Android는 Android 보안 개요에 설명된 다중 레이어 보안 모델을 제공합니다. 각 Android 업데이트에는 사용자를 보호하기 위한 수십 가지의 보안 향상 기능이 포함되어 있습니다. 다음은 Android 4.2에 도입된 보안 향상 기능 중 일부입니다.
- 애플리케이션 인증 - 사용자는 설치 전에 '앱 인증'을 사용 설정하고 애플리케이션 인증 도구에서 애플리케이션을 검사하도록 선택할 수 있습니다. 사용자가 유해할 수도 있는 앱을 설치하려 하면 앱 인증을 통해 사용자에게 이를 알릴 수 있습니다. 매우 불량한 애플리케이션이라면 설치를 차단할 수 있습니다.
- 프리미엄 SMS를 더 효과적으로 제어 - 애플리케이션에서 추가 요금이 발생할 수 있는 프리미엄 서비스를 사용하는 쇼트 코드로 SMS를 보내려고 하면 Android에서 알림을 제공합니다. 사용자는 애플리케이션이 메시지를 보내도록 허용할지 또는 차단할지 선택할 수 있습니다.
- VPN 상시 사용 설정 - VPN 연결이 설정될 때까지 애플리케이션이 네트워크에 액세스하지 못하도록 VPN을 구성할 수 있습니다. 이렇게 하면 애플리케이션이 다른 네트워크를 통해 데이터를 전송할 수 없습니다.
- 인증서 고정 - 이제 Android 핵심 라이브러리에서 인증서 고정을 지원합니다. 인증서가 예상 인증서 모음에 연결되지 않으면 고정된 도메인에서 인증서 검증 실패 메시지를 수신합니다. 이를 통해 인증 기관의 침해 가능성으로부터 보호됩니다.
- Android 권한 표시 개선 - 사용자가 더 쉽게 이해할 수 있는 그룹으로 권한을 구성했습니다. 권한을 검토하는 동안 사용자는 권한을 클릭하여 권한에 관한 자세한 정보를 볼 수 있습니다.
- installd 강화 -
installd데몬은 루트 사용자로 실행되지 않으므로 루트 권한 에스컬레이션의 잠재적인 공격 노출 영역이 줄어듭니다. - init 스크립트 강화 - init 스크립트는 이제
O_NOFOLLOW의미 체계를 적용하여 심볼릭 링크 관련 공격을 방지합니다. - FORTIFY_SOURCE - 이제 Android에서는
FORTIFY_SOURCE를 구현합니다. 이는 시스템 라이브러리와 애플리케이션에서 사용하여 메모리 손상을 방지합니다. - ContentProvider 기본 구성 - API 수준 17을 타겟팅하는 애플리케이션의 '내보내기'는 기본적으로 각 콘텐츠 제공자에 'false'로 설정되어 애플리케이션의 기본 공격 노출 영역을 줄입니다.
- 암호화 - OpenSSL을 사용하도록 SecureRandom 및 Cipher.RSA의 기본 구현을 수정했습니다. OpenSSL 1.0.1을 사용하여 TLSv1.1 및 TLSv1.2에 SSL Socket 지원을 추가했습니다.
- 보안 수정사항 - 보안 수정사항을 사용하여 업그레이드된 오픈소스 라이브러리에는 WebKit, libpng, OpenSSL 및 LibXML이 포함됩니다. Android 4.2에는 Android 관련 취약점에 관한 수정사항도 포함되어 있습니다. 이러한 취약점 관련 정보는 Open Handset Alliance 멤버에게 제공되었으며 Android 오픈소스 프로젝트에서 수정사항을 사용할 수 있습니다. 보안을 개선하기 위해 이전 버전의 Android가 설치된 일부 기기에도 이러한 수정사항이 포함될 수 있습니다.