Evolução da Segurança do Android

Melhorias de segurança significativas das versões principais recentes do Android, começando com Android 5.0 Lollipop (API 21).

Android 5.0 (API 21) - Lollipop

Melhorias de segurança - Android 5

• A partir de agosto de 2023, as atualizações do Google Play Services serão recebidas apenas a partir desta versão do Android, veja os serviços do Google Play descontinuarão as atualizações para o KitKat (níveis de API 19 e 20) a partir de agosto de 2023
• Criptografia de disco completo (FDE) por padrão (os fabricantes ainda podem optar por não usá-la), veja Criptografia e Melhorias de segurança no Android 5.0
• SELinux totalmente imposto, veja Melhorias de segurança no Android 5.0
• WebView é um pacote separado, veja Melhorias de segurança no Android 5.0 e O WebView atualizável no Android 5.0 Lollipop: o que é e por que você deveria se importar?

Android 6 (API 23) - Marshmallow

Melhorias de segurança no Android 6

• A API Keystore foi significativamente estendida (primitivas criptográficas simétricas, suporte a AES e HMAC e sistema de controle de acesso para chaves protegidas por hardware), veja Keystore com suporte de hardware
• TEE é um requisito, veja Keystore com suporte de hardware e Seção 7.3.10. Sensor de impressão digital da Definição de Compatibilidade do Android 6.0
• Nova API (isInsideSecureHardware) para verificar se uma chave do KeyStore está armazenada em hardware seguro (por exemplo, Ambiente de Execução Confiável (TEE) ou Secure Element (SE)), veja método isInsideSecureHardware de KeyInfo
• Os aplicativos precisam solicitar permissões em tempo de execução, veja Seção de permissões de tempo de execução das mudanças do Android 6.0, Solicitar permissões de tempo de execução e Melhorias de segurança no Android 6.0
• SELinux mais restritivo (filtragem de IOCTL, endurecimento dos domínios do SELinux, etc.), veja Security-Enhanced Linux no Android e Melhorias de segurança no Android 6.0

Android 7 (API 24) - Nougat

Melhorias de segurança - Android 7

• User e System Certificate Trust Store separados, o que significa que ataques Man-in-the-Middle basicamente exigem acesso root a partir desse ponto, veja Mudanças nas Autoridades de Certificação Confiáveis no Android Nougat
• Adicionado suporte para Network Security Config para que os aplicativos possam personalizar o comportamento de suas conexões seguras (HTTPS, TLS) de forma declarativa simples, sem modificação de código. Ele suporta âncoras de confiança personalizadas (quais Autoridades de Certificação (CA) o aplicativo confia), substituições somente em depuração, opt-out de tráfego em texto claro e fixação de certificados (limitando quais chaves de servidor são confiáveis), veja Seção Network Security Config do Android 7.0 para Desenvolvedores
• Por padrão, aplicativos direcionados ao Android 7.0 confiam apenas nos certificados fornecidos pelo sistema e não confiam mais em Autoridades de Certificação (CA) adicionadas pelo usuário, mesmo sem um Network Security Config personalizado, veja Autoridade de Certificação Confiável Padrão do Android 7.0 para Desenvolvedores
• Atualização para o Keymaster 2 com suporte para Atestação de chave e vínculo de versão (impedindo o rollback para uma versão antiga insegura sem perder chaves), veja Seção Atestação de chave do Android 7.0 para Desenvolvedores, Funções do Keymaster, Verificando pares de chaves com suporte de hardware com Atestação de chave e Atestação de chave e ID

Android 8 (API 26) - Oreo

Melhorias de segurança - Android 8

• A avaliação de JavaScript é executada em um processo separado no WebView, para que o código JavaScript não possa acessar a memória do aplicativo tão facilmente, veja O que há de novo na segurança do WebView e Seção de Segurança das Mudanças de Comportamento do Android 8.0 para Todos os Aplicativos
• O WebView respeita o Network Security Config e a flag cleartextTrafficPermitted (em versões mais antigas do Android, ele carrega sites HTTP mesmo que o tráfego em texto claro não deva ser permitido pela configuração), veja Seção de Segurança das Mudanças de Comportamento do Android 8.0 para Aplicativos Direcionados ao Android 8.0
• API Safe Browsing adicionada ao WebView para que os usuários sejam avisados ao tentarem navegar para um site potencialmente inseguro (verificado pelo Google Safe Browsing) se ativado, veja Seção de APIs WebView dos Recursos e APIs do Android 8.0
• A flag FLAG_SECURE de Window é mais amplamente suportada e proíbe a captura de tela da tela em que essa flag estiver definida

