V dalším aktualizaci zabezpečené mobilní platformy GrapheneOS 2024053100 byla přidána funkce nouzového blokování dat na zařízení. Uživatel má možnost nastavit dodatečné heslo a PIN, jejichž zadání povede k vymazání všech klíčů v hardwarových úložištích, včetně klíčů používaných pro šifrování dat na disku, a také k vymazání eSIM a restartu. Tímto způsobem, pokud je na uživatele vyvíjen nátlak k odemčení obrazovky nebo při hrozbě, že se smartphone dostane do nesprávných rukou, může vlastník zařízení zadat destruktivní PIN a blokovat data bez možnosti obnovení přístupu.
Projekt GrapheneOS rozvíjí odvozeninu od kódové základny Android (AOSP, Android Open Source Project), která byla rozšířena a modifikována za účelem zvýšení bezpečnosti a zajištění ochrany soukromí. Oficiálně jsou podporovány většina aktuálních zařízení Google Pixel (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Výsledky projektu jsou distribuovány pod licencí MIT. Obsahuje mnoho experimentálních technologií zaměřených na zvýšení izolace aplikací, podrobné řízení přístupu, blokaci projevů typických zranitelností a ztížení práce exploitů.
Například platforma používá vlastní implementaci malloc a modifikovanou variantu libc s ochranou proti poškození paměti, stejně jako přísnější rozdělení adresního prostoru procesů. Místo JIT v Android Runtime se používá pouze anticipativní (AOT, ahead-of-time) kompilace. V jádru Linuxu jsou zahrnuty mnohé další ochranné mechanismy, například v slub jsou přidávány kanárkové značky pro blokaci přetečení bufferů. Pro zvýšení izolace aplikací jsou využity SELinux a seccomp-bpf.
Existuje možnost selektivního poskytování přístupu jednotlivým aplikacím k síťovým operacím, senzorům, adresáři a periferním zařízením (USB, kamerám). Ve výchozím nastavení je zakázáno získávání údajů o IMEI, MAC adrese, sériovém čísle SIM karty a dalších hardwarových identifikátorech. Čtení ze schránky je povoleno pouze aplikacím, ve kterých je aktuálně aktivní vstupní fokus. Jsou zahrnuta další opatření pro izolaci procesů spojených s Wi-Fi a Bluetooth a prevenci úniků způsobených bezdrátovou aktivitou. Mnoho z mechanismů zvýšení bezpečnosti vyvinutých v rámci projektu bylo přesunuto do hlavní kódu Android.
V GrapheneOS se používá kryptografická verifikace načítaných komponentů a rozšířená šifrování dat na úrovni souborových systémů ext4 a f2fs (data jsou šifrována pomocí AES-256-XTS, a názvy souborů — AES-256-CTS s použitím HKDF-SHA512 pro generaci jednotlivého klíče pro každý soubor), a nikoli blokového zařízení. Data v systémových oddílech a v každém uživatelském profilu jsou šifrována různými klíči. Využívají se dostupné hardwarové možnosti pro zrychlení šifrovacích operací. Na uzamčené obrazovce se zobrazuje tlačítko pro ukončení relace, po jehož stisknutí jsou klíče pro dešifrování zrušeny a úložiště je převedeno do neaktivovaného stavu. Existuje nastavení pro zákaz instalace dalších aplikací ve vybraných uživatelských profilech. Pro ochranu před hádáním hesel je zaveden systém prodlev, který závisí na počtu neúspěšných pokusů (od 30 sekund do 1 dne).
Do GrapheneOS zásadně nezahrnuje aplikace a služby Google, ani alternativní implementace těchto služeb, jako je microG. Zároveň je však možné nainstalovat služby Google Play do odděleného izolovaného prostředí, které nemá žádná speciální oprávnění. Projekt také vyvíjí několik vlastních aplikací zaměřených na ochranu informací a soukromí. Mezi nimi jsou například prohlížeč Vanadium založený na Chromiu a modifikovaná verze enginu WebView, chráněný PDF prohlížeč, firewall, aplikace Auditor pro verifikaci zařízení a odhalování narušení, aplikace pro práci s fotoaparátem zaměřená na zajištění soukromí a systém pro vytváření šifrovaných záloh Seedvault.
Zdroj: opennet.ru
