如今，Nougat 已經(jīng)開始部署，我們想簡要回顧一下這些更新并重點(diǎn)介紹幾項(xiàng)新的改進(jìn)。

直接啟動(dòng)和加密

在之前的 Android 版本中，在啟動(dòng)過程中，默認(rèn)情況下，使用加密設(shè)備的用戶必須輸入自己的 PIN 碼/圖案/密碼對(duì)存儲(chǔ)區(qū)進(jìn)行解密并完成啟動(dòng)。在 Android 7.0 Nougat 中，我們更新了底層加密方案并精簡了啟動(dòng)過程，從而加快手機(jī)的重啟。目前，手機(jī)的主要功能（例如電話應(yīng)用和鬧鐘），在未鍵入 PIN 碼之前便已準(zhǔn)備就緒，這樣，人們可以打電話給您，鬧鐘可以喚醒您。我們將這項(xiàng)功能稱之為直接啟動(dòng)。

從底層技術(shù)來講，基于文件的加密實(shí)現(xiàn)了這項(xiàng)用戶體驗(yàn)的改進(jìn)。通過這種新的加密方案，系統(tǒng)存儲(chǔ)區(qū)以及每一個(gè)用戶配置文件存儲(chǔ)區(qū)都是單獨(dú)加密的。與將所有數(shù)據(jù)整體加密的全盤加密不同，采用基于配置文件的加密，系統(tǒng)只需使用設(shè)備密鑰即可正常重啟進(jìn)入正常運(yùn)行狀態(tài)。基本應(yīng)用可以選擇重新啟動(dòng)之后以受限狀態(tài)運(yùn)行，當(dāng)您輸入鎖屏憑據(jù)之后，這些應(yīng)用可以訪問您的用戶數(shù)據(jù)，以提供完整的功能。

基于文件的加密方案對(duì)數(shù)據(jù)進(jìn)行更精細(xì)的加密，從而更好地隔離和保護(hù)設(shè)備上的各個(gè)用戶和配置文件。每個(gè)配置文件使用唯一密鑰進(jìn)行加密，只能通過 PIN 碼或密碼解鎖，因此，您的數(shù)據(jù)只能由您來解密。

整個(gè) Android 生態(tài)系統(tǒng)對(duì)加密的支持也越來越給力。從 Marshmallow 開始，要求所有有條件的設(shè)備都支持加密。許多設(shè)備（如 Nexus 5X 和 6P）也使用只有通過受信任硬件（如 ARM TrustZone）才能訪問的唯一密鑰。如今，使用 7.0 Nougat，所有有條件的新 Android 設(shè)備也必須能夠?yàn)槊荑€存儲(chǔ)提供這種硬件支持，從而提供強(qiáng)力保護(hù)，只有通過鎖屏憑據(jù)驗(yàn)證后，才可以使用這些密鑰。這樣，您所有的數(shù)據(jù)都只能在本機(jī)解密，而且只能由您來解密。 

媒體棧和平臺(tái)加固

在 Android Nougat 中，我們已加固并重新設(shè)計(jì)了媒體服務(wù)器，媒體服務(wù)器是處理不信任輸入的主要系統(tǒng)服務(wù)之一。

首先，通過合并整型溢出處理（為 Clang 的 UndefinedBehaviorSanitizer 的一部分），我們封堵了一整類漏洞，大多數(shù)已報(bào)告的 libstagefright 錯(cuò)誤均屬此列。一旦檢測到整型溢出，我們就關(guān)閉該進(jìn)程，從而阻止攻擊。其次，我們對(duì)媒體棧進(jìn)行了模塊化，將不同組件分別放入不同的沙盒中，同時(shí)限制每個(gè)沙盒只具有執(zhí)行其功能所需的最低權(quán)限。通過這種遏制技術(shù)，攻擊者通過侵入媒體棧眾多區(qū)域中的某一處所獲得的訪問權(quán)限相比以前大大減少了，暴露的內(nèi)核攻擊面也隨之顯著減少。
除了加固媒體服務(wù)器之外，我們還為平臺(tái)增加了大量保護(hù)功能，包括： 

• 驗(yàn)證啟動(dòng)：目前，嚴(yán)格執(zhí)行驗(yàn)證啟動(dòng)以阻止遭到入侵的設(shè)備啟動(dòng)；它支持糾錯(cuò)功能，從而減少了非惡意數(shù)據(jù)的損壞，提升了可靠性。