Android 9 (API 28) - Pie

Notas de lançamento do Android 9 - Recursos de segurança

• Tráfego de rede em texto claro (HTTP) desabilitado por padrão; os aplicativos precisam definir explicitamente cleartextTrafficPermitted como true em seu Network Security Config se ainda quiserem usá-lo (não recomendado), veja Seção Rede TLS habilitada por padrão em Mudanças de comportamento: aplicativos direcionados ao nível de API 28+ e Android: tráfego HTTP em texto claro não permitido no Android 9
• Atualização para o Keymaster 4 com suporte para criptografia 3DES e importação segura de chaves, veja Keystore com suporte de hardware e Funções do Keymaster
• Substitui muitas implementações BouncyCastle de algoritmos criptográficos pelas do Conscrypt, veja Seção sobre implementações Conscrypt de parâmetros e algoritmos em Mudanças de comportamento do Android 9: todos os aplicativos
• Adicionado suporte para Secure Element (SE) embarcado, veja Seção sobre o serviço Secure Element (SE) nas notas de lançamento do Android 9 e Teste de CTS para Secure Element
• A Criptografia de disco (pode ser Criptografia de disco completo (FDE) ou Criptografia baseada em arquivos (FBE)) é obrigatória para todos os dispositivos (lançados com esta versão)

Android 10 (API 29) - Quince Tart

Melhorias de segurança - Android 10

Notas de lançamento do Android 10 - Recursos de segurança

• Acesso a arquivos desabilitado por padrão no WebView, veja método setAllowFileAccess de WebSettings
• O TLS 1.3 tornou-se disponível e habilitado por padrão, veja Seção sobre o TLS 1.3 habilitado por padrão nas Mudanças de comportamento do Android 10: todos os aplicativos
• Certificados assinados com SHA-1 não são mais confiáveis em TLS
• Aplicativos em segundo plano não podem iniciar outras Activities (por exemplo, outros aplicativos), veja Seção sobre inicialização de aplicativos em segundo plano nas notas de lançamento do Android 10 e Seção sobre restrições de atividades em segundo plano em Melhorias de segurança e privacidade no Android 10
• A Criptografia baseada em arquivos (FBE) é obrigatória para dispositivos lançados com esta versão do Android (dispositivos atualizados para ela ainda podem continuar usando Criptografia de disco completo (FDE)), veja Criptografia
• Somente o aplicativo Input Method Editor (IME) padrão pode acessar dados da Área de transferência em segundo plano, veja Seção sobre acesso limitado aos dados da área de transferência nas Mudanças de privacidade no Android 10 e Seção sobre dados da área de transferência em Melhorias de segurança e privacidade no Android 10
• A exploração do StrandHogg 2.0 () não é mais possível (uma correção para a vulnerabilidade também foi retroportada para , e com a - se o fabricante lançou a atualização para o dispositivo), veja , e

Android 11 (API 30) - Red Velvet Cake

Notas de lançamento do Android 11 - Segurança

• A exploração de Task Hijacking (StrandHogg 1.0) (quando outro aplicativo define seu taskAffinity com o mesmo valor do alvo para enganar o usuário e fazê-lo abrir esse aplicativo mesmo que pretendia abrir o aplicativo alvo e usava o ícone legítimo do aplicativo) não é mais possível, veja Vulnerabilidade do ataque StrandHogg / Afinidade de tarefa e Vulnerabilidade Strandhogg
• Os aplicativos não podem mais consultar informações sobre outros aplicativos instalados por padrão, veja Filtragem de visibilidade de pacotes no Android e Visibilidade de pacotes no Android 11
• As permissões de tempo de execução são redefinidas automaticamente para aplicativos não utilizados, veja Seção sobre redefinição automática de permissões de aplicativos não utilizados nas Atualizações de permissões no Android 11 e Seção sobre redefinição automática de permissões de aplicativos não utilizados em Solicitar permissões de tempo de execução
• O Scoped Storage foi introduzido, mas os aplicativos ainda podem optar por não usá-lo via requestLegacyExternalStorage, veja Atualizações de armazenamento no Android 11 e Seção sobre como optar por não participar em seu aplicativo de produção em Casos de uso e práticas recomendadas de armazenamento no Android
• Adicionado autenticador DEVICE_CREDENTIAL (PIN, padrão ou senha) independente (não apenas como fallback) ao

