้ เช่น ข้อบกพร่องในหน้าจอล็อกหรือข้อบกพร่องที่ต้องเสียบสาย USB เนื่องจากอุปกรณ์มักจะปลดล็อกอยู่ขณะเสียบ USB การโจมตีที่ต้องใช้การเชื่อมต่อ USB จึงมีความรุนแรงเท่ากัน ไม่ว่าอุปกรณ์จะต้องปลดล็อกหรือไม่ก็ตาม

การรักษาความปลอดภัยของเครือข่าย

Android จะถือว่าเครือข่ายทั้งหมดเป็นเครือข่ายที่เป็นอันตรายและอาจมีการแทรกการโจมตีหรือสอดแนมการเข้าชม แม้ว่าการรักษาความปลอดภัยของเลเยอร์ลิงก์ (เช่น การเข้ารหัส Wi-Fi) จะรักษาความปลอดภัยของการสื่อสารระหว่างอุปกรณ์กับจุดเข้าใช้งานที่เชื่อมต่ออยู่ แต่ก็ไม่ได้รักษาความปลอดภัยของลิงก์ที่เหลือในเชนระหว่างอุปกรณ์กับเซิร์ฟเวอร์ที่สื่อสารด้วย

ในทางตรงกันข้าม HTTPS มักจะปกป้องการสื่อสารทั้งหมดตั้งแต่ต้นจนจบ โดยเข้ารหัสข้อมูลจากต้นทาง จากนั้นจึงถอดรหัสและยืนยันเมื่อข้อมูลไปถึงปลายทางเท่านั้น ด้วยเหตุนี้ ช่องโหว่ที่ส่งผลต่อความปลอดภัยของเครือข่ายเลเยอร์ลิงก์จึงมีระดับความรุนแรงน้อยกว่าช่องโหว่ใน HTTPS/TLS เนื่องจากการเข้ารหัส Wi-Fi เพียงอย่างเดียวไม่เพียงพอสําหรับการสื่อสารส่วนใหญ่บนอินเทอร์เน็ต

ตรวจสอบสิทธิ์ด้วยข้อมูลไบโอเมตริก

การยืนยันตัวตนด้วยข้อมูลไบโอเมตริกเป็นงานที่ท้าทาย และแม้แต่ระบบที่ดีที่สุดก็อาจถูกหลอกให้ยอมรับข้อมูลที่คล้ายกัน (ดูบล็อกของนักพัฒนาแอป Android: การปรับปรุงหน้าจอล็อกและการยืนยันตัวตนใน Android 11) การจัดประเภทความรุนแรงเหล่านี้จะแยกความแตกต่างระหว่างการโจมตี 2 ระดับและมีไว้เพื่อแสดงถึงความเสี่ยงจริงต่อผู้ใช้ปลายทาง

การโจมตีระดับแรกช่วยให้สามารถข้ามการตรวจสอบสิทธิ์ด้วยข้อมูลไบโอเมตริกได้ทั่วไป โดยไม่ต้องมีข้อมูลไบโอเมตริกคุณภาพสูงจากผู้เป็นเจ้าของ ตัวอย่างเช่น หากผู้โจมตีวางหมากฝรั่งบนเซ็นเซอร์ลายนิ้วมือ และเซ็นเซอร์ให้สิทธิ์เข้าถึงอุปกรณ์ตามเศษที่หลงเหลืออยู่บนเซ็นเซอร์ นี่เป็นรูปแบบการโจมตีง่ายๆ ที่อาจเกิดขึ้นกับอุปกรณ์ที่เปราะบาง โดยไม่จำเป็นต้องมีความรู้เกี่ยวกับเจ้าของอุปกรณ์ เนื่องจากสามารถนำไปใช้ได้ทั่วไปและอาจส่งผลกระทบต่อผู้ใช้จำนวนมากขึ้น การโจมตีนี้จึงได้รับคะแนนความรุนแรงเต็มรูปแบบ (เช่น สูงสําหรับการหลบเลี่ยงหน้าจอล็อก)

การโจมตีอีกประเภทหนึ่งโดยทั่วไปเกี่ยวข้องกับเครื่องมือโจมตีแบบนำเสนอ (การปลอมแปลง) โดยอิงตามเจ้าของอุปกรณ์ บางครั้งข้อมูลไบโอเมตริกนี้หาได้ง่าย (เช่น หากรูปโปรไฟล์ของบุคคลในโซเชียลมีเดียเพียงพอที่จะหลอกการตรวจสอบสิทธิ์ด้วยข้อมูลไบโอเมตริกได้ การลักลอบใช้ข้อมูลไบโอเมตริกจะได้รับคะแนนความรุนแรงเต็มรูปแบบ) แต่หากผู้โจมตีต้องการรับข้อมูลไบโอเมตริกจากเจ้าของอุปกรณ์โดยตรง (เช่น การสแกนอินฟราเรดใบหน้า) นี่เป็นอุปสรรคที่สำคัญมากพอที่จะจำกัดจำนวนผู้ที่ได้รับผลกระทบจากการโจมตี ดังนั้นจึงมีตัวคูณ -1

SYSTEM_ALERT_WINDOW และ Tapjacking

ดูข้อมูลเกี่ยวกับนโยบายของเราที่เกี่ยวข้องกับ SYSTEM_ALERT_WINDOW และ Tapjacking ได้ในส่วน "ช่องโหว่ Tapjacking/การวางซ้อน SYSTEM_ALERT_WINDOW ในหน้าจอที่ไม่สำคัญต่อความปลอดภัย" ของหน้า ข้อบกพร่องที่ไม่มีผลต่อความปลอดภัยจาก BugHunter University

