Évolution de la sécurité Android

Améliorations de sécurité notables des principales versions récentes d'Android, à commencer par Android 5.0 Lollipop (API 21).

Android 5.0 (API 21) - Lollipop

Améliorations de la sécurité - Android 5

• À partir d'août 2023, les mises à jour de Google Play Services ne seront plus reçues que sur cette version d'Android, voir Google Play services cessera de fournir des mises à jour pour KitKat (niveaux d'API 19 et 20) à partir d'août 2023
• Chiffrement de disque complet (FDE) par défaut (les fabricants peuvent toujours s'en désengager), voir Chiffrement et Améliorations de la sécurité dans Android 5.0
• SELinux entièrement appliqué, voir Améliorations de la sécurité dans Android 5.0
• WebView est un package séparé, voir Améliorations de la sécurité dans Android 5.0 et Le WebView actualisable sur Android 5.0 Lollipop : qu'est-ce que c'est et pourquoi devriez-vous vous en soucier ?

Android 6 (API 23) - Marshmallow

Améliorations de la sécurité dans Android 6

• L'API Keystore a été considérablement étendue (primitives cryptographiques symétriques, prise en charge d'AES et d'HMAC et système de contrôle d'accès pour les clés adossées au matériel), voir Keystore adossé au matériel
• Le TEE est une exigence, voir Keystore adossé au matériel et Section 7.3.10 Capteur d'empreintes digitales du document de définition de compatibilité Android 6.0
• Nouvelle API (isInsideSecureHardware) pour vérifier si une clé KeyStore est stockée dans du matériel sécurisé (par ex., Environnement d'exécution de confiance (TEE) ou élément sécurisé (SE)), voir méthode isInsideSecureHardware de KeyInfo
• Les applications doivent demander les autorisations au moment de l'exécution, voir section Autorisations au moment de l'exécution des Changements d'Android 6.0 et Demander des autorisations au moment de l'exécution et Améliorations de la sécurité dans Android 6.0
• SELinux plus restrictif (filtrage des IOCTL, durcissement des domaines SELinux, etc.), voir Linux à sécurité renforcée dans Android et Améliorations de la sécurité dans Android 6.0

Android 7 (API 24) - Nougat

Améliorations de la sécurité - Android 7

• Magasin de certificats de confiance séparé pour l'utilisateur et le système, ce qui signifie que les attaques de type Man-in-the-Middle nécessitent désormais un accès root, voir Changements concernant les autorités de certification de confiance dans Android Nougat
• Ajout de la prise en charge de la Configuration de sécurité réseau afin que les applications puissent personnaliser le comportement de leurs connexions sécurisées (HTTPS, TLS) de manière déclarative simple, sans modification de code. Elle prend en charge les ancres de confiance personnalisées (quelles autorités de certification (CA) l'application approuve), les dérogations réservées au débogage, la désactivation du trafic en clair et l'épinglage de certificats (limitant les clés serveur approuvées), voir section Configuration de sécurité réseau d'Android 7.0 pour les développeurs
• Par défaut, les applications ciblant Android 7.0 ne font confiance qu'aux certificats fournis par le système et ne font plus confiance aux autorités de certification (CA) ajoutées par l'utilisateur, même sans Configuration de sécurité réseau personnalisée, voir Autorité de certification de confiance par défaut d'Android 7.0 pour les développeurs
• Mise à jour vers Keymaster 2 avec prise en charge de l'Attestation de clé et liaison de version (empêchant le retour à une ancienne version non sécurisée sans perdre les clés), voir section Attestation de clé d'Android 7.0 pour les développeurs et Fonctions Keymaster et Vérification des paires de clés adossées au matériel avec l'attestation de clé et

Android 8 (API 26) - Oreo

Améliorations de la sécurité - Android 8

• L'évaluation JavaScript s'exécute dans un processus séparé dans WebView, de sorte que le code JavaScript ne peut pas accéder aussi facilement à la mémoire de l'application, voir Quoi de neuf dans la sécurité WebView et section Sécurité des Changements de comportement d'Android 8.0 pour toutes les applications
• WebView respecte la Configuration de sécurité réseau et l'indicateur cleartextTrafficPermitted (sur les anciennes versions d'Android, il charge les sites HTTP même si le trafic en clair ne devrait pas être autorisé par la configuration), voir section Sécurité des Changements de comportement d'Android 8.0 pour les applications ciblant Android 8.0
• API Safe Browsing ajoutée à WebView afin que les utilisateurs soient avertis lorsqu'ils tentent de naviguer vers un site potentiellement dangereux (vérifié par Google Safe Browsing) si elle est activée, voir section API WebView des Fonctionnalités et API d'Android 8.0
• L'indicateur FLAG_SECURE de la Window est mieux pris en charge et interdit la capture d'écran de l'écran où il est défini

