В новото обновление на защитената мобилна платформа GrapheneOS 2024053100 се добави функция за спешно блокиране на данните на устройството. Потребителят получава възможността да зададе допълнителна парола и PIN-код, при въвеждането на които ще се изчистят всички ключове в хардуерните хранилища, включително ключовете, използвани за шифроване на данните на устройството, както и за изчистване на eSIM и рестартиране. По този начин, в случай на натиск над потребителя и принуждаване да отключи екрана или при заплаха от попадането на смартфона в неподходящи ръце, собственикът на устройството може да въведе разрушителен PIN-код и да блокира данните без възможност за възстановяване на достъпа.
Проектът GrapheneOS развива клон на изходния код на Android (AOSP, Android Open Source Project), разширен и модифициран с цел повишаване на сигурността и осигуряване на конфиденциалност. Официално се поддържат повечето актуални устройства на Google Pixel (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Разработките на проекта се разпространяват под MIT лиценз. Включени са много експериментални технологии, свързани с повишаване на изолацията на приложенията, детайлно управление на достъпа, блокиране на проявленията на типични уязвимости и усложняване на работата на експлоити.
Например, в платформата се използва собствена реализация на malloc и модифицирана версия на libc с защита от повреждане на паметта, както и по-строго разделение на адресното пространство на процесите. Вместо JIT в Android Runtime се прилага само предварителна (AOT, ahead-of-time) компилация. В ядрото на Linux са включени много допълнителни механизми за защита, например, в slub се добавят канареечни етикети за блокиране на препълване на буфери. За повишаване на изолацията на приложенията се използват SELinux и seccomp-bpf.
Има възможност за селективно предоставяне на достъп на отделни приложения до мрежовите операции, сензорите, адресната книга и периферните устройства (USB, камера). По подразбиране е забранено получаването на информация за IMEI, MAC адреса, сериен номер на SIM картата и други хардуерни идентификатори. Четенето от клипборда е разрешено само за приложения, в които в момента е активен фокусът на въвеждане. Включени са допълнителни мерки за изолиране на процесите, свързани с Wi-Fi и Bluetooth, и предотвратяване на изтичане на данни в резултат на безжична активност. Много от разработените в рамките на проекта механизми за повишаване на сигурността са пренесени в основната кодова база на Android.
В GrapheneOS се прилага криптографска верификация на заредените компоненти и разширено шифроване на данни на ниво файлови системи ext4 и f2fs (данните се шифроват с помощта на AES-256-XTS, а имената на файловете — AES-256-CTS, с използване на HKDF-SHA512 за генериране на отделен ключ за всеки файл), а не на блоковото устройство. Данните в системните дялове и във всеки потребителски профил се шифроват с различни ключове. Използват се наличните хардуерни възможности за ускорение на операциите по шифроване. На екрана за заключване се показва бутон за приключване на сесията, след натискане на който ключовете за декодиране се нулират и хранилището преминава в неактивирано състояние. Има настройка за забрана на инсталирането на допълнителни приложения в избрани потребителски профили. За защита срещу подбиране на пароли е внедрена система за забавяне, зависеща от броя на неуспешните опити (от 30 секунди до 1 ден).
GrapheneOS принципиално не включва приложения и услуги на Google, нито алтернативни реализации на услугите на Google, като microG. Въпреки това, предлага се възможност за инсталиране на услугите на Google Play в отделна изолирана среда, която няма специални привилегии. Проектът също така развива няколко собствени приложения, фокусирани върху защита на информацията и конфиденциалността. По-специално, предлагат се браузърът Vanadium на база Chromium и модифицирана версия на движка WebView, защитен PDF-прегледник, междусетеви стени, приложение Auditor за верификация на устройства и откриване на атаки, приложение за работа с камера, насочено към осигуряване на конфиденциалност, и система за създаване на криптирани резервни копия Seedvault.
Източник: opennet.ru
