Android 安全演进

自 Android 5.0 Lollipop（API 21）起，各主要 Android 版本的重要安全增强。

Android 5.0（API 21）- Lollipop

Android 5 安全增强

• 自 2023 年 8 月起，该 Android 版本将只能收到 Google Play Services 更新，参见 Google Play services discontinuing updates for KitKat (API levels 19 & 20) starting August 2023
• 默认启用全盘加密（FDE）（制造商仍可选择关闭），参见加密和 Android 5.0 安全增强
• SELinux 全面强制执行，参见 Android 5.0 安全增强
• WebView 是一个单独的软件包，参见 Android 5.0 安全增强和 The Updatable WebView on Android 5.0 Lollipop What Is It and Why Should You Care?

Android 6（API 23）- Marshmallow

Android 6 安全增强

• Keystore API 得到大幅扩展（对称加密原语、AES 和 HMAC 支持，以及硬件支持的密钥访问控制系统），参见硬件支持的 Keystore
• TEE 成为强制要求，参见硬件支持的 Keystore和 Android 6.0 兼容性定义中的 7.3.10 指纹传感器部分
• 新增 API（isInsideSecureHardware）用于检查 KeyStore 密钥是否存储在_安全硬件_（例如可信执行环境（TEE）或安全元件（SE））中，参见 KeyInfo 的 isInsideSecureHardware 方法
• 应用需要在运行时请求权限，参见 Android 6.0 更改中的运行时权限部分、请求运行时权限和 Android 6.0 安全增强
• 更严格的 SELinux（IOCTL 过滤、SELinux 域收紧等），参见 Android 中的安全增强型 Linux和 Android 6.0 安全增强

Android 7（API 24）- Nougat

Android 7 安全增强

• 独立的_用户_与_系统_证书信任库，这意味着从此以后，_中间人_攻击基本上需要 root 权限，参见 Android Nougat 中可信证书颁发机构的变更
• 新增网络安全配置支持，应用可以以简单声明的方式自定义其安全（HTTPS、TLS）连接的行为，无需修改代码。它支持自定义信任锚（应用信任哪些证书颁发机构（CA））、仅调试的覆盖、_明文流量_退出以及证书固定（限制信任哪些服务器密钥），参见 Android 7.0 开发者中的网络安全配置部分
• 默认情况下，面向 Android 7.0 的应用只信任系统提供的证书，不再信任用户添加的证书颁发机构（CA），即使没有自定义网络安全配置也是如此，参见 Android 7.0 开发者中的默认可信证书颁发机构
• 更新到 Keymaster 2，支持密钥认证和版本绑定（防止在丢失密钥的情况下回滚到不安全的旧版本），参见 Android 7.0 开发者中的密钥认证部分、Keymaster 函数、使用密钥认证验证硬件支持的密钥对和密钥与 ID 认证
• 引入基于文件的加密（FBE），但制造商可以选择不实现，参见 Android 7.0 开发者中的直接启动部分、支持直接启动模式和加密
• 更新了 SELinux 配置：进一步锁定应用沙箱，将 mediaserver 拆分为权限更小的多个独立进程（缓解 Stagefright），参见 Android 中的安全增强型 Linux

Android 8（API 26）- Oreo

Android 8 安全增强

• WebView 中的 JavaScript 求值在独立进程中运行，因此 JavaScript 代码更难访问应用的内存，参见 WebView 安全的新变化和 Android 8.0 所有应用行为变更中的安全部分
• WebView 遵循网络安全配置和 cleartextTrafficPermitted 标志（在旧版 Android 上，即使配置不允许_明文流量_，它也会加载 HTTP 站点），参见 Android 8.0 面向 Android 8.0 应用的行为变更中的安全部分
• WebView 新增安全浏览 API，启用后，用户尝试导航到可能不安全的网站时会收到警告（由 Google 安全浏览验证），参见 Android 8.0 功能与 API 中的 WebView API 部分
• FLAG_SECURE Window 标志得到更多支持，可禁止对设置了该标志的屏幕进行截图
• 更新到 Keymaster 3，使用 HAL 接口定义语言（HIDL） 和 C++ 重写了硬件抽象层（HAL）（而旧版 HAL 是用 C 编写的），并支持 ID 认证，参见硬件支持的 Keystore、和