Android 9 (API 28) - Pie

Notes de version d'Android 9 - Fonctionnalités de sécurité

• Trafic réseau en clair (HTTP) désactivé par défaut ; les applications doivent explicitement définir cleartextTrafficPermitted sur true dans leur Configuration de sécurité réseau si elles souhaitent continuer à l'utiliser (non recommandé), voir Réseau TLS activé par défaut, section Changements de comportement : applications ciblant le niveau d'API 28+ et Android : trafic HTTP en clair non autorisé sous Android 9
• Mise à jour vers Keymaster 4 avec prise en charge du chiffrement 3DES et de l'importation sécurisée de clés, voir Keystore adossé au matériel et Fonctions Keymaster
• Remplacement de nombreuses implémentations BouncyCastle d'algorithmes cryptographiques par celles de Conscrypt, voir Implémentations Conscrypt des paramètres et algorithmes, section Changements de comportement d'Android 9 : toutes les applications
• Ajout de la prise en charge de l'élément sécurisé (SE) intégré, voir section Service d'élément sécurisé (SE) des notes de version d'Android 9 et Test CTS pour l'élément sécurisé
• Le chiffrement du disque (soit le Chiffrement de disque complet (FDE), soit le Chiffrement par fichier (FBE)) est obligatoire pour tous les appareils (commercialisés avec cette version)

Android 10 (API 29) - Quince Tart

Améliorations de la sécurité - Android 10

Notes de version d'Android 10 - Fonctionnalités de sécurité

• Accès aux fichiers désactivé par défaut dans WebView, voir méthode setAllowFileAccess de WebSettings
• TLS 1.3 devient disponible et activé par défaut, voir TLS 1.3 activé par défaut, section Changements de comportement d'Android 10 : toutes les applications
• Les certificats signés avec SHA-1 ne sont plus approuvés dans TLS
• Les applications en arrière-plan ne peuvent plus lancer d'autres Activités (par ex., d'autres applications), voir section Lancement d'applications en arrière-plan des notes de version d'Android 10 et section Restrictions des activités en arrière-plan des Améliorations de la sécurité et de la confidentialité dans Android 10
• Le Chiffrement par fichier (FBE) est obligatoire pour les appareils commercialisés avec cette version d'Android (les appareils mis à jour vers celle-ci peuvent continuer à utiliser le Chiffrement de disque complet (FDE)), voir Chiffrement
• Seule l'application méthode de saisie (IME) par défaut peut accéder aux données du presse-papiers en arrière-plan, voir section Accès limité aux données du presse-papiers des Changements de confidentialité dans Android 10 et section Données du presse-papiers des Améliorations de la sécurité et de la confidentialité dans Android 10
• L'exploit StrandHogg 2.0 () n'est plus possible (un correctif pour cette vulnérabilité est également rétroporté vers , et avec la — si le fabricant a publié la mise à jour pour un appareil), voir et et

Android 11 (API 30) - Red Velvet Cake

Notes de version d'Android 11 - Sécurité

• L'exploit de détournement de tâche (StrandHogg 1.0) (lorsqu'une autre application définit son taskAffinity sur la même valeur que l'application cible pour tromper l'utilisateur et lui faire lancer cette application même s'il avait l'intention de lancer l'application cible et d'utiliser son icône légitime) n'est plus possible, voir Attaque StrandHogg / vulnérabilité d'affinité de tâche et Vulnérabilité Strandhogg
• Par défaut, les applications ne peuvent plus interroger d'informations sur les autres applications installées, voir Filtrage de la visibilité des packages sur Android et Visibilité des packages dans Android 11
• Réinitialisation automatique des autorisations au moment de l'exécution pour les applications inutilisées, voir section Réinitialisation automatique des autorisations des applications inutilisées des Mises à jour des autorisations dans Android 11 et section Réinitialisation automatique des autorisations des applications inutilisées de Demander des autorisations au moment de l'exécution
• Stockage limité (Scoped Storage) introduit, mais les applications peuvent toujours s'en désengager via requestLegacyExternalStorage, voir Mises à jour du stockage dans Android 11 et section Désengagement dans votre application de production des Cas d'utilisation et bonnes pratiques du stockage Android
• Ajout d'un authentificateur autonome (pas seulement comme solution de secours) (code PIN, schéma ou mot de passe) à

