Android 安全演进

自 Android 5.0 Lollipop（API 21）起，各主要 Android 版本的重要安全增强。

Android 5.0（API 21）- Lollipop

Android 5 安全增强

• 自 2023 年 8 月起，该 Android 版本将只能收到 Google Play Services 更新，参见 Google Play services discontinuing updates for KitKat (API levels 19 & 20) starting August 2023
• 默认启用全盘加密（FDE）（制造商仍可选择关闭），参见加密和 Android 5.0 安全增强
• SELinux 全面强制执行，参见 Android 5.0 安全增强
• WebView 是一个单独的软件包，参见 Android 5.0 安全增强和 The Updatable WebView on Android 5.0 Lollipop What Is It and Why Should You Care?

Android 6（API 23）- Marshmallow

Android 6 安全增强

• Keystore API 得到大幅扩展（对称加密原语、AES 和 HMAC 支持，以及硬件支持的密钥访问控制系统），参见硬件支持的 Keystore
• TEE 成为强制要求，参见硬件支持的 Keystore和 Android 6.0 兼容性定义中的 7.3.10 指纹传感器部分
• 新增 API（isInsideSecureHardware）用于检查 KeyStore 密钥是否存储在_安全硬件_（例如可信执行环境（TEE）或安全元件（SE））中，参见 KeyInfo 的 isInsideSecureHardware 方法
• 应用需要在运行时请求权限，参见 Android 6.0 更改中的运行时权限部分、请求运行时权限和 Android 6.0 安全增强
• 更严格的 SELinux（IOCTL 过滤、SELinux 域收紧等），参见 Android 中的安全增强型 Linux和 Android 6.0 安全增强

Android 7（API 24）- Nougat

Android 7 安全增强

• 独立的_用户_与_系统_证书信任库，这意味着从此以后，_中间人_攻击基本上需要 root 权限，参见 Android Nougat 中可信证书颁发机构的变更
• 新增网络安全配置支持，应用可以以简单声明的方式自定义其安全（HTTPS、TLS）连接的行为，无需修改代码。它支持自定义信任锚（应用信任哪些证书颁发机构（CA））、仅调试的覆盖、_明文流量_退出以及证书固定（限制信任哪些服务器密钥），参见 Android 7.0 开发者中的网络安全配置部分
• 默认情况下，面向 Android 7.0 的应用只信任系统提供的证书，不再信任用户添加的证书颁发机构（CA），即使没有自定义网络安全配置也是如此，参见 Android 7.0 开发者中的默认可信证书颁发机构
• 更新到 Keymaster 2，支持密钥认证和版本绑定（防止在丢失密钥的情况下回滚到不安全的旧版本），参见 Android 7.0 开发者中的密钥认证部分、Keymaster 函数、使用密钥认证验证硬件支持的密钥对和密钥与 ID 认证
• 引入基于文件的加密（FBE），但制造商可以选择不实现，参见 Android 7.0 开发者中的直接启动部分、支持直接启动模式和加密
• 更新了 SELinux 配置：进一步锁定应用沙箱，将 mediaserver 拆分为权限更小的多个独立进程（缓解 Stagefright），参见 Android 中的安全增强型 Linux

Android 8（API 26）- Oreo

Android 8 安全增强

• WebView 中的 JavaScript 求值在独立进程中运行，因此 JavaScript 代码更难访问应用的内存，参见 WebView 安全的新变化和 Android 8.0 所有应用行为变更中的安全部分
• WebView 遵循网络安全配置和 cleartextTrafficPermitted 标志（在旧版 Android 上，即使配置不允许_明文流量_，它也会加载 HTTP 站点），参见 Android 8.0 面向 Android 8.0 应用的行为变更中的安全部分
• WebView 新增安全浏览 API，启用后，用户尝试导航到可能不安全的网站时会收到警告（由 Google 安全浏览验证），参见 Android 8.0 功能与 API 中的 WebView API 部分
• FLAG_SECURE Window 标志得到更多支持，可禁止对设置了该标志的屏幕进行截图
• 更新到 Keymaster 3，使用 HAL 接口定义语言（HIDL） 和 C++ 重写了硬件抽象层（HAL）（而旧版 HAL 是用 C 编写的），并支持 ID 认证，参见硬件支持的 Keystore、Keymaster 函数和密钥与 ID 认证
• 引入 Project Treble（只有随此版本发布的设备支持 Project Treble，升级到该版本的设备不支持），将低级供应商代码与 Android 系统框架分离，便于安全更新交付，参见 Here comes Treble: A modular base for Android 和 Treble Plus One Equals Four
• 更新 SELinux 以配合 Treble 工作。SELinux 策略允许制造商和 SOC 供应商独立于平台更新其策略部分，反之亦然，参见 Android 中的安全增强型 Linux
• 进一步强化媒体栈：将移动硬件抽象层（HAL）从共享进程移至各自独立的沙箱进程中运行
• 为允许从未知来源（即非 Google Play）安装应用，用户必须在 Android 设置中为特定应用明确授予权限（用户也可以随时撤消此类权限并针对每个应用进行管理），参见 Publish your app 中的用户选择未知应用和来源部分和 Android 8.0 所有应用行为变更中的安全部分

Android 9（API 28）- Pie

Android 9 发行说明 - 安全功能