Projekt CalyxOS 7.2.2.0, který vyvíjí firmware založený na této platformě, byl vydán. Android, osvobozený od závislostí na službách Google a nabízející další funkce ochrany soukromí a zabezpečení. CalyxOS 7.2.2.0 je první stabilní verzí od pozastavení aktualizací v srpnu loňského roku, které bylo vyvoláno potřebou přepracovat proces vydávání, provést kompletní audit a změnit kryptografické klíče po odchodu zakladatele projektu a technického vedoucího, kteří měli přístup ke klíčům digitálního podpisu. Nová verze byla migrována do kódové základny. Android 16 a je k dispozici v sestaveních pro zařízení Pixel 4-9, Fairphone 4/5, Motorola Moto G32-G84 a SHIFTphone 8.
Místo služeb Google nabízí CalyxOS sadu microG, která nabízí alternativní implementaci rozhraní Google Play, Google Cloud Messaging a Google Maps API, jež nevyžaduje instalaci proprietárních komponent Google. Místo poskytovatele sítě Google pro určování polohy Wi-Fi a základnových stanic se používá vrstva využívající Positon nebo BeaconDB. Pro převod adresy na polohu (Geocoding Service) se používá Nominatim z projektu OpenStreetMap.
Pro řízení přístupu k síti se používá firewall Datura, který umožňuje omezit přístup k síti ve vztahu k jednotlivým aplikacím, metodám připojení (Wi-Fi, mobilní síť, VPN) a aktivitu (například můžete odepřít přístup aplikacím běžícím na pozadí). K dispozici je rozhraní pro sledování oprávnění aplikací. Výchozím prohlížečem je Calyx Chromium s vyhledávačem DuckDuckGo, volitelně je k dispozici prohlížeč Tor. Pro instalaci aplikací jsou k dispozici F-Droid a Aurora Store (alternativní anonymní klient pro Google Play).
Další funkce CalyxOS:
- Rozhraní pro volání zaměřené na soukromí s vestavěným šifrováním hovorů mezi koncovými body prostřednictvím aplikací Signal a WhatsApp. Citlivá telefonní čísla, jako jsou linky pomoci, jsou v protokolech hovorů skryta.
- Ve výchozím nastavení blokovat neznámá zařízení USB.
- Funkce pro vypnutí Wi-Fi, Bluetooth, mikrofonu a kamery po určité době nečinnosti.
- Blokovat přístup k síti pro nedávno nainstalované aplikace.
- Možnost používat profily k oddělení pracovních a osobních aktivit, izolování dat a aplikací mezi profily.
- Integrovaná podpora VPN s předinstalovanými aplikacemi pro Tor a Riseup. Telefon lze použít jako hotspot (USB nebo Wi-Fi) s přesměrováním provozu přes VPN nebo Tor.
- Ověření systému pomocí digitálního podpisu k ochraně před manipulací s firmwarem nebo škodlivými úpravami.
- Automatické měsíční doručování aktualizací v režimu OTA (over-the-air).
- Panické tlačítko pro nouzové vyčištění dat a smazání konkrétních aplikací.
- Automatizovaný systém zálohování aplikací, který umožňuje ukládat zálohy na USB disk nebo do cloudového úložiště Nextcloud se šifrováním na straně klienta.
- Používám CoMaps pro mapy, OnionShare pro sdílení souborů a Thunderbird pro e-mail.
Mezi změnami v nové verzi, kromě přechodu na Android 16. prosince se implementuje podpora pro chytrý telefon SHIFTphone 8 a aktualizace vestavěných aplikací. Sestavení jsou digitálně podepisována pomocí nového soukromého klíče uloženého v přepracované infrastruktuře založené na hardwarovém bezpečnostním modulu (HSM), který prošel bezpečnostním auditem a není řízen jednotlivými účastníky. Plány zahrnují obnovení pravidelných OTA aktualizací a vydání CalyxOS 8 založeného na... Android 17.
Nová infrastruktura digitálního podpisu firmwaru byla vytvořena s cílem eliminovat závislost na jednotlivých účastnících a chránit před únikem klíčů v případě kompromitace systému. Jako modul HSM pro ukládání hardwarových klíčů a provádění operací digitálního podpisu bez extrakce klíčů byl vybrán USB token YubiHSM 2. Vzhledem k tomu, že každé podporované zařízení a firmwarová komponenta vyžaduje samostatný klíč pro generování digitálního podpisu a všechny klíče se nevejdou na USB token YubiHSM 2, bylo použito vícevrstvé šifrování: v HSM je trvale uložen pouze základní primární klíč (wrap key), zatímco klíče pro vytváření digitálních podpisů jsou uloženy externě ve formě zašifrované primárním klíčem. Při vytváření digitálního podpisu se požadovaný zašifrovaný externí klíč načte do HSM, dešifruje se primárním klíčem v rámci HSM a použije se ke generování podpisů bez extrakce klíčů z HSM pomocí nástrojů, které podporují standard PKCS#11 (apksigner, signapk a OpenSSL).
K vygenerování primárního soukromého klíče, vytvoření záložní kopie a zápisu klíče do HSM byl použit nový počítač zakoupený v náhodném obchodě. Bez připojení k internetu byla distribuce Tails načtena v živém režimu z předem ověřeného DVD, ze kterého byly nakonfigurovány a inicializovány dva USB tokeny YubiHSM 2 (primární a záložní). Dále byla vytvořena záloha klíče pomocí schématu dělení Shamir, přičemž klíč byl rozdělen na pět částí a distribuován mezi pět důvěryhodných osob (v případě selhání USB tokenu by bylo nutné pro obnovení klíče znovu sestavit alespoň tři části).
Zdroj: opennet.ru