• SELinux：更新了 SELinux 配置，擴(kuò)大了 Seccomp 作用范圍，從而進(jìn)一步鎖定應(yīng)用沙盒，減少攻擊面。

• 庫加載順序隨機(jī)化和改進(jìn)的 ASLR：增大隨機(jī)性降低了某些代碼重用攻擊的有效性。

• 內(nèi)核加固：通過將內(nèi)核內(nèi)存部分標(biāo)記為只讀、限制內(nèi)核訪問用戶空間地址以及進(jìn)一步減少現(xiàn)有攻擊面，為新內(nèi)核提供額外的內(nèi)存保護(hù)。

• APK 簽名方案 v2：引入全文簽名方案，可提高驗(yàn)證速度和加強(qiáng)完整性保證。

應(yīng)用安全性改進(jìn)

Android Nougat 是供應(yīng)用開發(fā)者使用的最安全、最簡單的 Android 版本。 

• 現(xiàn)在，希望與其他應(yīng)用共享數(shù)據(jù)的應(yīng)用必須通過內(nèi)容提供程序（如FileProvider）來提供文件，從而顯式加入共享。對(duì)于 API 級(jí)別 24 以上的應(yīng)用，應(yīng)用私有目錄（通常為 /data/data/）的 Linux 權(quán)限現(xiàn)在設(shè)置為 0700。

• 為了使應(yīng)用更容易控制對(duì)其安全網(wǎng)絡(luò)流量的訪問，對(duì)于 API 級(jí)別 24 以上的應(yīng)用，由用戶安裝的證書頒發(fā)機(jī)構(gòu)以及通過 Device Admin API 安裝的證書頒發(fā)機(jī)構(gòu)在默認(rèn)情況下不再受信任。此外，所有新的 Android 設(shè)備必須出廠時(shí)配置相同的受信任 CA 存儲(chǔ)。

• 借助網(wǎng)絡(luò)安全性配置，開發(fā)者可以通過聲明式配置文件更輕松地配置網(wǎng)絡(luò)安全策略。其中包括阻止明文通信、配置一組受信任的 CA 和證書，以及設(shè)置一個(gè)獨(dú)立的調(diào)試配置。

我們還會(huì)繼續(xù)完善應(yīng)用權(quán)限和功能，以防止您遭受潛在的有害應(yīng)用的危害。 

• 為了加強(qiáng)設(shè)備的隱私保護(hù)，我們已經(jīng)進(jìn)一步限制和取消對(duì)永久性設(shè)備標(biāo)識(shí)符（如 MAC 地址）的訪問。

• 權(quán)限對(duì)話框上不會(huì)再重疊顯示用戶界面。有些應(yīng)用使用這種“點(diǎn)擊劫持”技術(shù)，試圖非法獲取權(quán)限。

• 我們已經(jīng)降低了設(shè)備管理應(yīng)用的權(quán)限，如果您已設(shè)置鎖屏保護(hù)，該應(yīng)用將無法再改變您的鎖屏設(shè)置；如有禁用請(qǐng)求，將不再通過 onDisableRequested() 通知設(shè)備管理應(yīng)用。以上是某些劫持軟件用來控制設(shè)備的手段。

系統(tǒng)更新

最后，我們大幅增強(qiáng)了 OTA 更新系統(tǒng)，讓您的設(shè)備始終擁有最新的系統(tǒng)軟件和安全補(bǔ)丁，從而更輕松地保持最新狀態(tài)。我們加快了 OTA 安裝速度，縮小了 OTA 安全更新文件的大小。您不必再等待應(yīng)用優(yōu)化步驟，這是更新過程中最慢的步驟之一，因?yàn)樾碌?JIT 編譯器已經(jīng)進(jìn)行了優(yōu)化，使安裝和更新快如閃電。 

對(duì)于已更新固件、運(yùn)行 Nougat 的新 Android 設(shè)備，更新體驗(yàn)甚至更快。就像 Chromebook 一樣，更新將在后臺(tái)執(zhí)行，設(shè)備仍繼續(xù)正常運(yùn)行。這些更新應(yīng)用于不同的系統(tǒng)分區(qū)，當(dāng)您重新啟動(dòng)時(shí)，它會(huì)無縫切換到運(yùn)行新系統(tǒng)軟件版本的新分區(qū)。 

我們正在不斷努力加強(qiáng) Android 的安全性，Android Nougat 在安全性方面實(shí)現(xiàn)了全方位的顯著改善。我們一如既往地感謝您對(duì)我們工作的反饋，歡迎就改進(jìn) Android 提供寶貴建議。請(qǐng)通過security@android.com 聯(lián)系我們。 

本文轉(zhuǎn)自

>>查看更多關(guān)于安卓應(yīng)用、移動(dòng)開發(fā)熱門資訊！<<