Przejrzystość binarnych plików na Androida umożliwia użytkownikom zaufanie do plików binarnych (np. aplikacji, systemu operacyjnego, oprogramowania układowego) działających na ich urządzeniach. Jest to możliwe, gdy użytkownicy mogą prześledzić konkretny plik binarny (w tym sam firmware), który jest uruchamiany na ich urządzeniach, do pierwotnego źródła (jeśli jest dostępne) i sprawdzić, czy nie został zmodyfikowany ani naruszony, nawet przez osoby, które mają dostęp do kluczy podpisywania plików binarnych.
Omówienie
Łańcuchy dostaw oprogramowania są coraz bardziej narażone na ataki, od skompromitowanych kluczy podpisujących po podstępne wstrzyknięcie kodu aż po ataki wewnątrz firmy.
Aby zwiększyć zaufanie do oprogramowania, na którym polegamy, możemy utworzyć dziennik przejrzystości z tymi właściwościami:
- Dodawanie tylko: treści dziennika nie można usuwać, modyfikować ani wstawiać wstecznie w sposób niewykrywalny.
- Zapewnienie za pomocą kryptografii: zapewnianie właściwości tylko do dopisywania za pomocą struktury danych drzewa Merkla.
- Dostępny publicznie: każdy może wysyłać zapytania dotyczące zawartości dziennika
Opublikowanie metadanych oprogramowania jako treści dzienników może zwiększyć zaufanie do zaufanych i prowadzonych przez nas plików binarnych, dostarczając wiarygodne informacje o ich pochodzeniu.
Projekty
Do tej pory opublikowaliśmy 2 dzienniki: