Sljedeće ažuriranje sigurne mobilne platforme GrapheneOS 2024053100 uvelo je funkciju blokiranja podataka u hitnim slučajevima na uređaju. Korisniku se daje mogućnost postavljanja dodatne lozinke i PIN koda, čiji će unos dovesti do brisanja svih ključeva u hardverskoj pohrani, uključujući ključeve koji se koriste za šifriranje podataka na disku, kao i brisanje eSIM-a i ponovno pokretanje. Dakle, ako se izvrši pritisak na korisnika i on bude primoran da otključa ekran, ili ako postoji prijetnja da pametni telefon padne u pogrešne ruke, vlasnik uređaja može unijeti destruktivni PIN kod i blokirati podatke bez mogućnosti vraćanja pristupa.
Projekat GrapheneOS razvija fork Android kodne baze (AOSP, Android Open Source Project), proširen i modifikovan kako bi se poboljšala sigurnost i osigurala privatnost. Većina aktuelnih Google Pixel uređaja je zvanično podržana (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Razvoj projekta se distribuira pod licencom MIT-a. Sastav uključuje mnoge eksperimentalne tehnologije koje se odnose na jačanje izolacije aplikacija, granularnu kontrolu pristupa, blokiranje manifestacije tipičnih ranjivosti i kompliciranje rada eksploata.
Na primjer, platforma koristi vlastitu implementaciju malloc-a i modificiranu verziju libc-a sa zaštitom od oštećenja memorije, kao i rigidniju podjelu adresnog prostora procesa. Umjesto JIT-a, Android Runtime koristi samo AOT (unaprijed) kompilaciju. Linux kernel uključuje mnoge dodatne zaštitne mehanizme, kao što je dodavanje kanarskih oznaka u slub kako bi se blokiralo prekoračenje bafera. SELinux i seccomp-bpf se koriste za poboljšanje izolacije aplikacija.
Moguće je selektivno dodijeliti pristup pojedinačnim aplikacijama mrežnim operacijama, senzorima, adresaru i perifernim uređajima (USB, kamera). Podrazumevano je zabranjeno dobijanje informacija o IMEI, MAC adresi, serijskom broju SIM kartice i drugim identifikatorima hardvera. Čitanje iz međuspremnika je dozvoljeno samo za aplikacije koje trenutno imaju fokus za unos. Uključene su dodatne mjere za izolaciju procesa vezanih za Wi-Fi i Bluetooth i sprječavanje curenja iz bežične aktivnosti. Mnoga od sigurnosnih poboljšanja razvijenih u projektu prebačena su u glavnu Android kodnu bazu.
GrapheneOS koristi kriptografsku verifikaciju učitanih komponenti i napredne šifriranje podataka Na nivou ext4 i f2fs datotečnog sistema (podaci se šifriraju pomoću AES-256-XTS, a imena datoteka se šifriraju pomoću AES-256-CTS, koristeći HKDF-SHA512 za generiranje zasebnog ključa za svaku datoteku), a ne na nivou blok uređaja. Podaci na sistemskim particijama i u svakom korisničkom profilu šifriraju se različitim ključevima. Dostupne hardverske mogućnosti koriste se za ubrzavanje operacija šifriranja. Na zaključanom ekranu prikazuje se dugme za odjavu; klikom na njega resetiraju se ključevi za dešifriranje i pohrana se stavlja u neaktivno stanje. Dostupna je postavka za sprječavanje instaliranja dodatnih aplikacija u odabrane korisničke profile. Za zaštitu od pogađanja lozinke koristi se sistem odlaganja, ovisno o broju neuspješnih pokušaja (od 30 sekundi do 1 dan).
GrapheneOS u osnovi ne uključuje Google aplikacije i usluge, kao ni alternativne implementacije Google usluga, kao što je microG. Istovremeno, moguće je instalirati Google Play servise u zasebno izolirano okruženje koje nema posebne privilegije. Projekt također razvija nekoliko vlastitih aplikacija usmjerenih na sigurnost informacija i privatnost. To uključuje preglednik Vanadium baziran na Chromiumu i modificiranu verziju WebView motora, siguran PDF preglednik, firewall, aplikaciju Auditor za verifikaciju uređaja i otkrivanje upada, aplikaciju za kameru fokusiranu na privatnost i šifrirani sistem rezervnih kopija koji se zove Seedvault. .
izvor: opennet.ru