Android 12 (API 31) - Snow ConeSecurity Enhancements - Android 12

Android 12 release notes

• A flag android:exported precisa de ser definida explicitamente nos Manifests para componentes (Activities, Content Providers, etc.) que declarem Intent Filters, ver secção Safer component exporting de Behavior changes: Apps targeting Android 12
• Intents web genéricos são resolvidos para a aplicação de navegador predefinida do utilizador, a menos que a aplicação de destino esteja aprovada para o domínio específico contido nesse Intent web, ver secção Web intent resolution de Android 12 Behavior changes: all apps
• Substituir mais implementações BouncyCastle de algoritmos criptográficos pelas do Conscrypt, ver secção BouncyCastle implementation removed de Android 12 Behavior changes: all apps
• O utilizador é notificado se uma aplicação aceder pela primeira vez a dados de Clipboard de outra aplicação, ver secção System notification shown when your app accesses clipboard data de Copy and paste
• As aplicações já não podem fechar System Dialogs, ver secção Apps can't close system dialogs de Android 12 Behavior changes: all apps
• Mitigação de Tapjacking: as aplicações são impedidas de consumir eventos de toque quando uma sobreposição obscurece a aplicação, ver Cloak & Dagger
• O Scoped Storage é sempre aplicado, já não é possível optar por não o usar via requestLegacyExternalStorage, ver

Android 13 (API 33) - Tiramisu

Security Enhancements - Android 13

Android 13 release notes - Security

• Intents que não correspondem são bloqueados por Intent filters (as aplicações não podem enviar um Intent para um componente exportado de outra aplicação a menos que corresponda totalmente ao Intent filter por ele definido), ver secção Intents should match declared intent filters de Android 13 and Android 13 QPR release notes
• Apenas File Based Encryption (FBE) é permitida, Full Disk Encryption (FDE) deixou de ser - nem mesmo para dispositivos atualizados a partir de uma versão em que era permitida
• Os Shared UIDs estão deprecados. Eram usados para partilhar o acesso à sandbox entre duas ou mais aplicações e a capacidade de executar no mesmo processo. Podiam causar comportamento não-determinístico dentro do package manager, pelo que seriam removidos numa futura versão do Android. Ver Application Signing
• Suporte Keymaster para primitivas criptográficas simétricas como AES (Advanced Encryption Standard), HMAC (Keyed-Hash Message Authentication Code), e algoritmos criptográficos assimétricos (incluindo Elliptic Curve, RSA2048, RSA4096 e Curve 25519)
• A permissão de runtime POST_NOTIFICATIONS foi adicionada para enviar notificações não isentas (incluindo Foreground Services (FGS)) a partir de uma aplicação, ver Notification runtime permission e android.permission.POST_NOTIFICATIONS
• As aplicações precisam da permissão de runtime para mostrar Toasts quando não estão em primeiro plano. Isto pode ser muito contra-intuitivo para explicar aos utilizadores porque é que a aplicação precisa de permissão para publicar notificações se só querem mostrar-lhe mensagens Toast. Além disso, os Toasts não podem ser associados a . Ver

Android 14 (API 34) - Upside Down Cake

Security Enhancements - Android 14

Android 14 Security Release Notes

• Introduzido o requisito mínimo de targetSdk: aplicações que tenham como alvo versões do Android anteriores ao Android 6 (API 23) já não podem ser instaladas. Isto significa que pode assumir que as security restrictions (notavelmente o Runtime Permission handling neste caso) introduzidas com o Android 6 (API 23) se aplicam agora a todas as aplicações instaladas no dispositivo (espera-se que este mínimo aumente com cada futura versão do Android), ver secção Minimum installable target API level de Behavior changes: all apps
• O nome da aplicação que armazenou um determinado ficheiro multimédia é ocultado por defeito (a menos que o nome do pacote seja sempre visível para outras aplicações ou que a aplicação que o consulta tenha a permissão QUERY_ALL_PACKAGES concedida - o que requer uma revisão manual especial da Google Play para ser obtida), ver secção Media owner package names might be redacted de Behavior changes: all apps
• Adicionada alguma descrição aos pedidos de permissão de localização que explicam porque é que uma aplicação pode precisar desta permissão.
• Melhorias significativas no Hardware-assisted AddressSanitizer (HWASan), que foi introduzido no Android 10 como uma ferramenta de deteção de erros de memória semelhante ao deprecated AddressSanitizer que substitui.
• Adicionado suporte para rejeitar ligações celulares com cifra nula, garantindo que o tráfego de voz e SMS com comutação de circuitos é sempre encriptado e protegido contra interceção passiva por over-the-air, ver Android 14 introduces first-of-its-kind cellular connectivity security features
• Adicionado suporte para múltiplos IMEIs