Android 12 (API 31) - Snow ConeAméliorations de sécurité - Android 12

Notes de version d'Android 12

• Le drapeau android:exported doit être défini explicitement dans les Manifestes pour les composants (Activities, Content Providers, etc.) qui déclarent des Intent Filters, voir section Exportation de composants plus sûre des Changements de comportement : applications ciblant Android 12
• Les Intents web génériques sont résolus vers l'application de navigateur par défaut de l'utilisateur sauf si l'application cible est approuvée pour le domaine spécifique contenu dans cet Intent web, voir section Résolution des intents web des Changements de comportement Android 12 : toutes les applications
• Remplacement d'un plus grand nombre d'implémentations BouncyCastle d'algorithmes cryptographiques par celles de Conscrypt, voir section Implémentation BouncyCastle supprimée des Changements de comportement Android 12 : toutes les applications
• L'utilisateur est notifié si une application accède pour la première fois aux données presse-papiers d'une autre application, voir section Notification système affichée lorsque votre application accède aux données du presse-papiers de Copier-coller
• Les applications ne peuvent plus fermer les boîtes de dialogue système, voir section Les applications ne peuvent pas fermer les boîtes de dialogue système des Changements de comportement Android 12 : toutes les applications
• Atténuation du Tapjacking : les applications ne peuvent pas consommer d'événements tactiles lorsqu'un overlay masque l'application, voir Cloak & Dagger
• Le Scoped Storage est toujours appliqué ; il n'est plus possible de s'en exclure via , voir

Android 13 (API 33) - Tiramisu

Améliorations de sécurité - Android 13

Notes de version d'Android 13 - Sécurité

• Les Intents non conformes sont bloqués par les filtres d'Intent (les applications ne peuvent pas envoyer d'Intent vers un composant exporté d'une autre application à moins qu'il ne corresponde entièrement au filtre d'Intent défini par celle-ci), voir section Les intents doivent correspondre aux filtres d'intent déclarés des notes de version d'Android 13 et d'Android 13 QPR
• Seul le chiffrement basé sur les fichiers (FBE) est autorisé ; le chiffrement de disque complet (FDE) ne l'est plus, même pour les appareils mis à jour depuis une version où il était autorisé
• Les UID partagés sont dépréciés. Ils étaient utilisés pour partager l'accès au sandbox entre deux applications ou plus et la possibilité de s'exécuter dans le même processus. Cela pouvait provoquer un comportement non déterministe au sein du gestionnaire de paquets, aussi cette fonctionnalité sera supprimée dans une future version d'Android. Voir Signature d'application
• Prise en charge par Keymaster des primitives cryptographiques symétriques telles que AES (Advanced Encryption Standard), HMAC (Keyed-Hash Message Authentication Code), et des algorithmes cryptographiques asymétriques (y compris Elliptic Curve, RSA2048, RSA4096, et Curve 25519)
• L'autorisation d'exécution POST_NOTIFICATIONS a été ajoutée pour envoyer des notifications non exemptées (y compris les Foreground Services (FGS)) depuis une application, voir Autorisation d'exécution des notifications et android.permission.POST_NOTIFICATIONS
• Les applications ont besoin de l'autorisation d'exécution pour afficher des Toasts lorsqu'elles ne sont pas au premier plan. Il peut être contre-intuitif d'expliquer aux utilisateurs pourquoi l'application a besoin de l'autorisation de publier des notifications s'ils veulent seulement afficher des messages Toast. De plus, les Toasts ne peuvent pas être associés aux . Voir

Android 14 (API 34) - Upside Down Cake

Améliorations de sécurité - Android 14

Notes de version sur la sécurité d'Android 14

• Introduction de l'exigence de targetSdk minimal : les applications ciblant des versions d'Android antérieures à Android 6 (API 23) ne peuvent plus être installées. Cela signifie que vous pouvez supposer que les restrictions de sécurité (notamment la gestion des autorisations d'exécution dans ce cas) introduites avec Android 6 (API 23) s'appliquent désormais à toutes les applications installées sur l'appareil (ce minimum devrait augmenter avec chaque future version d'Android), voir section Niveau d'API cible minimal installable des Changements de comportement : toutes les applications
• Le nom de l'application qui a stocké un fichier multimédia donné est masqué par défaut (sauf si son nom de package est toujours visible pour les autres applications ou si l'application qui l'interroge dispose de l'autorisation QUERY_ALL_PACKAGES - ce qui nécessite un examen manuel spécial du Google Play pour l'obtenir), voir section Les noms de packages propriétaires de médias peuvent être masqués des Changements de comportement : toutes les applications
• Ajout d'une description aux invites d'autorisation de localisation expliquant pourquoi une application pourrait avoir besoin de cette autorisation.
• Améliorations significatives de l'AddressSanitizer assisté par matériel (HWASan), qui avait été introduit dans Android 10 comme outil de détection d'erreurs mémoire similaire à l'AddressSanitizer déprécié qu'il remplace.
• Ajout de la prise en charge du rejet des connexions cellulaires à chiffrement nul, garantissant que le trafic vocal et SMS en commutation de circuits est toujours chiffré et protégé contre l'interception passive par voie hertzienne, voir Android 14 introduit des fonctionnalités de sécurité de connectivité cellulaire inédites

