Mejoras de seguridad

Android mejora continuamente sus funciones y ofertas de seguridad. Consulta las listas de mejoras por versión en el panel de navegación izquierdo.

Android 14

Every Android release includes dozens of security enhancements to protect users. Here are some of the major security enhancements available in Android 14:

  • Hardware-assisted AddressSanitizer (HWASan), introduced in Android 10, is a memory error detection tool similar to AddressSanitizer. Android 14 brings significant improvements to HWASan. Learn how it helps prevent bugs from making it into Android releases, HWAddressSanitizer
  • In Android 14, starting with apps that share location data with third-parties, the system runtime permission dialog now includes a clickable section that highlights the app's data-sharing practices, including information such as why an app may decide to share data with third parties.
  • Android 12 introduced an option to disable 2G support at the modem level, which protects users from the inherent security risk from 2G's obsolete security model. Recognizing how critical disabling 2G could be for enterprise customers, Android 14 enables this security feature in Android Enterprise, introducing support for IT admins to restrict the ability of a managed device to downgrade to 2G connectivity.
  • Added support to reject null-ciphered cellular connections, ensuring that circuit-switched voice and SMS traffic is always encrypted and protected from passive over-the-air interception. Learn more about Android's program to harden cellular connectivity.
  • Added support for multiple IMEIs
  • Since Android 14, AES-HCTR2 is the preferred mode of filenames encryption for devices with accelerated cryptography instructions.
  • Cellular connectivity
  • Documentation added for Android Safety Center
  • If your app targets Android 14 and uses Dynamic Code Loading (DCL), all dynamically-loaded files must be marked as read-only. Otherwise, the system throws an exception. We recommend that apps avoid dynamically loading code whenever possible, as doing so greatly increases the risk that an app can be compromised by code injection or code tampering.

Check out our full AOSP release notes and the Android Developer features and changes list.

Android 13

每个 Android 版本中都包含数十种用于保护用户的安全增强功能。以下是 Android 13 中提供的一些主要安全增强功能：

  • Android 13 添加了对多文档呈现的支持。 通过这个新的 Presentation Session 接口，应用可以执行多文档呈现，而现有 API 无法做到这一点。如需了解详情，请参阅身份凭据
  • 在 Android 13 中，当且仅当源自外部应用的 intent 与其声明的 intent 过滤器元素匹配时，这些 intent 才会传送到导出的组件。
  • Open Mobile API (OMAPI) 是一种标准 API，用于与设备的安全元件进行通信。在 Android 13 之前，只有应用和框架模块可以访问此接口。通过将其转换为供应商稳定版接口，HAL 模块还能够通过 OMAPI 服务与安全元件进行通信。 如需了解详情，请参阅 OMAPI 供应商稳定版接口。
  • 从 Android 13-QPR 开始，共享 UID 被废弃。 使用 Android 13 或更高版本的用户应在其清单中添加 `android:sharedUserMaxSdkVersion="32"` 行。此条目可防止新用户获取共享 UID。如需详细了解 UID，请参阅应用签名。
  • Android 13 添加了对密钥库对称加密基元的支持，例如支持 AES（高级加密标准）、HMAC（密钥哈希消息认证码）以及非对称加密算法（包括椭圆曲线加密、RSA2048、RSA4096 和曲线 25519 加密）
  • Android 13（API 级别 33）及更高版本支持用于从应用发送非豁免通知的运行时权限。这可让用户控制他们会看到哪些权限通知。
  • 针对请求访问所有设备日志的应用，添加了在每次使用时显示提示的功能，以便用户允许或拒绝授予访问权限。
  • 推出了 Android 虚拟化框架 (AVF)，它使用标准化 API 将不同的 Hypervisor 整合到一个框架下。 它提供安全、私密的执行环境，以便执行通过 Hypervisor 隔离的工作负载。
  • 引入了 APK 签名方案 v3.1 所有使用 apksigner 的新密钥轮替都将默认使用 v3.1 签名方案，以便将 Android 13 及更高版本作为轮替目标。

请查看完整的 AOSP 版本说明以及 Android 开发者功能和变更列表。

Android 12

Todas las versiones de Android incluyen docenas de mejoras de seguridad para proteger a los usuarios. Estas son algunas de las principales mejoras de seguridad disponibles en Android 12:

