Достъпен е вариант на защитена мобилна платформа GrapheneOS 2024011300, която представлява клон на кода на Android (AOSP, Android Open Source Project), разширена и изменена за повишаване на сигурността и осигуряване на конфиденциалност. Проектът преди е развиван под името AndroidHardening и по-рано е произлязъл от проекта CopperheadOS след конфликт между неговите основатели. В GrapheneOS официално се поддържат повечето актуални устройства Google Pixel (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Резултатите от проекта се разпространяват под MIT лиценз.
GrapheneOS включва много експериментални технологии, свързани с повишаване на изолацията на приложенията, детайлно управление на достъпа, блокиране на проявите на типични уязвимости и усложняване на работата на експлоити. Например, в платформата се използва собствена реализация на malloc и модифицирана версия на libc с защита от повреждане на паметта, както и по-строго разделение на адресното пространство на процесите. Вместо JIT в Android Runtime се прилага само предварителна (AOT, ahead-of-time) компилация. В ядрото на Linux са включени множество допълнителни механизми за защита, например, в slub се добавят канарейкови етикети за блокиране на преливане на буфери. За повишаване на изолацията на приложенията са активирани SELinux и seccomp-bpf.
Има възможност за предоставяне на достъп до мрежови операции, сензори, адресна книга и периферни устройства (USB, камера) само на избрани приложения. Четенето от буфера за обмен е разрешено само на приложения, в които в момента е активен фокусът на въвеждане. По подразбиране е забранен достъпът до информация за IMEI, MAC адрес, серийния номер на SIM картата и други хардуерни идентификатори. Предприети са допълнителни мерки за изолация на процесите, свързани с Wi-Fi и Bluetooth, и предотвратяване на течове в резултат на безжична активност. Много от механизмите за повишаване на сигурността, разработени в рамките на проекта, са пренесени в основната кодова база на Android.
В GrapheneOS се прилага криптографска верификация на зарежданите компоненти и разширено шифроване на данни на ниво файлови системи ext4 и f2fs (данните се шифроват с AES-256-XTS, а имената на файловете — с AES-256-CTS, използвайки HKDF-SHA512 за генериране на отделен ключ за всеки файл), а не на блочно устройство. Данните в системните дялове и в профилите на потребителите се шифроват с различни ключове. Използват се наличните хардуерни възможности за ускоряване на операциите по шифроване. На екрана за заключване се показва бутон за приключване на сесията, след натискането на който ключовете за декриптиране се нулират и хранилището се превръща в неактивирано състояние. Има настройка за забрана на инсталирането на допълнителни приложения за избрани профили на потребителите. За защита от подбране на пароли се използва система за забавяния, зависеща от броя на неуспешните опити (от 30 секунди до 1 ден).
В състава на GrapheneOS принципиално не се включват приложения и услуги на Google, както и алтернативни реализации на услугите на Google, като microG. При това има възможност за инсталиране на услугите на Google Play в отделна изолирана среда, която няма специални привилегии. Проектът също така разработва няколко собствени приложения, фокусирани върху защитата на информацията и поверителността. Например, предлагат се браузър Vanadium, базиран на Chromium и модифицирана версия на движка WebView, защитен PDF скенер, защитна стена, приложение Auditor за верификация на устройства и идентифициране на нарушения, приложение за работа с камера, насочено към осигуряване на конфиденциалност, и система за създаване на шифровани резервни копия Seedvault.
Сред измененията в новата версия:
- Напълно е преработена реализацията на механизма за автоматично рестартиране, която е прехвърлена на използването на таймер в процеса init, а не в процеса system_server, което е увеличило защитността и е изключило рестартирането на устройства, които никога не са били отключвани. Времето за автоматично рестартиране е намалено от 72 на 18 часа. Основната идея на автоматичното рестартиране е да върне активираните (декриптирани) дялове с потребителски данни в начално неразшифровано състояние след определено време на неактивност.
Данните на потребителския профил след рестартиране на устройството са криптирани и се дешифрират само след въвеждане на паролата от потребителя. Ако потребителят не отключи активираната сесия в продължение на повече от 18 часа, устройството ще бъде автоматично рестартирано (тайм-аутът може да бъде променен в настройките Настройки > Сигурност > Автоматичен рестарт) за предотвратяване на анализа на ключовете, които остават в паметта, в случай че устройството попадне в други ръце.
Като демонстрация на необходимостта от прилагане на функцията за автоматичен рестарт, разработчиците на GrapheneOS споменаха наскоро откритите уязвимости в смартфоните Google Pixel и Samsung Galaxy, които позволяват на компании, специализирани в криминалистичен анализ, да шпионират потребителите и да извлекат данни, докато устройството е в активирано състояние (когато сесията е активна и данните са дешифрирани).
- Добавен е преглед на логовете (Настройки > Система > Преглед на логовете), който позволява оценка на възникващите проблеми и улеснява подготовката на отчети за грешки.
- Реконструирано е интерфейсът за изпращане на отчети за сривове.
- В adevtool е добавена поддръжка за Pixel Camera Service, което позволява използването на нощен режим в приложения на смартфони Pixel 6+.
- В adevtool е преустановена поддръжката на устройства, които не се поддържат в Android 14.
- Добавено е извеждане на уведомления за задействане на детектора за повреда на паметта в malloc.
- В ядрото на Linux е деактивирана поддръжката на sysrq.
- Ядро на Linux е обновено до последната версия GKI (Generic Kernel Image) 5.10.206 за устройства Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel Tablet, Pixel Fold, както и до версия 5.15.145 за устройства Pixel 8 и Pixel 8 Pro. Освен това са подготвени компилации с ядро 6.1.69.
- Браузърът Vanadium е обновен до кодовата база Chromium 120.0.6099.210.0.
Източник: opennet.ru
