Tamic
http://www.reibang.com/users/3bbb1ddf4fd5/latest_articles
今年夏天以來，Google做了多種增強(qiáng)的安全性在Android的7.0Nougat：更加注重安全性與他們提出的漏洞獎勵計(jì)劃
，一個開機(jī)新的直接引導(dǎo)模式孩哑，重新架構(gòu)的MediaServer和硬化介質(zhì)疊奥裸，被保護(hù)的應(yīng)用程序意外的回歸為明文傳輸忍啸，更新了Android處理方法可信證書頒發(fā)機(jī)構(gòu)，嚴(yán)格執(zhí)行開機(jī)驗(yàn)證啟動糾錯和更新Linux內(nèi)核，以減少攻擊面胆描，增加內(nèi)存保護(hù)。
現(xiàn)在仗阅，Android7.0已經(jīng)開始推出昌讲，并希望在一個個單一的回顧下這些更新，并增強(qiáng)了一些新的改進(jìn)减噪。
直接引導(dǎo)和加密
在Android的早期版本中短绸，用戶的加密設(shè)備將在默認(rèn)情況下在引導(dǎo)過程中輸入自己的PIN /模式/密碼车吹，解密他們的存儲區(qū)域，完成引導(dǎo)醋闭。
Android 7.0牛軋?zhí)钦裕铝说讓蛹用芊桨福⒑喕耸謾C(jī)啟動過程证逻，以加快重新啟動用戶的手機(jī)乐埠。
現(xiàn)在，手機(jī)的普通功能囚企，假設(shè)喜歡這款手機(jī)的某個應(yīng)用程序丈咐，在你設(shè)置鬧鐘之前你必須甚至輸入PIN碼，所以只有自己設(shè)置的鬧鐘可以喚醒你龙宏。
我們把這種功能直接引導(dǎo)引擎下棵逊，基于文件的加密后使得用戶有更好的體驗(yàn)。
用這種新的加密方案银酗，在系統(tǒng)的存儲區(qū)域辆影，以及每個用戶配置文件的存儲區(qū)域，都分別進(jìn)行了加密黍特。
不像以前全局加密秸歧，其中所有的數(shù)據(jù)都被加密為一個單元數(shù)據(jù)，每個信息為基礎(chǔ)的加密使系統(tǒng)正常重新引導(dǎo)到僅使用設(shè)備密鑰的功能狀態(tài)衅澈。
基本的應(yīng)用程序可以選擇加入重啟后在有限的狀態(tài)下運(yùn)行键菱，當(dāng)你輸入你的鎖屏界面的憑證（密碼 指紋 人臉等），這些應(yīng)用程序得到訪問用戶數(shù)據(jù)今布，以提供完整的功能经备。
基于文件的加密得到了更好地分離，并通過在更細(xì)的粒度對數(shù)據(jù)進(jìn)行加密部默，用來保護(hù)設(shè)備上個人用戶信息和配置文件侵蒙。每個配置文件使用一個唯一的密鑰，只能通過PIN或密碼解鎖傅蹂，讓您的數(shù)據(jù)只能由你來解密加密纷闺。
加密支持越來越整個Android生態(tài)系統(tǒng)更強(qiáng)大，并且與棉花糖開始份蝴，要求所有的設(shè)備犁功，以便支持加密。許多設(shè)備婚夫，如Nexus 5X和6P還采用獨(dú)特的鍵是只與可信硬件訪問浸卦，如ARM的TrustZone。
現(xiàn)在用7.0牛軋?zhí)前覆冢行碌腁ndr??oid設(shè)備也必須有這樣的硬件支持的密鑰存儲和驗(yàn)證您的鎖屏界面的憑證限嫌，提供強(qiáng)有力的保障靴庆。這樣一來，所有的數(shù)據(jù)只可以在精確的設(shè)備上解密怒医，并只能由你解鎖炉抒。
媒體協(xié)議棧和平臺硬化
在Android的7.0，Google都做了加固稚叹，重新設(shè)計(jì)了 的MediaServer端礼，Ta是處理不受信任的輸入主系統(tǒng)服務(wù)之一。
首先入录，通過引入整數(shù)溢來出消除全局漏洞的一分UndefinedBehaviorSanitizer蛤奥，為了防止一整個類漏洞，其中包括大多數(shù)報道libstagefright錯誤的僚稿。一旦檢測到整數(shù)溢出凡桥，就會關(guān)閉收到的攻擊 這個進(jìn)程。
其次蚀同，模塊化媒體堆棧將不同組件集成到單個沙箱和收緊每個沙箱的權(quán)限缅刽，并包括執(zhí)行其工作所需的最低權(quán)限。有了這個技術(shù)限制蠢络，在棧上許多地方的限制了用的較少的權(quán)限和明顯減少暴露的內(nèi)核攻擊面的訪問權(quán)限衰猛。
除了硬化媒體服務(wù)器，谷歌添加了保護(hù)的機(jī)制刹孔，包括以下方面：