  • Android 12 introduce la API de BiometricManager.Strings, que proporciona cadenas localizadas para las apps que usan BiometricPrompt para la autenticación. Estas cadenas están diseñadas para tener en cuenta el dispositivo y proporcionar más especificidad sobre qué tipos de autenticación se pueden usar. Android 12 también incluye compatibilidad con sensores de huellas dactilares debajo de la pantalla.
  • Se agregó compatibilidad con sensores de huellas dactilares debajo de la pantalla
  • Introducción al lenguaje de definición de la interfaz de Android de huella digital (AIDL)
  • Compatibilidad con el nuevo AIDL de Face
  • Introducción de Rust como lenguaje para el desarrollo de la plataforma
  • Se agregó la opción para que los usuarios otorguen acceso solo a su ubicación aproximada.
  • Se agregaron indicadores de privacidad en la barra de estado cuando una app usa la cámara o el micrófono.
  • Private Compute Core (PCC) de Android
  • Se agregó una opción para inhabilitar la compatibilidad con 2G

Android 11

Todas las versiones de Android incluyen docenas de mejoras de seguridad para proteger a los usuarios. Para ver una lista de algunas de las principales mejoras de seguridad disponibles en Android 11, consulta las Notas de la versión de Android.

Android 10

Todas las versiones de Android incluyen docenas de mejoras de seguridad para proteger a los usuarios. Android 10 incluye varias mejoras de seguridad y privacidad. Consulta las notas de la versión de Android 10 para obtener una lista completa de los cambios en Android 10.

Seguridad

BoundsSanitizer

Android 10 implementa BoundsSanitizer (BoundSan) en Bluetooth y códecs. BoundSan usa la limpieza de límites de UBSan. Esta mitigación está habilitada a nivel de cada módulo. Ayuda a mantener seguros los componentes importantes de Android y no debe inhabilitarse. BoundSan está habilitado en los siguientes códecs:

  • libFLAC
  • libavcdec
  • libavcenc
  • libhevcdec
  • libmpeg2
  • libopus
  • libvpx
  • libspeexresampler
  • libvorbisidec
  • libaac
  • libxaac

Memoria de solo ejecución

De forma predeterminada, las secciones de código ejecutable de los objetos binarios del sistema AArch64 están marcadas como de solo ejecución (no legibles) para endurecer la mitigación contra ataques de reutilización de código just-in-time. El código que combina los datos y el código, y el código que inspecciona deliberadamente esas secciones (sin reasignar primero los segmentos de la memoria como legibles) ya no funciona. Las apps con un SDK de destino de Android 10 (nivel de API 29 o versiones posteriores) se ven afectadas si la app intenta leer secciones de código de bibliotecas del sistema habilitadas con memoria de solo ejecución (XOM) en la memoria sin primero marcar la sección como legible.

Acceso ampliado

Los agentes de confianza, el mecanismo subyacente que usan los mecanismos de autenticación terciarios como Smart Lock, solo pueden ampliar el desbloqueo en Android 10. Los agentes de confianza ya no pueden desbloquear un dispositivo bloqueado y solo pueden mantenerlo desbloqueado por un máximo de cuatro horas.

Autenticación facial

La autenticación facial permite a los usuarios desbloquear el dispositivo con solo mirar la parte frontal. Android 10 agrega compatibilidad para una pila nueva de autenticación facial que puede procesar marcos de cámara de forma segura, lo que preserva la seguridad y privacidad durante la autenticación facial en hardware compatible. Android 10 también facilita que las implementaciones que cumplen con la seguridad permitan la integración de apps para transacciones de banca en línea, por ejemplo, y otros servicios.

Limpieza de desbordamiento de enteros

Android 10 habilita la limpieza de desbordamiento de enteros (IntSan) en códecs de software. Asegúrate de que el rendimiento de reproducción sea aceptable para cualquier códec que no sea compatible con el hardware del dispositivo. IntSan está habilitada en los siguientes códecs:

  • libFLAC
  • libavcdec
  • libavcenc
  • libhevcdec
  • libmpeg2
  • libopus
  • libvpx
  • libspeexresampler
  • libvorbisidec

Componentes modulares del sistema

Android 10 modulariza algunos componentes del sistema Android y les permite actualizarse fuera del ciclo normal de lanzamientos de Android. Algunos módulos incluyen lo siguiente:

OEMCrypto

Android 10 usa la versión 15 de la API de OEMCrypto.

Scudo

Scudo es un asignador de memoria dinámico en modo de usuario diseñado para ser más resistente contra las vulnerabilidades relacionadas con pilas. Proporciona las primitivas de asignación y desasignación estándar de C, así como las primitivas de C++.

ShadowCallStack

ShadowCallStack (SCS) es un modo de instrumentación de LLVM que protege contra las reescrituras de la dirección de devolución (como los desbordamientos del búfer de pila) guardando la dirección de devolución de una función en una instancia de ShadowCallStack asignada por separado en el prologo de la función de las funciones no hoja y cargando la dirección de devolución desde la instancia de ShadowCallStack en el epílogo de la función.

