In einem weiteren Update der gesicherten mobilen Plattform GrapheneOS 2024053100 wurde eine Funktion zur Notfallblockierung von Daten auf dem Gerät eingeführt. Der Benutzer erhält die Möglichkeit, ein zusätzliches Passwort und eine PIN festzulegen, deren Eingabe zur Löschung aller Schlüssel in den Hardware-Speichern führt, einschließlich der Schlüssel, die zur Verschlüsselung der Daten auf dem Speicher verwendet werden, sowie zur Löschung der eSIM und zum Neustart. Somit kann der Eigentümer des Geräts im Fall von Druck auf ihn und der Zwang zur Entsperrung des Bildschirms oder bei drohender Gefahr, dass das Smartphone in die falschen Hände gerät, einen destruktiven PIN-Code eingeben und die Daten ohne Möglichkeit zur Wiederherstellung des Zugangs blockieren.
Das GrapheneOS-Projekt entwickelt einen Fork des Android-Quellcodes (AOSP, Android Open Source Project), der erweitert und modifiziert wurde, um die Sicherheit zu erhöhen und die Privatsphäre zu gewährleisten. Offiziell werden die meisten aktuellen Google Pixel-Geräte unterstützt (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Die Beiträge des Projekts werden unter der MIT-Lizenz veröffentlicht. Es sind viele experimentelle Technologien integriert, die sich auf die Verbesserung der Isolation von Anwendungen, die detaillierte Verwaltung von Zugriffsrechten, die Blockierung von typischen Sicherheitsanfälligkeiten und die Erschwerung von Exploit-Angriffen konzentrieren.
Zum Beispiel verwendet die Plattform eine eigene Implementierung von malloc und eine modifizierte Version von libc mit Schutz gegen Speicherbeschädigung sowie eine strengere Trennung des Adressraums zwischen Prozessen. Anstelle von JIT wird im Android Runtime lediglich eine vorläufige (AOT, ahead-of-time) Kompilierung verwendet. Der Linux-Kernel enthält viele zusätzliche Schutzmechanismen, zum Beispiel werden in slub Canary-Tags zum Schutz gegen Pufferüberläufe hinzugefügt. Zur Verbesserung der Anwendungsisolierung werden SELinux und seccomp-bpf eingesetzt.
Es gibt die Möglichkeit, einzelnen Anwendungen selektiven Zugriff auf Netzwerkoperationen, Sensoren, das Adressbuch und Peripheriegeräte (USB, Kamera) zu gewähren. Standardsmäßig ist der Zugriff auf Informationen wie IMEI, MAC-Adresse, Seriennummer der SIM-Karte und andere Hardware-IDs untersagt. Das Lesen aus der Zwischenablage ist nur für Anwendungen erlaubt, in denen der Eingabefokus gerade aktiv ist. Zusätzliche Maßnahmen wurden implementiert, um Wi-Fi- und Bluetooth-bezogene Prozesse zu isolieren und um Leaks durch drahtlose Aktivitäten zu verhindern. Viele der im Rahmen des Projekts entwickelten Sicherheitsmechanismen wurden in den Hauptcode von Android integriert.
In GrapheneOS wird eine kryptografische Verifizierung der geladenen Komponenten und eine erweiterte Verschlüsselung von Daten angewendet. auf der Ebene der Dateisysteme ext4 und f2fs (Daten werden mit AES-256-XTS verschlüsselt, während Dateinamen mithilfe von AES-256-CTS und HKDF-SHA512 zur Generierung eines separaten Schlüssels für jede Datei verschlüsselt werden), und nicht auf Blockebene. Daten in Systempartitionen und in jedem Benutzerprofil werden mit unterschiedlichen Schlüsseln verschlüsselt. Die verfügbaren Hardwarefähigkeiten werden genutzt, um die Verschlüsselungsoperationen zu beschleunigen. Auf dem Sperrbildschirm wird eine Schaltfläche zum Abmelden angezeigt, nach deren Betätigung die Schlüssel zur Entschlüsselung zurückgesetzt und der Speicher in einen nicht aktivierten Zustand versetzt wird. Es gibt eine Einstellung, um die Installation zusätzlicher Anwendungen in den ausgewählten Benutzerprofilen zu verhindern. Zum Schutz vor Passwortknackversuchen wird ein Verzögerungssystem aktiviert, das sich nach der Anzahl der fehlgeschlagenen Versuche richtet (von 30 Sekunden bis zu 1 Tag).
In GrapheneOS sind prinzipiell keine Google-Anwendungen und -Dienste sowie alternative Implementierungen von Google-Diensten wie microG enthalten. Es besteht jedoch die Möglichkeit, Google Play-Dienste in einer separaten, isolierten Umgebung zu installieren, die über keine speziellen Berechtigungen verfügt. Das Projekt entwickelt auch mehrere eigene Anwendungen, die sich auf den Schutz von Informationen und die Privatsphäre konzentrieren. Dazu gehören der Browser Vanadium auf Basis von Chromium, eine modifizierte Version der WebView-Engine, ein sicherer PDF-Viewer, eine Firewall, die Anwendung Auditor zur Überprüfung von Geräten und zur Erkennung von Eindringlingen, eine datenschutzorientierte Kamera-App sowie das System Seedvault zur Erstellung von verschlüsselten Backups.
Quelle: opennet.ru