Android 9（API 28）- Pie

Android 9 发行说明 - 安全功能

• 默认禁用_明文网络流量（HTTP）_，应用如果仍想使用，需要在其网络安全配置中显式将 cleartextTrafficPermitted 设为 true（不推荐），参见 面向 API 28+ 应用的行为变更中的默认启用网络 TLS 部分和 Android: Cleartext HTTP traffic not permitted Android 9
• 更新到 Keymaster 4，支持 3DES 加密和安全密钥导入，参见硬件支持的 Keystore和 Keymaster 函数
• 将许多 BouncyCastle 加密算法实现替换为 Conscrypt 实现，参见 Android 9 所有应用行为变更中的 Conscrypt 参数与算法实现部分
• 增加对嵌入式安全元件（SE）的支持，参见 Android 9 发行说明中的安全元件（SE）服务部分和 Secure Element 的 CTS 测试
• 所有设备（随此版本发布的设备）都强制要求进行_磁盘加密_（可以是全盘加密（FDE）或基于文件的加密（FBE））
• 引入 BiometricPrompt，统一了生物识别认证期间显示的 UI，并为应用提供了更不易误用的更好 API，之前的解决方案 FingerprintManager 已被_弃用_，参见显示生物识别认证对话框

Android 10（API 29）- Quince Tart

Android 10 安全增强

Android 10 发行说明 - 安全功能

• WebView 默认禁用文件访问，参见 WebSettings 的 setAllowFileAccess 方法
• TLS 1.3 可用并默认启用，参见 Android 10 所有应用行为变更中的默认启用 TLS 1.3 部分
• 在 TLS 中不再信任使用 SHA-1 签名的证书
• 后台应用无法启动其他 Activity（例如其他应用），参见 Android 10 发行说明中的后台应用启动部分和 Android 10 安全与隐私增强中的后台 Activity 限制部分
• 基于文件的加密（FBE）是随此 Android 版本发布的设备所必需的（升级到该版本的设备可以继续使用全盘加密（FDE）），参见加密
• 只有默认输入法编辑器（IME）应用可以访问后台的_剪贴板_数据，参见 Android 10 隐私变更中的剪贴板数据访问受限部分和 Android 10 安全与隐私增强中的剪贴板数据部分
• StrandHogg 2.0 漏洞（CVE-2020-0096）不再可能（该漏洞的补丁也已通过 2020 年 5 月安全更新移植到 Android 8.0、8.1 和 9.0——前提是制造商向设备发布了该更新），参见 StrandHogg 攻击 / 任务亲和性漏洞、StrandHogg 2.0 漏洞详解——用户和 Android 应用开发者为何应该关注和 Strandhogg 漏洞

Android 11（API 30）- Red Velvet Cake

Android 11 发行说明 - 安全

• 任务劫持（StrandHogg 1.0）漏洞（即另一个应用将其 taskAffinity 设置为与目标应用相同，以诱使用户启动它，即使用户本意是启动目标应用并使用了其合法的应用图标）不再可能，参见 StrandHogg 攻击 / 任务亲和性漏洞和 Strandhogg 漏洞
• 默认情况下，应用无法再查询有关其他已安装应用的信息，参见 Android 上的软件包可见性过滤和 Android 11 中的软件包可见性
• 未使用应用的_运行时权限_自动重置，参见 Android 11 权限更新中的未使用应用权限自动重置部分和 请求运行时权限中的未使用应用权限自动重置部分
• 引入分区存储，但应用仍可通过 requestLegacyExternalStorage 选择退出，参见 Android 11 中的存储更新和 Android 存储使用场景与最佳实践中的在生产应用中退出部分
• 向 BiometricPrompt 添加了独立的（不仅是回退）DEVICE_CREDENTIAL（PIN、图案或密码）身份验证器
• 带有自定义视图（通过 setView 设置）的 Toast 不能再从后台启动。这是为了缓解某些依赖这些视图遮挡受害应用 UI 的 点击劫持攻击。请注意，整个 setView 方法在 Android 11（API 30）中已被弃用。参见