WPA3 y Wi-Fi Enhanced Open

Android 10 agrega compatibilidad con los estándares de seguridad de Wi-Fi Protected Access 3 (WPA3) y Wi-Fi Enhanced Open para proporcionar una mayor privacidad y solidez frente a ataques conocidos.

Privacidad

Acceso de apps cuando se orientan a Android 9 o versiones anteriores

Si tu app se ejecuta en Android 10 o versiones posteriores, pero está orientada a Android 9 (nivel de API 28) o versiones anteriores, la plataforma se comportará de la siguiente manera:

  • Si tu app declara un elemento <uses-permission> para ACCESS_FINE_LOCATION o ACCESS_COARSE_LOCATION, el sistema agrega automáticamente un elemento <uses-permission> para ACCESS_BACKGROUND_LOCATION durante la instalación.
  • Si tu app solicita ACCESS_FINE_LOCATION o ACCESS_COARSE_LOCATION, el sistema automáticamente agrega ACCESS_BACKGROUND_LOCATION a la solicitud.

Restricciones de actividad en segundo plano

A partir de Android 10, el sistema impone restricciones sobre el inicio de actividades en segundo plano. Este cambio de comportamiento ayuda a minimizar las interrupciones para el usuario y a darle más control de lo que aparece en la pantalla. Siempre que tu app inicie actividades como resultado directo de la interacción del usuario, es muy probable que no se vea afectada por estas restricciones.
Para obtener más información sobre la alternativa recomendada para iniciar actividades en segundo plano, consulta la guía sobre cómo alertar a los usuarios de los eventos sujetos a horarios específicos en tu app.

Metadatos de la cámara

Android 10 modifica la cantidad de información que el método getCameraCharacteristics() muestra de forma predeterminada. Tu app debe tener el permiso CAMERA para poder acceder a los metadatos potencialmente específicos de un dispositivo incluidos en el valor que muestra ese método.
Para obtener más información sobre estos cambios, consulta la sección sobre los campos de la cámara que requieren permiso.

Datos del portapapeles

A menos que tu app sea el Editor de método de entrada (IME) predeterminado o esté enfocada, no podrá acceder a los datos del portapapeles en Android 10 o versiones posteriores.

Ubicación del dispositivo

Para admitir el control adicional que tienen los usuarios sobre el acceso de la app a la información de ubicación, en Android 10 se introduce el permiso ACCESS_BACKGROUND_LOCATION.
A diferencia de los permisos ACCESS_FINE_LOCATION y ACCESS_COARSE_LOCATION, el permiso ACCESS_BACKGROUND_LOCATION solo afecta el acceso de una app a la ubicación cuando se ejecuta en segundo plano. Se considera que una app accede a la ubicación en segundo plano siempre y cuando no se cumpla alguna de las siguientes condiciones:

  • Se muestra una actividad que pertenece a otra app.
  • La app ejecuta un servicio en primer plano que declaró un tipo de servicio en primer plano de location.
    Para declarar el tipo de servicio en primer plano para un servicio de tu app, establece targetSdkVersion o compileSdkVersion de tu app en 29 o una versión posterior. Obtén más información sobre cómo los servicios en primer plano pueden continuar acciones iniciadas por el usuario que requieren acceso a la ubicación.

Almacenamiento externo

De forma predeterminada, a las apps que se orientan a Android 10 y versiones posteriores se les otorga acceso específico al almacenamiento externo o almacenamiento específico. Estas apps pueden ver los siguientes tipos de archivos dentro de un dispositivo de almacenamiento externo sin tener que solicitar permisos al usuario relacionados con el almacenamiento:

Para obtener más información sobre el almacenamiento específico, además de cómo compartir, acceder y modificar archivos que se guardan en dispositivos de almacenamiento externo, consulta las guías sobre cómo administrar archivos en el almacenamiento externo y cómo acceder a archivos multimedia y modificarlos.

Aleatorización de direcciones MAC

En los dispositivos que ejecutan Android 10 o versiones posteriores, el sistema transmite direcciones MAC aleatorias de forma predeterminada.
Si tu app administra un caso de uso empresarial, la plataforma proporciona APIs para varias operaciones relacionadas con direcciones MAC:

  • Obtén direcciones MAC aleatorias: Las apps de propietarios de dispositivos y perfiles pueden recuperar las direcciones MAC aleatorias asignadas a una red específica mediante una llamada a getRandomizedMacAddress().
  • Obtén direcciones MAC de fábrica reales: Las apps para propietarios de dispositivos pueden recuperar la dirección MAC real del hardware del dispositivo mediante una llamada a getWifiMacAddress(). Este método es útil para realizar un seguimiento de varios dispositivos.

