Evolución de la seguridad de Android

Mejoras de seguridad significativas de las versiones principales recientes de Android, a partir de Android 5.0 Lollipop (API 21).

Android 5.0 (API 21) - Lollipop

Mejoras de seguridad - Android 5

• A partir de agosto de 2023, las actualizaciones de Google Play Services solo se recibirán desde esta versión de Android; consulte Google Play services dejará de proporcionar actualizaciones para KitKat (niveles de API 19 y 20) a partir de agosto de 2023
• Cifrado de disco completo (FDE) de forma predeterminada (los fabricantes aún pueden optar por no usarlo); consulte Cifrado y Mejoras de seguridad en Android 5.0
• SELinux totalmente aplicado; consulte Mejoras de seguridad en Android 5.0
• WebView es un paquete separado; consulte Mejoras de seguridad en Android 5.0 y El WebView actualizable en Android 5.0 Lollipop: ¿qué es y por qué debería importarte?

Android 6 (API 23) - Marshmallow

Mejoras de seguridad en Android 6

• La API de Keystore se amplió significativamente (primitivas criptográficas simétricas, soporte de AES y HMAC y sistema de control de acceso para claves respaldadas por hardware); consulte Keystore respaldado por hardware
• TEE es un requisito; consulte Keystore respaldado por hardware y Sección 7.3.10. Sensor de huellas dactilares de la Definición de compatibilidad de Android 6.0
• Nueva API (isInsideSecureHardware) para comprobar si una clave de KeyStore está almacenada en hardware seguro (por ejemplo, Entorno de ejecución de confianza (TEE) o Elemento seguro (SE)); consulte método isInsideSecureHardware de KeyInfo
• Las aplicaciones deben solicitar permisos en tiempo de ejecución; consulte Sección de permisos en tiempo de ejecución de Cambios de Android 6.0, Solicitar permisos en tiempo de ejecución y Mejoras de seguridad en Android 6.0
• SELinux más restrictivo (filtrado de IOCTL, endurecimiento de dominios de SELinux, etc.); consulte Security-Enhanced Linux en Android y Mejoras de seguridad en Android 6.0

Android 7 (API 24) - Nougat

Mejoras de seguridad - Android 7

• Almacenes de confianza de certificados de Usuario y Sistema separados, lo que significa que los ataques de Hombre en el medio básicamente requieren acceso root a partir de este punto; consulte Cambios en las autoridades certificadoras de confianza en Android Nougat
• Se agregó soporte para Network Security Config para que las aplicaciones puedan personalizar el comportamiento de sus conexiones seguras (HTTPS, TLS) de una manera declarativa simple, sin modificar código. Admite anclas de confianza personalizadas (qué autoridades certificadoras (CA) son de confianza para la aplicación), anulaciones solo para depuración, exclusión del tráfico en claro y fijación de certificados (limitar qué claves de servidor son de confianza); consulte Sección de Network Security Config de Android 7.0 para desarrolladores
• De forma predeterminada, las aplicaciones orientadas a Android 7.0 solo confían en los certificados proporcionados por el sistema y ya no confían en las autoridades certificadoras (CA) agregadas por el usuario, incluso sin una Network Security Config personalizada; consulte Autoridad certificadora de confianza predeterminada de Android 7.0 para desarrolladores
• Actualización a Keymaster 2 con soporte para atestación de claves y vinculación de versión (evita retroceder a una versión antigua no segura sin perder claves); consulte Sección de atestación de claves de Android 7.0 para desarrolladores, Funciones de Keymaster, Verificación de pares de claves respaldados por hardware con atestación de claves y Atestación de claves e ID
• Se introdujo el Cifrado basado en archivos (FBE), pero su implementación es opcional por parte de los fabricantes; consulte Sección de arranque directo de Android 7.0 para desarrolladores, Soporte del modo de arranque directo y Cifrado
• Configuración de SELinux actualizada: mayor endurecimiento del sandbox de aplicaciones, división de la pila de mediaserver en procesos más pequeños con permisos reducidos (mitigación para Stagefright); consulte Security-Enhanced Linux en Android

Android 8 (API 26) - Oreo

Mejoras de seguridad - Android 8