Android 12（API 31）- Snow Cone安全增强 - Android 12

Android 12 发行说明

• 对于声明了 Intent 过滤器 的组件（Activities、Content Providers 等），必须在 Manifest 中_显式_定义 android:exported 标志，请参阅 Behavior changes: Apps targeting Android 12 中的更安全的组件导出部分
• 通用 Web Intent 会解析到用户默认的浏览器应用，_除非_目标应用已被批准用于该 Web Intent 中包含的特定域名，请参阅 Android 12 Behavior changes: all apps 中的 Web intent resolution 部分
• 将更多 BouncyCastle 加密算法实现替换为 Conscrypt 实现，请参阅 Android 12 Behavior changes: all apps 中的 BouncyCastle implementation removed 部分
• 当应用首次访问另一个应用的_剪贴板_数据时，用户会收到通知，请参阅 Copy and paste 中的当你的应用访问剪贴板数据时显示系统通知部分
• 应用不能再关闭_系统对话框_，请参阅 Android 12 Behavior changes: all apps 中的应用无法关闭系统对话框部分
• 点击劫持缓解措施：当有叠加层遮挡应用时，应用将无法消费触摸事件，请参阅 Cloak & Dagger
• 分区存储始终强制执行，不再可能通过 requestLegacyExternalStorage 选择退出，请参阅 Android storage use cases and best practices 中的在生产应用中选择退出部分
• 新增仅授予粗略位置访问权限的选项
• 状态栏上新增隐私指示器，当应用使用摄像头或麦克风时向用户提示
• 引入了 BiometricManager.Strings API，为使用 BiometricPrompt 进行身份验证的应用提供本地化字符串。

Android 13 (API 33) - Tiramisu

安全增强 - Android 13

Android 13 发行说明 - 安全

• 不匹配的 Intent 会被 _Intent 过滤器_阻止（应用无法向另一个应用的导出组件发送 Intent，除非它完全匹配该组件定义的 Intent 过滤器），请参阅 Android 13 and Android 13 QPR release notes 中的 Intents should match declared intent filters 部分
• 仅允许使用基于文件的加密（FBE），不再支持全盘加密（FDE），即使是从允许 FDE 的版本升级而来的设备也不例外。
• 共享 UID 已被弃用。它曾用于在两个或多个应用之间共享沙盒访问权限以及在同一进程中运行的能力。它可能导致包管理器内部出现不确定的行为，因此将在未来的 Android 版本中移除。请参阅 Application Signing
• Keymaster 支持对称加密原语，如 AES（高级加密标准）、HMAC（键控哈希消息认证码），以及非对称加密算法（包括_椭圆曲线_、RSA2048、RSA4096 和 Curve 25519）
• 新增 POST_NOTIFICATIONS 运行时权限，用于从应用发送非豁免（包括_前台服务_（FGS））通知，请参阅 Notification runtime permission 和 android.permission.POST_NOTIFICATIONS
• 应用在非前台时需要运行时权限才能显示 Toast 通知。这一点如果向用户解释应用为什么需要通知权限，会_非常_违反直觉，尤其是在他们只想让你显示 Toast 消息的情况下。此外，Toast 不能与通知渠道关联。请参阅 NotificationManagerService 的源代码
• 对于请求访问所有设备日志的应用，新增了_每次使用_提示，让用户能够允许或拒绝访问，请参阅 Manage your device logs on Android
• 引入了 Android 虚拟化框架（AVF），将不同的虚拟机监控程序统一到一个具有标准化 API 的框架下。
• 引入了 APK 签名方案 v3.1，所有使用 apksigner 进行的新密钥轮换默认将使用 v3.1 签名方案，以面向 Android 13 及更高版本进行轮换。