Android 15 (API 35) - Vanilla Ice Cream

Notes de version sur la sécurité d'Android 15

• Les applications ciblant des versions d'Android antérieures à Android 7 (API 24) ne peuvent plus être installées. Cela signifie que vous pouvez supposer que les restrictions de sécurité introduites avec Android 7 (API 24) s'appliquent désormais à toutes les applications installées sur l'appareil, voir section Augmentation de la version minimale du SDK cible de 23 à 24 des Changements de comportement : toutes les applications
• Le système demande désormais une authentification biométrique (si elle est enregistrée) lors du changement du mode USB et du délai d'extinction de l'écran, voir Android 15 vérifiera que c'est bien vous lorsque vous vous connectez à un PC
• Atténuation supplémentaire du détournement de tâches (StrandHogg) : si l'activité supérieure termine une tâche, Android reviendra à la tâche qui était active en dernier. De plus, si une activité non supérieure termine sa tâche, Android reviendra à l'écran d'accueil ; il ne bloquera pas la fin de cette activité non supérieure, voir section Autres changements des Changements de comportement : applications ciblant Android 15 ou version ultérieure
• Atténuation supplémentaire du détournement de tâches (StrandHogg) : des activités arbitraires ne peuvent plus être lancées depuis d'autres applications dans votre propre tâche, voir section Autres changements des Changements de comportement : applications ciblant Android 15 ou version ultérieure
• Atténuation pour les attaquants abusant de PendingIntent mal configurés : les créateurs de PendingIntent bloquent désormais par défaut les lancements d'activités en arrière-plan si votre application cible Android 15 (API 35), voir section Autres changements des Changements de comportement : applications ciblant Android 15 ou version ultérieure
• Par défaut, les applications ne sont plus autorisées à amener la pile de tâches au premier plan, sauf si le créateur du PendingIntent autorise les privilèges de lancement d'activités en arrière-plan ou si l'expéditeur dispose de ces privilèges, si votre application cible Android 15 (API 35), voir

Android 16 (API 36) - Baklava

Notes de version sur la sécurité d'Android 16* Added default security against general Intent redirection attacks, blocking launching Intents received from other apps, e.g. wrapped as an extra to the Intent that launches the current app, see Improved security against Intent redirection attacks section of Behavior changes: all apps

• New protection for user's location privacy from malicious apps, during companion device pairing flow. All companion apps running on Android 16 are no longer directly notified of discovery timeout using RESULT_DISCOVERY_TIMEOUT. Instead, the user is notified of timeout events with a visual dialog. When the user dismisses the dialog, the app is alerted of the association failure with RESULT_USER_REJECTED, see Companion apps no longer notified of discovery timeouts section of Behavior changes: all apps
• MediaStore#getVersion() will now be unique to each app. This eliminates identifying properties from the version string to prevent abuse and usage for fingerprinting techniques, see MediaStore version lockdown section of Behavior changes: Apps targeting Android 16 or higher and getVersion method of MediaStore
• Apps can opt-in to strict intent resolution using their app manifest. Safer Intents (originally introduced in Android 15 part of StrictMode) means that Intents must have non-null action and match the Intent filter of the target app to be delivered. Either both of these rules, or only Intent Filter matching can now be enforced, see Safer Intents section of Behavior changes: Apps targeting Android 16 or higher and more specifically the Implementation section
• When prompted for photo and video permissions by an app, users who choose to limit access to selected media will see any photos owned by the app pre-selected in the photo picker. Users can deselect any of these pre-selected items, which will revoke the app's access to those photos and videos, see

Android 17 (API 37) - Cinnamon Bun

Android 17 Security Release Notes

• Introduce Android Contact Picker, a standardized, browsable interface for users to share contacts with your app, without the need ro READ_CONTATCS permission, see Android contacts picker section of Features and APIs
• No longer permit cross-profile loopback traffic, see Block cross profile loopback traffic section of Behavior changes: all apps
• Enforce a limit (50,000 keys for non-system apps targeting Android 17) on the number of keys an app can create in Android Keystore to protect this shared resource as this storage is limited and shared between apps. If an app attempts to create keys beyond the limit, the creation fails with a KeyStoreException, see Per-app keystore limits section of Behavior changes: all apps
• New detection capabilities for StrictMode (this will be enforced in Android 18 by default): Currently, if an app launches an intent with a URI that has the action ACTION_SEND, ACTION_SEND_MULTIPLE, or ACTION_IMAGE_CAPTURE, the system automatically grants the read and write URI permissions to the target app. Starting in Android 18, the system will no longer automatically grant these permissions, see Restrict implicit URI grants section of Behavior changes: all apps
• Enable Certificate Transparency by default for apps targeting Android 17 or higher see Enable CT by default section of Behavior changes: Apps targeting Android 17 or higher