Android 15 (API 35) - Vanilla Ice Cream

Android 15 Security Release Notes

• Aplicações que tenham como alvo versões do Android anteriores ao Android 7 (API 24) já não podem ser instaladas. Isto significa que pode assumir que as security restrictions introduzidas com o Android 7 (API 24) se aplicam agora a todas as aplicações instaladas no dispositivo, ver secção Increased minimum target SDK version from 23 to 24 de Behavior changes: all apps
• O sistema agora pede biometria (se estiver configurada) ao mudar o modo USB e o timeout do ecrã, ver Android 15 will verify it's you when you connect to a PC
• Mitigação adicional para task hijacking (StrandHogg): se a atividade do topo terminar uma tarefa, o Android voltará para a tarefa que estava ativa por último. Além disso, se uma atividade que não está no topo terminar a sua tarefa, o Android voltará para o ecrã inicial; não bloqueará a conclusão desta atividade que não está no topo, ver secção Other changes de Behavior changes: Apps targeting Android 15 or higher
• Mitigação adicional para task hijacking (StrandHogg): atividades arbitrárias já não podem ser lançadas a partir de outras aplicações para a sua própria tarefa, ver secção Other changes de Behavior changes: Apps targeting Android 15 or higher
• Mitigação para atacantes que abusam de PendingIntents mal configurados: os criadores de PendingIntent agora bloqueiam background Activity launches por defeito se a sua aplicação tiver como alvo o Android 15 (API 35), ver secção Other changes de Behavior changes: Apps targeting Android 15 or higher
• Por defeito, as aplicações já não podem trazer a pilha de tarefas para o primeiro plano, a menos que o criador do PendingIntent permita privilégios de lançamento de atividades em segundo plano ou que o remetente tenha esses privilégios, se a sua aplicação tiver como alvo o Android 15 (API 35), ver

Android 16 (API 36) - Baklava

Android 16 Security Release Notes* Adicionada segurança padrão contra ataques de redirecionamento de Intent, bloqueando o lançamento de Intents recebidas de outros apps, por exemplo, agrupadas como um extra na Intent que lança o app atual, consulte a seção Segurança aprimorada contra ataques de redirecionamento de Intent de Mudanças de comportamento: todos os apps

• Nova proteção para a privacidade da localização do usuário contra apps maliciosos, durante o fluxo de pareamento de dispositivos complementares. Todos os apps complementares executados no Android 16 não são mais notificados diretamente do timeout de descoberta usando RESULT_DISCOVERY_TIMEOUT. Em vez disso, o usuário é notificado de eventos de timeout com um diálogo visual. Quando o usuário fecha o diálogo, o app é alertado sobre a falha de associação com RESULT_USER_REJECTED, consulte a seção Companion apps no longer notified of discovery timeouts de Mudanças de comportamento: todos os apps
• MediaStore#getVersion() agora será exclusivo para cada app. Isso elimina propriedades de identificação da string de versão para evitar abuso e uso para técnicas de fingerprinting, consulte a seção Bloqueio da versão do MediaStore de Mudanças de comportamento: apps direcionados ao Android 16 ou superior e o método getVersion de MediaStore
• Os apps podem optar pela resolução estrita de intents usando o manifesto do app. Intents mais seguras (originalmente introduzidas no Android 15 como parte do StrictMode) fazem com que as Intents devam ter ação não nula e corresponder ao filtro de Intent do app de destino para serem entregues. Agora é possível aplicar ambas as regras, ou apenas a correspondência do filtro de Intent, consulte a seção Safer Intents de Mudanças de comportamento: apps direcionados ao Android 16 ou superior e mais especificamente a seção Implementação

Android 17 (API 37) - Cinnamon Bun

Notas de lançamento de segurança do Android 17

• Apresenta o Seletor de Contatos do Android, uma interface padronizada e navegável para que os usuários compartilhem contatos com o seu app, sem a necessidade da permissão READ_CONTACTS, consulte a seção Android contacts picker de Recursos e APIs
• Não permite mais tráfego de loopback entre perfis, consulte a seção Block cross profile loopback traffic de Mudanças de comportamento: todos os apps
• Aplica um limite (50.000 chaves para apps não do sistema direcionados ao Android 17) no número de chaves que um app pode criar no Android Keystore para proteger esse recurso compartilhado, já que esse armazenamento é limitado e compartilhado entre os apps. Se um app tentar criar chaves além do limite, a criação falhará com uma KeyStoreException, consulte a seção Per-app keystore limits de Mudanças de comportamento: todos os apps
• Novos recursos de detecção para o StrictMode (isso será aplicado por padrão no Android 18): atualmente, se um app lança uma intent com uma URI que tem a ação ACTION_SEND, ACTION_SEND_MULTIPLE ou ACTION_IMAGE_CAPTURE, o sistema concede automaticamente as permissões de leitura e escrita da URI ao app de destino. A partir do Android 18, o sistema não concederá mais essas permissões automaticamente, consulte a seção Restrict implicit URI grants de Mudanças de comportamento: todos os apps
• Habilita o Certificate Transparency por padrão para apps direcionados ao Android 17 ou superior, consulte a seção Enable CT by default de Mudanças de comportamento: apps direcionados ao Android 17 ou superior