Android 14 (API 34) - Upside Down Cake

安全增强 - Android 14

Android 14 安全发行说明

• 引入最低 targetSdk 要求：面向 Android 6（API 23）之前版本的应用将无法安装。这意味着你可以认为 Android 6（API 23）引入的安全限制（此处尤指运行时权限处理）现在适用于设备上安装的所有应用（这一最低要求预计会随未来 Android 版本逐步提高），请参阅 Behavior changes: all apps 中的 Minimum installable target API level 部分
• 存储特定媒体文件的应用名称默认会被隐藏（除非其包名始终对其他应用可见，或者查询它的应用已获得 QUERY_ALL_PACKAGES 权限——该权限需要通过特殊的人工 Google Play 审核才能获得），请参阅 Behavior changes: all apps 中的 Media owner package names might be redacted 部分
• 在位置权限提示中添加一些描述，说明应用为什么可能需要此权限。
• 对硬件辅助 AddressSanitizer（HWASan）进行了重大改进，该工具最初在 Android 10 中引入，作为一种内存错误检测工具，类似于它所取代的_已弃用_的 AddressSanitizer。
• 新增对拒绝空加密蜂窝连接的支持，确保电路交换语音和短信流量始终加密，避免被动的空中拦截，请参阅 Android 14 推出首创的蜂窝连接安全功能
• 添加了对多个 IMEI 的支持
• 对于具有加密指令加速功能的设备，AES-HCTR2 现在是文件名加密的首选模式。
• 如果应用面向 Android 14 并使用动态代码加载（DCL），则所有动态加载的文件都必须标记为_只读_，否则系统将抛出 Exception，请参阅 Behavior changes: Apps targeting Android 14 or higher 中的更安全的动态代码加载部分
• 新增通过 Project Mainline（通常称为 Google Play 系统更新）更新根证书的支持，因此不再需要完整的 Android OTA 更新即可引入新的 CA 证书或移除已吊销的证书，请参阅 Android 14 通过 Google Play 更新根证书以保护用户免受恶意 CA 侵害

Android 15 (API 35) - Vanilla Ice Cream

Android 15 安全发行说明

• 面向 Android 7（API 24）之前版本的应用将无法安装。这意味着你可以认为 Android 7（API 24）引入的安全限制现在适用于设备上安装的所有应用，请参阅 Behavior changes: all apps 中的 Increased minimum target SDK version from 23 to 24 部分
• 更改 USB 模式和屏幕超时时，系统现在会要求进行生物识别（如果已录入），请参阅 Android 15 将在你连接 PC 时验证身份
• 对任务劫持（StrandHogg）的进一步缓解：如果顶部 Activity 结束一个任务，Android 将返回上一个活跃的任务。此外，如果非顶部 Activity 结束其任务，Android 将返回主屏幕；它不会阻止该非顶部 Activity 结束，请参阅 Behavior changes: Apps targeting Android 15 or higher 中的 Other changes 部分
• 对任务劫持（StrandHogg）的进一步缓解：其他应用不能再将任意 Activity 启动到你的任务中，请参阅 Behavior changes: Apps targeting Android 15 or higher 中的 Other changes 部分
• 针对攻击者滥用配置错误的 PendingIntent 的缓解措施：如果你的应用面向 Android 15（API 35），PendingIntent 创建者现在默认阻止后台 Activity 启动，请参阅 Behavior changes: Apps targeting Android 15 or higher 中的 Other changes 部分
• 默认情况下，如果你的应用面向 Android 15（API 35），应用不再被允许将任务栈带到前台，除非 PendingIntent 创建者允许后台 Activity 启动权限，或者发送者具有后台 Activity 启动权限，请参阅 Behavior changes: Apps targeting Android 15 or higher 中的 Other changes 部分
• 不可见窗口现在不会被考虑用于后台 Activity 启动。这缓解了_拒绝服务（DoS）_攻击和弹窗广告，同时也为全面或部分点击劫持和全屏钓鱼提供了缓解，请参阅 Behavior changes: Apps targeting Android 15 or higher 中的 Other changes 部分
• StrictMode 新增检测能力（这将在 Android 16 中默认强制执行）：针对特定组件的 Intent 必须与目标组件的 intent-filter 规范完全匹配。如果你发送 Intent 启动另一个应用的 Activity，目标 Intent 组件需要与接收 Activity 声明的 intent-filter 保持一致，并且没有 action（action 设置为 ）的 Intent 将不再匹配任何 intent-filter。这意味着用于启动 Activity 或 Service 的 Intent 必须具有明确定义的 action，请参阅