Identificadores de dispositivo que no se pueden restablecer

A partir de Android 10, las apps deben tener el permiso de firma READ_PRIVILEGED_PHONE_STATE para acceder a los identificadores que no se pueden restablecer del dispositivo, incluido el IMEI y el número de serie.

Si tu app no tiene el permiso y solicitas información sobre los identificadores que no se pueden restablecer, la respuesta de la plataforma variará en función de la versión del SDK de destino:

  • Si tu app se orienta a Android 10 o versiones posteriores, se genera una SecurityException.
  • Si tu app se orienta a Android 9 (nivel de API 28) o versiones anteriores, el método muestra null o datos del marcador de posición si la app tiene el permiso READ_PHONE_STATE. De lo contrario, se produce un SecurityException.

Reconocimiento de actividad física

Android 10 introduce el permiso de tiempo de ejecución android.permission.ACTIVITY_RECOGNITION para apps que necesitan detectar el recuento de pasos del usuario o clasificar su actividad física, como cuando camina, anda en bicicleta o está en un vehículo. Está diseñado para darles a los usuarios mayor visibilidad sobre cómo se usan los datos del sensor del dispositivo en Configuración.
Algunas bibliotecas dentro de los servicios de Google Play, como la API de Activity Recognition y la API de Google Fit, no proporcionan resultados, a menos que el usuario haya otorgado este permiso a tu app.
Los únicos sensores incorporados en el dispositivo que requieren que declares este permiso son el contador de pasos y el detector de pasos.
Si tu app se orienta a Android 9 (nivel de API 28) o versiones anteriores, el sistema otorga automáticamente el permiso android.permission.ACTIVITY_RECOGNITION a tu app, según sea necesario, si esta cumple con cada una de las siguientes condiciones:

  • El archivo de manifiesto incluye el permiso com.google.android.gms.permission.ACTIVITY_RECOGNITION.
  • El archivo de manifiesto no incluye el permiso android.permission.ACTIVITY_RECOGNITION.

Si el sistema otorga automáticamente el permiso android.permission.ACTIVITY_RECOGNITION, tu app retendrá el permiso después de que la actualices para que se oriente a Android 10. Sin embargo, el usuario puede revocar este permiso en cualquier momento desde la configuración del sistema.

Restricciones del sistema de archivos /proc/net

En dispositivos que ejecutan Android 10 o versiones posteriores, las apps no pueden acceder a /proc/net, que incluye información sobre el estado de red de un dispositivo. Las apps que necesitan acceder a este tipo de información, como las VPN, deben usar la clase NetworkStatsManager o ConnectivityManager.

Se quitaron los grupos de permisos de la IU

Desde Android 10, las apps ya no pueden ver cómo se agrupan los permisos en la IU.

Eliminación de la afinidad de contactos

A partir de Android 10, la plataforma no realiza el seguimiento de la información de la afinidad de contactos. Como resultado, si tu app realiza una búsqueda en los contactos del usuario, los resultados no se ordenan por frecuencia de interacción.
La guía sobre ContactsProvider contiene un aviso que describe los campos y métodos específicos que dejarán de estar disponibles en todos los dispositivos a partir de Android 10.

Acceso restringido a contenido de la pantalla

Para proteger el contenido de la pantalla de los usuarios, Android 10 cambia el alcance que tienen los permisos READ_FRAME_BUFFER, CAPTURE_VIDEO_OUTPUT y CAPTURE_SECURE_VIDEO_OUTPUT para evitar el acceso silencioso al contenido de la pantalla del dispositivo. A partir de Android 10, solo se puede acceder a estos permisos mediante una firma.
Las apps que necesiten acceder al contenido de la pantalla del dispositivo deberán usar la API de MediaProjection, que muestra un mensaje en el que se le pide al usuario que otorgue su consentimiento.

Número de serie del dispositivo USB

Si tu app está orientada a Android 10 o versiones posteriores, no podrá leer el número de serie hasta que el usuario otorgue el permiso de app al accesorio o dispositivo USB.
Para obtener más información sobre cómo trabajar con dispositivos USB, consulta la guía sobre cómo configurar hosts USB.

Wi-Fi

Las apps que se orientan a Android 10 o versiones posteriores no pueden habilitar ni inhabilitar la red Wi-Fi. El método WifiManager.setWifiEnabled() siempre muestra false.
Si necesitas solicitarles a los usuarios que habiliten o inhabiliten la red Wi-Fi, usa un panel de configuración.

