Google, kuantum sonrası şifreleme iyileştirmelerini Android 17'nin gelecek beta sürümünde test etmeye başlayacak; bu özellikler sistemin üretim sürümüyle birlikte genel kullanıma sunulacak. Bu, Android'in gelecekte kuantum bilgisayarların oluşturabileceği tehditlere dayanıklı bir mimariye geçişinin duyurulan ilk aşamasını oluşturuyor. Geçiş, ABD Ulusal Standartlar ve Teknoloji Enstitüsünün (NIST) sonuçlandırdığı kuantum sonrası şifreleme standartlarının platformun birden çok katmanına entegre edilmesiyle gerçekleştirilecek.
Google, amacının yalnızca tek tek uygulamaları veya belirli aktarım protokollerini güncellemekle sınırlı olmadığını, bunun yerine cihazın başlatılmasından dünya genelinde dağıtılan uygulamaların çalıştırılmasına kadar platformu kapsayan bir güven zinciri oluşturmayı hedeflediğini belirtiyor. Şirket bu süreçte, kuantum sonrası şifreleme alanında deneyleri, bu özelliklerin ürünlerine eklenmesini, tehdit modellerinin ve teknik makalelerin yayımlanmasını kapsayan ve 2016'da başlattığı hazırlık çalışmalarına dayanıyor.
Önyükleme ve güven kökünün korunması
Android 17, temel koruma katmanlarında iki ana yükseltme içeriyor. Bunlardan ilki, ağ tabanlı ML-DSA dijital imza algoritmasının Android Verified Boot (AVB) kitaplığına entegre edilmesi. Bu algoritma, kuantuma dirençli imzalar sağlamak ve önyükleme süreci sırasında yüklenen yazılımları yetkisiz değişikliklere karşı korumak amacıyla kullanılıyor.
İkinci yükseltme ise Remote Attestation'ın mevcut standartlara göre kuantum sonrası şifreleme gereksinimleriyle tamamen uyumlu bir mimariye taşınmaya başlanması. KeyMint sertifika zincirleri kuantuma dirençli algoritmaları destekleyecek; böylece cihazlar, kuantum sonrası ortamda güveni koruyarak bu kanıta dayanan taraflara durumlarını kanıtlayabilecek.
Android Keystore aracılığıyla geliştirici desteği
Google, Android Keystore'u ML-DSA'yı yerel olarak destekleyecek şekilde güncelliyor. Böylece uygulamalar, hassas anahtar materyallerini ana işletim sisteminden yalıtarak cihazın güvenli donanımı içinde kuantum sonrası imzalar kullanabilecek. Bu, geliştiricilerin kendi şifreleme uygulamalarını oluşturmalarına gerek kalmadan donanım tabanlı güven köklerinden yararlanmasını sağlıyor.
Android SDK, ML-DSA-65 ve ML-DSA-87 seçeneklerini kullanıma sunuyor; bu seçenekler standart KeyPairGenerator arayüzü kullanılarak entegre edilebiliyor. Google, ağ tabanlı şifrelemenin güvenilir yürütme ortamında (TEE) uygulanmasını bir mühendislik zorluğu olarak nitelendiriyor. Bunun nedeni, bu tür şifrelemenin eliptik eğrilere dayalı geleneksel şifrelemeye kıyasla çok daha büyük anahtar ve bellek ayak izi boyutlarına ihtiyaç duyması.
Google Play uygulamaları için hibrit imzalama
Google, koruma zincirini uygulama imzalarını da kapsayacak şekilde genişletiyor. Platform, uygulamaların yüklenmesi veya güncellenmesi sırasında imza sahteciliğine direnmek amacıyla APK dosyalarındaki kuantum sonrası imzaları doğrulayacak. Google Play, geleneksel anahtarlarla kuantum sonrası anahtarları birleştiren hibrit imza bloklarının oluşturulmasını sağlayan Play App Signing aracılığıyla bu geçişi destekleyecek.
Hizmet, imzalama anahtarlarını bulutta korumak için Google Cloud KMS'yi kullanıyor. Android 17 yayın döngüsü sırasında Google Play, yeni uygulamalar ve geliştiricilerinin katılmayı seçtiği mevcut uygulamalar için, uygulamanın hedeflediği API düzeyinden bağımsız olarak ML-DSA imzalama anahtarları oluşturacak. Daha sonraki bir aşamada geliştiriciler, geleneksel anahtarlarını ve ML-DSA anahtarlarını seçebilecek ve hibrit anahtarları yükseltmesi için Google Play'e yetki verebilecek.
Google Play ayrıca geliştiricilere uygulamalarının imzalama anahtarlarını en az iki yılda bir yükseltmelerini hatırlatmaya başlayacak. Yol haritası, donanım düzeyindeki DICE ölçümlerinden uzak doğrulama sunucularına kadar kimlik yaşam döngüsü boyunca korumayı genişletmek amacıyla kuantum sonrası anahtar paketlemesinin daha sonra KeyMint, Key Attestation ve Remote Key Provisioning'e entegre edilmesini öngörüyor.