驗(yàn)證啟動：開機(jī)驗(yàn)證現(xiàn)在是嚴(yán)格執(zhí)行啡省，以防止設(shè)備受損的引導(dǎo);
它支持糾錯，提高對非惡意數(shù)據(jù)破壞的可靠性髓霞。SELinux的：更新的SELinux配置卦睹，提高覆蓋面的Seccomp進(jìn)一步鎖定了應(yīng)用程序沙箱，并減少攻擊面方库。
庫加載順序隨機(jī)化和提高ASLR：增加隨機(jī)性使得一些代碼重用的攻擊不可靠结序。
內(nèi)核硬化：通過增加了新的內(nèi)核額外的內(nèi)存保護(hù)
標(biāo)志的內(nèi)核內(nèi)存部分為只讀，限制訪問內(nèi)核到用戶空間的地址纵潦，并進(jìn)一步降低現(xiàn)有的攻擊面徐鹤。
APK簽名2.0方案：引入了一個提高整個文件簽名驗(yàn)證速度，并加強(qiáng)誠信保證邀层。
應(yīng)用程序安全性改進(jìn)
Android的7.0是Android的最安全和最簡單的版本返敬，應(yīng)用程序開發(fā)者使用。
那現(xiàn)在要與其他應(yīng)用程序數(shù)據(jù)的應(yīng)用程序必須明確禁止在通過一個提供其文件[內(nèi)容提供商(https://developer.android.com/guide/topics/providers/content-providers.html?utm_campaign=android_discussion_security_090616&utm_source=anddev&utm_medium=blog)
被济，像FileProvider救赐。該應(yīng)用程序私有目錄（通常是/數(shù)據(jù)/數(shù)據(jù)/）現(xiàn)在設(shè)置為應(yīng)用定位API等級24+的Linux許可0700涧团。為了更方便的應(yīng)用程序來控制訪問他們的安全網(wǎng)絡(luò)流量只磷，用戶安裝的證書頒發(fā)機(jī)構(gòu)经磅，并通過設(shè)備管理API的安裝的那些被默認(rèn)不再信任為應(yīng)用定位API級別24+。
此外钮追，所有新的Android設(shè)備必須與船同信任的CA存儲预厌。隨著網(wǎng)絡(luò)安全配置，開發(fā)人員可以更輕松地通過聲明配置文件來配置網(wǎng)絡(luò)安全策略元媚。這包括阻止明文交通轧叽，配置集信任的CA和證書，并建立一個獨(dú)立的調(diào)試配置刊棕。
我們還繼續(xù)完善的應(yīng)用權(quán)限和能力來保護(hù)您免受潛在惡意應(yīng)用炭晒。為了提高設(shè)備的隱私，Android7.0已經(jīng)進(jìn)一步限制和刪除訪問持久性設(shè)備標(biāo)識符甥角，例如MAC地址网严。
用戶界面覆蓋可以不再權(quán)限對話框的頂部顯示。使用某些應(yīng)用程序這種“點(diǎn)擊劫持”技術(shù)嗤无，以試圖獲得不當(dāng)權(quán)限震束。
谷歌已經(jīng)降低了設(shè)備管理應(yīng)用程序的能力，使他們再也不能改變你的鎖屏当犯，如果你有一個鎖屏設(shè)置和設(shè)備管理將不再被通知即將通過禁用onDisableRequested（） 垢村。
這些都是被一些強(qiáng)制來獲得設(shè)備的控制策略。
系統(tǒng)更新
最后嚎卫，谷歌已經(jīng)取得了明顯增強(qiáng)了OTA更新系統(tǒng)使用最新的系統(tǒng)軟件和安全補(bǔ)丁嘉栓，以便將最新的更新很容易的更新到我們的設(shè)備上。
7.0縮短了的安裝時間拓诸，在線上網(wǎng)社交更快胸懈，安全更新的OT內(nèi)存大小更小。
您不必再等待優(yōu)化應(yīng)用程式的那一步恰响，因?yàn)檫@是更新過程中最慢的部分之一趣钱，因?yàn)樾碌腏IT編譯器已經(jīng)被優(yōu)化，使安裝和更新快如閃電胚宦。更新的目的是更快的運(yùn)行與7.0 ：Nougat的固件更新到新的Andr??oid設(shè)備首有。
就像他們的Chromebook用做更新在后臺，而該設(shè)備會繼續(xù)再前臺正常運(yùn)行的應(yīng)用枢劝。這些更新應(yīng)用到將部署到不同的系統(tǒng)分區(qū)井联，當(dāng)你重新啟動，它會無縫地切換到運(yùn)行新的系統(tǒng)軟件版本您旁，新的分區(qū)烙常。
