I den seneste opdatering af den sikre mobilplatform GrapheneOS 2024053100 er der tilføjet en funktion til nødbeskyttelse af data på enheden. Brugeren får mulighed for at indstille en ekstra adgangskode og PIN-kode, hvis indtastning resulterer i sletning af alle nøgler i de hardwarebaserede opbevaringer, herunder de nøgler, der bruges til at kryptere data på drevet samt sletning af eSIM og genstart. Dermed kan ejer af enheden, i tilfælde af presset fra omverdenen og tvang til at låse op for skærmen, eller ved trussel om, at smartphonen falder i de forkerte hænder, indtaste en destruktiv PIN-kode og blokere data uden mulighed for gendannelse af adgang.
GrapheneOS-projektet udvikler en afgrening fra Android-kildekoden (AOSP, Android Open Source Project), der er udvidet og ændret for at forbedre sikkerheden og beskytte privatlivets fred. De fleste aktuelle Google Pixel-enheder (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet) støttes officielt. Projektets fremskridt distribueres under MIT-licensen. Der er inkluderet mange eksperimentelle teknologier, der relaterer sig til styrkelse af applikationsisolation, detaljeret adgangskontrol, blokering af typiske sårbarheder og vanskeliggørelse af exploits.
For eksempel anvender platformen en egen implementering af malloc og en modificeret version af libc med beskyttelse mod hukommelsesskader samt strammere opdeling af processers adresserum. I stedet for JIT i Android Runtime anvendes kun forsinket (AOT, ahead-of-time) kompilering. I Linux-kernen er der inkluderet mange ekstra beskyttelsesmekanismer, såsom kanarietags i slub for at forhindre bufferoverflow. For at styrke applikationsisoleringen anvendes SELinux og seccomp-bpf.
Der er mulighed for selektiv adgang for enkelte applikationer til netværksoperationer, sensorer, kontaktbog og perifere enheder (USB, kamera). Som standard er adgang til IMEI, MAC-adresse, serienummer på SIM-kort og andre hardware-identifikatorer forbudt. Læsning fra udklipsholderen er kun tilladt for applikationer, der i øjeblikket har fokus. Der er indført yderligere foranstaltninger for at isolere processer relateret til Wi-Fi og Bluetooth og forhindre lækager som følge af trådløs aktivitet. Mange af sikkerhedsforstærkningsmekanismerne, der er udviklet i projektet, er flyttet til den primære kodebase af Android.
I GrapheneOS anvendes kryptografisk verifikation af de indlæste komponenter og udvidet dataenkryptering på niveauet for filsystemerne ext4 og f2fs (data krypteres ved hjælp af AES-256-XTS, og filnavne — AES-256-CTS ved brug af HKDF-SHA512 til at generere en separat nøgle for hver fil), og ikke blokering. Data i systempartitioner og i hver brugerprofil krypteres med forskellige nøgler. Tilgængelige hardwarefunktioner anvendes til at accelerere krypteringsoperationer. På låseskærmen vises en knap til at afslutte sessionen, efter hvilken nøgler til dekryptering nulstilles, og lageret overføres til en deaktiveret tilstand. Der er en indstilling for at forbyde installation af yderligere applikationer i valgte brugerprofiler. For at beskytte mod adgangskodegennembrud anvendes et system af forsinkelser, der afhænger af antallet af mislykkede forsøg (fra 30 sekunder til 1 dag).
GrafeneOS inkluderer principielt ikke Google-apps og -tjenester, samt alternative implementeringer af Google-tjenester som microG. Der er dog mulighed for at installere Google Play-tjenester i et separat isoleret miljø, som ikke har særlige privilegier. Projektet udvikler også flere egne applikationer fokuseret på informationsbeskyttelse og privatliv. Blandt andet tilbydes browseren Vanadium baseret på Chromium, en modificeret version af WebView-motoren, en sikker PDF-viewer, en firewall, applikationen Auditor til verifikation af enheder og opdagelse af indtrængen, en applikation til at arbejde med kameraet, der fokuserer på at sikre privatliv, samt systemet til oprettelse af krypterede sikkerhedskopier Seedvault.
Kilde: opennet.ru