Restricciones sobre el acceso directo a redes Wi-Fi configuradas

Para proteger la privacidad del usuario, la configuración manual de la lista de redes Wi-Fi se restringe a apps del sistema y controladores de políticas de dispositivos (DPC). Un DPC específico puede ser el propietario del dispositivo o el del perfil.
Si tu app se orienta a Android 10 o versiones posteriores, y no es una app del sistema o un DPC, entonces los siguientes métodos no mostrarán datos útiles:

Android 9

Todas las versiones de Android incluyen docenas de mejoras de seguridad para proteger a los usuarios. Para obtener una lista de algunas de las principales mejoras de seguridad disponibles en Android 9, consulta las Notas de la versión de Android.

Android 8

每个 Android 版本中都包含数十种用于保护用户的安全增强功能。以下是 Android 8.0 中提供的一些主要安全增强功能：

  • 加密：在工作资料中增加了对撤销密钥 (evict key) 的支持。
  • 验证启动：增加了 Android 启动时验证 (AVB)。支持回滚保护（用于引导加载程序）的启动时验证代码库已添加到 AOSP 中。建议提供引导加载程序支持，以便为 HLOS 提供回滚保护。建议将引导加载程序设为只能由用户通过实际操作设备来解锁。
  • 锁定屏幕：增加了对使用防篡改硬件验证锁定屏幕凭据的支持。
  • KeyStore：搭载 Android 8.0 及更高版本的所有设备都需要进行密钥认证。增加了 ID 认证支持，以改进零触摸注册计划。
  • 沙盒：使用 Treble 计划的框架和设备特定组件之间的标准接口更紧密地对许多组件进行沙盒化处理。将 seccomp 过滤应用到了所有不信任的应用，以减少内核的攻击面。WebView 现在运行在一个独立的进程中，对系统其余部分的访问非常有限。
  • 内核加固：实现了经过安全强化的 usercopy、PAN 模拟、初始化后变为只读以及 KASLR。
  • 用户空间安全强化：为媒体堆栈实现了 CFI。 应用叠加层不能再遮盖系统关键窗口，并且用户可以关闭这些叠加层。
  • 操作系统流式更新：在磁盘空间不足的设备上启用了更新。
  • 安装未知应用：用户必须授予权限，系统才能从不是第一方应用商店的来源安装应用。
  • 隐私权：对于设备上的每个应用和使用设备的每个用户，Android ID (SSAID) 都采用不同的值。对于网络浏览器应用，Widevine 客户端 ID 会针对每个应用软件包名称和网络来源返回不同的值。 net.hostname 现在为空，并且 DHCP 客户端不再发送主机名。android.os.Build.SERIAL 已被替换为 Build.SERIAL API（受到用户控制权限的保护）。改进了某些芯片组中的 MAC 地址随机分配功能。

Android 7

每个 Android 版本中都包含数十项用于保护用户的安全增强功能。以下是 Android 7.0 中提供的一些主要安全增强功能：

  • 文件级加密：在文件级进行加密，而不是将整个存储区域作为单个单元进行加密。这种加密方式可以更好地隔离和保护设备上的不同用户和资料（例如个人资料和工作资料）。
  • 直接启动：通过文件级加密实现，允许特定应用（例如，闹钟和无障碍功能）在设备已开机但未解锁的情况下运行。
  • 验证启动：现在，验证启动会被严格强制执行，从而使遭到入侵的设备无法启动；验证启动支持纠错功能，有助于更可靠地防范非恶意数据损坏。
  • SELinux。更新后的 SELinux 配置和更高的 Seccomp 覆盖率有助于进一步锁定应用沙盒并减小受攻击面。
  • 库加载顺序随机化和改进的 ASLR。 增大随机性降低了某些代码重用攻击的有效性。
  • 内核加固：通过将内核内存的各个分区标记为只读，限制内核对用户空间地址的访问，并进一步减小现有的受攻击面，为更高版本的内核添加额外的内存保护。
  • APK 签名方案 v2：引入了一种全文件签名方案，该方案有助于加快验证速度并增强完整性保证。
  • 可信 CA 存储区。为了使应用更容易控制对其安全网络流量的访问，对于 API 级别为 24 及以上的应用，由用户安装的证书颁发机构以及通过 Device Admin API 安装的证书颁发机构在默认情况下不再受信任。此外，所有新的 Android 设备必须搭载相同的可信 CA 存储区。
  • 网络安全配置。通过声明式配置文件来配置网络安全设置和传输层安全协议 (TLS)。

