2026年5月6日，谷歌正式宣布扩展 Android Binary Transparency 机制，为 Android 生态系统引入公开的密码学账本（Public Ledger）。这一举措直指近年来愈演愈烈的软件供应链攻击，从技术思路到落地节奏都值得关注。
数字签名的盲区：来源证明≠意图证明
传统软件分发依赖数字签名来验证软件来源——即"谁构建了这个二进制文件"。但数字签名存在一个根本性盲区：它只能证明代码来自特定密钥持有者，却无法证明这个版本是否被授权公开发布。一旦签名密钥被窃取，或内部人员恶意发布一个合法签名的恶意版本，传统签名机制完全失效。
Android Binary Transparency 正是为了填补这一空白。其核心思路用一句话概括就是：签名是来源证书，而 Binary Transparency 是意图证书。通过公开、只可追加的密码学账本，记录每个生产应用的加密条目，让任何人都能验证：设备上的软件版本是否被谷歌官方授权发布。
覆盖范围：从应用到系统层
新账本覆盖两类软件层：
- Google Applications（谷歌应用层）：包括 Google Play Services 及各类独立谷歌应用，覆盖2026年5月1日之后发布的版本。
- Mainline Modules（主线模块层）：Android 系统中以高权限运行的可动态更新组件。
对于 Pixel 用户，这套账本还能与2023年推出的 Pixel System Image Transparency 联合使用，实现从系统镜像到应用层的端到端完整性验证。
纵深防御：防内部人作恶
Binary Transparency 不仅防范外部攻击，也针对内部风险。谷歌信息安全工程师 Billy Lau 披露，代码开发流程与自动化构建/签名流程严格隔离，没有任何单一个人能在不触发全面密码学验证的情况下发布二进制文件。账本本身即是威慑——任何未授权的软件变更都将被公开记录，无处遁形。
对 IT 运维的启示
对于企业和 IT 管理员而言，这一机制的战略意义值得重视：
- 企业部署的 Android 设备将拥有可验证的软件来源依据，供应链安全从"信任假设"转向"密码学可证"；
- 公开账本为安全审计提供了外部可查证的参考，降低了第三方软件供应链的审核成本；
- 谷歌已表示将推动 Binary Transparency 向第三方开发者扩展，未来有望成为 Android 生态的通用透明度标准。
验证工具已在 GitHub 开源（android/android-binary-transparency），安全研究人员和企业均可使用。
写在最后
软件供应链攻击已成为近年来最具破坏力的攻击向量之一。从 SolarWinds 到 3CX，再到 XZ Utils，每一次大规模供应链攻击都在提醒行业：签名不等于安全，可验证的透明度才是长期答案。Android Binary Transparency 或许只是第一步，但它指向的方向——让软件发布的每一个环节都"写在明面上"——值得整个行业认真对待。