ความปลอดภัยสำหรับผู้ใช้หลายคนใน Android Automotive OS

Android Automotive OS ใช้รูปแบบการรักษาความปลอดภัยแบบผู้ใช้หลายคนซึ่งแตกต่างจากอุปกรณ์รูปแบบอื่นๆ ผู้ใช้ Android แต่ละรายมีไว้สำหรับบุคคลที่แตกต่างกัน เช่น คุณสามารถกำหนดผู้ใช้ชั่วคราวที่เป็นผู้ที่มาเยือนให้กับเพื่อนที่ยืมรถจากเจ้าของรถ โดยค่าเริ่มต้น ผู้ใช้จะมีสิทธิ์เข้าถึงคอมโพเนนต์ที่จำเป็นในการใช้งานยานพาหนะ เช่น การตั้งค่า Wi-Fi และเครือข่ายมือถือ เพื่อรองรับกรณีการใช้งานเช่นนี้

คอมโพเนนต์ที่ได้รับผลกระทบ

ทีมพัฒนาซอฟต์แวร์ที่รับผิดชอบในการแก้ไขข้อบกพร่องจะขึ้นอยู่กับว่าข้อบกพร่องนั้นอยู่ในคอมโพเนนต์ใด อาจเป็นคอมโพเนนต์หลักของแพลตฟอร์ม Android, ไดร์เวอร์เคอร์เนลที่ผู้ผลิตอุปกรณ์ดั้งเดิม (OEM) จัดหาให้ หรือแอปที่โหลดไว้ล่วงหน้าในอุปกรณ์ Pixel

ทีมวิศวกรของ Android จะแก้ไขข้อบกพร่องในโค้ด AOSP ในที่เก็บข้อมูลภายในของเรา

คอมโพเนนต์นี้ยังเป็นปัจจัยในวิธีที่ผู้ใช้จะได้รับข้อมูลอัปเดตด้วย ข้อบกพร่องในเฟรมเวิร์กหรือเคอร์เนลต้องใช้การอัปเดตเฟิร์มแวร์ผ่านอากาศ (OTA) ที่ OEM แต่ละรายต้องพุช ระบบสามารถส่งข้อบกพร่องในแอปหรือไลบรารีที่เผยแพร่ใน Google Play (เช่น Gmail, Google Play Services หรือ WebView) ไปยังผู้ใช้ Android เป็นการอัปเดตจาก Google Play

แจ้งให้พาร์ทเนอร์ทราบ

เมื่อช่องโหว่ด้านความปลอดภัยใน AOSP ได้รับการแก้ไขในประกาศข่าวสารด้านความปลอดภัยของ Android เราจะแจ้งรายละเอียดปัญหาและมอบแพตช์ให้พาร์ทเนอร์ Android รายการเวอร์ชันที่รองรับการพอร์ตย้อนกลับจะเปลี่ยนแปลงไปในแต่ละรุ่นของ Android โปรดติดต่อผู้ผลิตอุปกรณ์เพื่อขอดูรายการอุปกรณ์ที่รองรับ

เผยแพร่โค้ดไปยัง AOSP

หากข้อบกพร่องด้านความปลอดภัยอยู่ในคอมโพเนนต์ AOSP ระบบจะพุชการแก้ไขไปยัง AOSP หลังจากที่เผยแพร่ OTA ให้กับผู้ใช้แล้ว

รับการอัปเดต Android

โดยทั่วไปแล้ว ระบบจะส่งการอัปเดตระบบ Android ไปยังอุปกรณ์ผ่านแพ็กเกจการอัปเดต OTA การอัปเดตเหล่านี้อาจมาจาก OEM ที่ผลิตอุปกรณ์หรือผู้ให้บริการที่ให้บริการอุปกรณ์ การอัปเดตอุปกรณ์ Google Pixel มาจากทีม Google Pixel หลังจากผ่านขั้นตอนการทดสอบการยอมรับทางเทคนิค (TA) ของผู้ให้บริการ นอกจากนี้ Google ยังเผยแพร่ภาพ Pixel ต้นฉบับที่โหลดลงในอุปกรณ์ได้อีกด้วย

อัปเดตบริการของ Google

นอกเหนือจากการจัดทำแพตช์สำหรับข้อบกพร่องด้านความปลอดภัยแล้ว ทีมรักษาความปลอดภัยของ Android ยังตรวจสอบข้อบกพร่องด้านความปลอดภัยเพื่อพิจารณาว่ามีวิธีอื่นในการปกป้องผู้ใช้หรือไม่ ตัวอย่างเช่น Google Play จะสแกนแอปทั้งหมดและนำแอปที่พยายามใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยออก สำหรับแอปที่ติดตั้งจากภายนอก Google Play อุปกรณ์ที่มีบริการ Google Play อาจใช้ฟีเจอร์ ยืนยันแอปเพื่อเตือนผู้ใช้เกี่ยวกับแอปที่อาจเป็นอันตรายด้วย

ทรัพยากรอื่นๆ

ข้อมูลสำหรับนักพัฒนาแอป Android https://developer.android.com

ข้อมูลความปลอดภัยมีอยู่ในเว็บไซต์โอเพนซอร์สและนักพัฒนาแอปของ Android ตัวอย่างแหล่งข้อมูลที่ดีในการเริ่มต้น

รายงาน

บางครั้งทีมรักษาความปลอดภัยของ Android จะเผยแพร่รายงานหรือเอกสารประกอบ ดูรายละเอียดเพิ่มเติมได้ในรายงานความปลอดภัย