Android 6

每个 Android 版本中都包含数十种用于保护用户的安全增强功能。以下是 Android 6.0 中提供的一些主要安全增强功能：

  • 运行时权限：应用在运行时请求权限，而不是在安装时被授予权限。用户可以为 M 及更低版本的 Android 应用启用和停用权限。
  • 验证启动：在执行系统软件之前，先对其进行一系列加密检查，以确保手机从引导加载程序到操作系统均处于正常状况。
  • 硬件隔离安全措施：新的硬件抽象层 (HAL)，Fingerprint API、锁定屏幕、设备加密功能和客户端证书可以利用它来保护密钥免遭内核入侵和/或现场攻击。
  • 指纹：现在，只需触摸一下，即可解锁设备。开发者还可以借助新的 API 来使用指纹锁定和解锁加密密钥。
  • 加装 SD 卡：可将移动媒体设备加装到设备上，以便扩展可用存储空间来存放本地应用数据、照片、视频等内容，但仍受块级加密保护。
  • 明文流量：开发者可以使用新的 StrictMode 来确保其应用不会使用明文。
  • 系统加固：通过由 SELinux 强制执行的政策对系统进行加固。这可以实现更好的用户隔离和 IOCTL 过滤、降低可从设备/系统之外访问的服务面临的威胁、进一步强化 SELinux 域，以及高度限制对 /proc 的访问。
  • USB 访问控制：必须由用户确认是否允许通过 USB 访问手机上的文件、存储空间或其他功能。现在，默认设置是“仅充电”，如果要访问存储空间，必须获得用户的明确许可。

Android 5

5.0

Todas las versiones de Android incluyen docenas de mejoras de seguridad para proteger a los usuarios. Estas son algunas de las principales mejoras de seguridad disponibles en Android 5.0:

  • Están encriptados de forma predeterminada. En los dispositivos que se envían con L preinstalada, la encriptación completa del disco está habilitada de forma predeterminada para mejorar la protección de los datos en dispositivos perdidos o robados. Los dispositivos que se actualizan a L se pueden encriptar en Configuración > Seguridad .
  • Se mejoró la encriptación de disco completo. La contraseña del usuario está protegida contra ataques de descifrado por fuerza bruta con scrypt y, cuando está disponible, la clave está vinculada al almacén de claves de hardware para evitar ataques fuera del dispositivo. Como siempre, el secreto del bloqueo de pantalla de Android y la clave de encriptación del dispositivo no se envían fuera del dispositivo ni se exponen a ninguna aplicación.
  • Zona de pruebas de Android reforzada con SELinux . Ahora Android requiere SELinux en modo de aplicación forzosa para todos los dominios. SELinux es un sistema de control de acceso obligatorio (MAC) en el kernel de Linux que se usa para aumentar el modelo de seguridad de control de acceso discrecional (DAC) existente. Esta nueva capa proporciona protección adicional contra posibles vulnerabilidades de seguridad.
  • Smart Lock. Android ahora incluye trustlets que proporcionan más flexibilidad para desbloquear dispositivos. Por ejemplo, los trustlets pueden permitir que los dispositivos se desbloqueen automáticamente cuando están cerca de otro dispositivo de confianza (a través de NFC o Bluetooth) o cuando los usa alguien con un rostro de confianza.
  • Modos multiusuario, de perfil restringido y de invitado para teléfonos y tablets Android ahora admite varios usuarios en teléfonos y incluye un modo invitado que se puede usar para proporcionar acceso temporal y sencillo a tu dispositivo sin otorgar acceso a tus datos y apps.
  • Actualizaciones de WebView sin OTA WebView ahora se puede actualizar independientemente del framework y sin un sistema OTA. Esto permite una respuesta más rápida a posibles problemas de seguridad en WebView.
  • Se actualizó la criptografía para HTTPS y TLS/SSL. Ahora se habilitaron TLSv1.2 y TLSv1.1, se prefiere la confidencialidad directa, se habilitó AES-GCM y se inhabilitaron los conjuntos de algoritmos de cifrado débiles (MD5, 3DES y conjuntos de algoritmos de cifrado de exportación). Consulta https://developer.android.com/reference/javax/net/ssl/SSLSocket.html para obtener más detalles.
  • Se quitó la compatibilidad con el vinculador no PIE. Android ahora requiere que todos los ejecutables vinculados de forma dinámica admitan PIE (ejecutables independientes de la posición). Esto mejora la implementación de la aleatorización del diseño del espacio de direcciones (ASLR) de Android.
  • Mejoras en FORTIFY_SOURCE. Las siguientes funciones de libc ahora implementan protecciones FORTIFY_SOURCE: stpcpy(), stpncpy(), read(), recvfrom(), FD_CLR(), FD_SET() y FD_ISSET(). Esto proporciona protección contra vulnerabilidades de corrupción de memoria que involucran esas funciones.
  • Correcciones de seguridad. Android 5.0 también incluye correcciones para vulnerabilidades específicas de Android. Los miembros de Open Handset Alliance recibieron información acerca de estas vulnerabilidades y las correcciones están disponibles en el Proyecto de código abierto de Android. Para mejorar la seguridad, es posible que algunos dispositivos con versiones anteriores de Android también incluyan estas correcciones.