Android 16 (API 36) - Baklava

Android 16 安全发行说明* 针对普遍的 Intent 重定向攻击增加了默认安全性，阻止启动从其他应用收到的 Intent，例如作为 extra 包装在启动当前应用的 Intent 中，请参阅行为变更：所有应用中的“针对 Intent 重定向攻击的改进安全性”部分

• 在配套设备配对流程中，新增了保护用户位置隐私免受恶意应用侵害的措施。运行在 Android 16 上的所有配套应用不再直接通过 RESULT_DISCOVERY_TIMEOUT 收到发现超时通知。取而代之的是，系统通过可视化对话框通知用户超时事件。当用户关闭该对话框时，应用会通过 RESULT_USER_REJECTED 收到关联失败的通知，请参阅行为变更：所有应用中的“配套应用不再收到发现超时通知”部分
• MediaStore#getVersion() 现在对每个应用都是唯一的。这将从版本字符串中移除可识别属性，以防止滥用及被用于指纹识别技术，请参阅行为变更：面向 Android 16 或更高版本的应用中的“MediaStore 版本锁定”部分以及 MediaStore 的 getVersion 方法
• 应用可以通过其应用清单_选择启用_严格的 Intent 解析。更安全的 Intent（最初在 Android 15 中作为 StrictMode 的一部分引入）意味着 Intent 必须具有非空的 action 并匹配目标应用的 Intent 过滤器才能被传递。现在可以强制执行这两条规则，或仅强制执行 Intent 过滤器匹配，请参阅行为变更：面向 Android 16 或更高版本的应用中的“更安全的 Intent”部分，更具体地请参见实现部分
• 当应用请求照片和视频权限时，选择仅允许访问所选媒体的用户将在照片选择器中看到由该应用拥有的照片已被预先选中。用户可以取消选择任何这些预选项目，这将撤销该应用对这些照片和视频的访问权限，请参阅行为变更：面向 Android 16 或更高版本的应用中的“应用拥有的照片”部分
• 增加对 KeyMint（原 Keymaster）4.0 版认证证书的支持。KeyMint 4.0 证书在 KeyDescription 结构中包含一个新的 moduleHash 字段，可用于验证已加载 APEX 模块的完整性，请参阅 Android 16 版本说明中的“设备完整性”部分和

Android 17 (API 37) - Cinnamon Bun

Android 17 安全版本说明

• 引入 Android 联系人选择器（Android Contact Picker），这是一个标准化、可浏览的界面，让用户无需 READ_CONTATCS 权限即可与您的应用分享联系人，请参阅功能与 API 中的“Android 联系人选择器”部分
• 不再允许跨配置文件回环流量，请参阅行为变更：所有应用中的“阻止跨配置文件回环流量”部分
• 对应用在 Android Keystore 中可创建的密钥数量强制执行限制（面向 Android 17 的非系统应用为 50,000 个密钥），以保护这一共享资源，因为该存储空间有限且由各应用共享。如果应用尝试创建超过限制的密钥，创建操作将失败并抛出 KeyStoreException，请参阅行为变更：所有应用中的“每应用密钥库限制”部分
• 为 StrictMode 新增检测能力（此功能将在 Android 18 中默认强制执行）：目前，如果应用使用具有 ACTION_SEND、ACTION_SEND_MULTIPLE 或 ACTION_IMAGE_CAPTURE 操作的 URI 启动 Intent，系统会自动向目标应用授予读写 URI 权限。从 Android 18 开始，系统将不再自动授予这些权限，请参阅行为变更：所有应用中的“限制隐式 URI 授权”部分
• 默认对面向 Android 17 或更高版本的应用启用证书透明度，请参阅行为变更：面向 Android 17 或更高版本的应用中的“默认启用 CT”部分