Android 4 y versiones anteriores

每个 Android 版本中都包含数十项用于保护用户的安全增强功能。以下是 Android 4.4 中提供的一些安全增强功能：

  • 通过 SELinux 得到增强的 Android 沙盒。 Android 现在以强制模式使用 SELinux。SELinux 是 Linux 内核中的强制访问控制 (MAC) 系统，用于增强基于自主访问控制 (DAC) 的现有安全模型。 这为防范潜在的安全漏洞提供了额外的保护屏障。
  • 按用户应用 VPN。 在多用户设备上，现在按用户应用 VPN。 这样一来，用户就可以通过一个 VPN 路由所有网络流量，而不会影响使用同一设备的其他用户。
  • AndroidKeyStore 中的 ECDSA 提供程序支持。 Android 现在有一个允许使用 ECDSA 和 DSA 算法的密钥库提供程序。
  • 设备监测警告。 如果有任何可能允许监测加密网络流量的证书添加到设备证书库中，Android 都会向用户发出警告。
  • FORTIFY_SOURCE。 Android 现在支持 FORTIFY_SOURCE 第 2 级，并且所有代码在编译时都会受到这些保护。FORTIFY_SOURCE 已得到增强，能够与 Clang 配合使用。
  • 证书锁定。 Android 4.4 能够检测安全的 SSL/TLS 通信中是否使用了欺诈性 Google 证书，并且能够阻止这种行为。
  • 安全修复程序。 Android 4.4 中还包含针对 Android 特有漏洞的修复程序。 有关这些漏洞的信息已提供给“开放手机联盟”(Open Handset Alliance) 成员，并且 Android 开源项目中提供了相应的修复程序。为了提高安全性，搭载更低版本 Android 的某些设备可能也会包含这些修复程序。

Every Android release includes dozens of security enhancements to protect users. The following are some of the security enhancements available in Android 4.3:

  • Android sandbox reinforced with SELinux. This release strengthens the Android sandbox using the SELinux mandatory access control system (MAC) in the Linux kernel. SELinux reinforcement is invisible to users and developers, and adds robustness to the existing Android security model while maintaining compatibility with existing apps. To ensure continued compatibility this release allows the use of SELinux in a permissive mode. This mode logs any policy violations, but will not break apps or affect system behavior.
  • No setuid or setgid programs. Added support for filesystem capabilities to Android system files and removed all setuid or setgid programs. This reduces root attack surface and the likelihood of potential security vulnerabilities.
  • ADB authentication. Starting in Android 4.2.2, connections to ADB are authenticated with an RSA keypair. This prevents unauthorized use of ADB where the attacker has physical access to a device.
  • Restrict Setuid from Android Apps. The /system partition is now mounted nosuid for zygote-spawned processes, preventing Android apps from executing setuid programs. This reduces root attack surface and the likelihood of potential security vulnerabilities.
  • Capability bounding. Android zygote and ADB now use prctl(PR_CAPBSET_DROP) to drop unnecessary capabilities prior to executing apps. This prevents Android apps and apps launched from the shell from acquiring privileged capabilities.
  • AndroidKeyStore Provider. Android now has a keystore provider that allows apps to create exclusive use keys. This provides apps with an API to create or store private keys that cannot be used by other apps.
  • KeyChain isBoundKeyAlgorithm. Keychain API now provides a method (isBoundKeyType) that allows apps to confirm that system-wide keys are bound to a hardware root of trust for the device. This provides a place to create or store private keys that can't be exported off the device, even in the event of a root compromise.
  • NO_NEW_PRIVS. Android zygote now uses prctl(PR_SET_NO_NEW_PRIVS) to block addition of new privileges prior to execution app code. This prevents Android apps from performing operations that can elevate privileges through execve. (This requires Linux kernel version 3.5 or greater).
  • FORTIFY_SOURCE enhancements. Enabled FORTIFY_SOURCE on Android x86 and MIPS and fortified strchr(), strrchr(), strlen(), and umask() calls. This can detect potential memory corruption vulnerabilities or unterminated string constants.
  • Relocation protections. Enabled read only relocations (relro) for statically linked executables and removed all text relocations in Android code. This provides defense in depth against potential memory corruption vulnerabilities.
  • Improved EntropyMixer. EntropyMixer now writes entropy at shutdown or reboot, in addition to periodic mixing. This allows retention of all entropy generated while devices are powered on, and is especially useful for devices that are rebooted immediately after provisioning.
  • Security fixes. Android 4.3 also includes fixes for Android-specific vulnerabilities. Information about these vulnerabilities has been provided to Open Handset Alliance members and fixes are available in Android Open Source Project. To improve security, some devices with earlier versions of Android may also include these fixes.

Android proporciona un modelo de seguridad de varias capas que se describe en la Descripción general de seguridad de Android. Cada actualización de Android incluye docenas de mejoras de seguridad para proteger a los usuarios. A continuación, se muestran algunas de las mejoras de seguridad que se introdujeron en Android 4.2:

  • Verificación de apps: Los usuarios pueden habilitar la función Verificar aplicaciones y hacer que las apps sean revisadas por un verificador de apps antes de la instalación. La verificación de aplicaciones puede alertar al usuario si intenta instalar una app que puede ser dañina. Si una app es particularmente mala, puede bloquear su instalación.
  • Mayor control de los SMS premium: Android proporciona una notificación si una app intenta enviar SMS a un código corto que usa servicios premium que pueden generar cargos adicionales. El usuario puede elegir si desea permitir que la app envíe el mensaje o bloquearlo.
  • VPN siempre activada: La VPN se puede configurar para que las apps no tengan acceso a la red hasta que se establezca una conexión VPN. De esta manera, se evita que las apps envíen datos a través de otras redes.
  • Fijación de certificados: Las bibliotecas principales de Android ahora admiten la fijación de certificados. Los dominios fijados reciben un error de validación de certificado si el certificado no se encadena a un conjunto de certificados esperados. Esto brinda protección contra posibles compromisos de las autoridades certificadoras.
  • Visualización mejorada de los permisos de Android: Los permisos se organizan en grupos que los usuarios pueden comprender más fácilmente. Durante la revisión de los permisos, el usuario puede hacer clic en el permiso para ver información más detallada.
  • Endurecimiento de installd: El daemon installd no se ejecuta como usuario raíz, lo que reduce la superficie de ataque potencial para la elevación de privilegios raíz.
  • Endurecimiento de la secuencia de comandos init: Ahora, las secuencias de comandos init aplican la semántica O_NOFOLLOW para evitar ataques relacionados con symlink.
  • FORTIFY_SOURCE: Android ahora implementa FORTIFY_SOURCE. Esto lo utilizan las bibliotecas y apps del sistema para evitar daños en la memoria.
  • Configuración predeterminada de ContentProvider: Las apps que se orientan al nivel de API 17 tienen export establecido en false de forma predeterminada para cada ContentProvider, lo que reduce la superficie de ataque predeterminada para las apps.
  • Criptografía: Se modificaron las implementaciones predeterminadas de SecureRandom y Cipher.RSA para usar OpenSSL. Se agregó compatibilidad con SSL Socket para TLSv1.1 y TLSv1.2 mediante OpenSSL 1.0.1.
  • Correcciones de seguridad: Las bibliotecas de código abierto actualizadas con correcciones de seguridad incluyen WebKit, libpng, OpenSSL y LibXML. Android 4.2 también incluye correcciones para vulnerabilidades específicas de Android. Los miembros de Open Handset Alliance recibieron información acerca de estas vulnerabilidades y las correcciones están disponibles en el Proyecto de código abierto de Android. Para mejorar la seguridad, es posible que algunos dispositivos con versiones anteriores de Android también incluyan estas correcciones.

Android 提供了一个多层安全模型，Android 安全性概述中对该模型进行了介绍。每个 Android 更新版本中都包含数十项用于保护用户的安全增强功能。以下是 Android 1.5 至 4.1 版中引入的一些安全增强功能：

Android 1.5
  • ProPolice：旨在防止堆栈缓冲区溢出 (-fstack-protector)
  • safe_iop：旨在减少整数溢出
  • OpenBSD dlmalloc 的扩展程序：旨在防范 double free() 漏洞和连续块攻击。连续块攻击是利用堆损坏的常见攻击方式。
  • OpenBSD calloc：旨在防止在内存分配期间发生整数溢出
Android 2.3
  • 格式化字符串漏洞防护功能 (-Wformat-security -Werror=format-security)
  • 基于硬件的 No eXecute (NX)：旨在防止在堆栈和堆上执行代码
  • Linux mmap_min_addr：旨在降低空指针解引用提权风险（在 Android 4.1 中得到了进一步增强）
Android 4.0
地址空间布局随机化 (ASLR)：旨在随机排列内存中的关键位置
Android 4.1
  • PIE（位置无关可执行文件）支持
  • 只读重定位/立即绑定 (-Wl,-z,relro -Wl,-z,now)
  • 启用了 dmesg_restrict（避免内核地址泄露）
  • 启用了 kptr_restrict（避免内核地址泄露）