Im neuesten Update der geschützten mobilen Plattform GrapheneOS 2024053100 wurde die Funktion zur Notfall-Datenlöschung auf dem Gerät eingeführt. Den Nutzern wird die Möglichkeit geboten, ein zusätzliches Passwort und eine PIN festzulegen, deren Eingabe zur Löschung aller Schlüssel in den Hardware-Speichern führt, einschließlich der Schlüssel, die zur Verschlüsselung der Daten auf dem Speicher verwendet werden, sowie zur Löschung der eSIM und einem Neustart. So kann der Gerätbesitzer im Falle von Druckausübung und Zwang zur Entsperrung des Bildschirms oder bei drohenden Gefahren, dass das Smartphone in falsche Hände gelangt, einen destruktiven PIN eingeben und die Daten unwiderruflich sperren.
Das Projekt GrapheneOS entwickelt einen Fork der Android-Codebasis (AOSP, Android Open Source Project), der erweitert und modifiziert wurde, um die Sicherheit zu erhöhen und den Datenschutz zu gewährleisten. Offiziell werden die meisten aktuellen Google Pixel-Geräte (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet) unterstützt. Die Entwicklungen des Projekts werden unter der MIT-Lizenz veröffentlicht. Viele experimentelle Technologien, die mit der Verbesserung der App-Isolation, dem detaillierten Zugriffsmanagement, der Bekämpfung typischer Schwachstellen und der Erschwerung der Ausnutzung von Exploits zusammenhängen, sind integriert.
Zum Beispiel verwendet die Plattform eine eigene Implementierung von malloc und eine modifizierte Version von libc mit Schutz gegen Speicherbeschädigung sowie eine strengere Trennung des Adressraums von Prozessen. Anstelle von JIT wird in der Android Runtime ausschließlich die vorausschauende (AOT, ahead-of-time) Kompilierung verwendet. Im Linux-Kernel sind viele zusätzliche Schutzmechanismen integriert, wie die Hinzufügung von Canary-Tags in slub zur Verhinderung von Pufferüberläufen. Zur Verbesserung der Isolation von Anwendungen werden SELinux und seccomp-bpf eingesetzt.
Es besteht die Möglichkeit, einzelnen Anwendungen selektiven Zugriff auf Netzwerkoperationen, Sensoren, das Adressbuch und Peripheriegeräte (USB, Kamera) zu gewähren. Standardmäßig ist der Zugriff auf Informationen zu IMEI, MAC-Adresse, Seriennummer der SIM-Karte und anderen Hardware-IDs verboten. Das Lesen aus der Zwischenablage ist nur für Anwendungen erlaubt, bei denen der Eingabefokus aktiv ist. Zusätzliche Maßnahmen zur Isolierung der mit Wi-Fi und Bluetooth verbundenen Prozesse wurden implementiert, um Leaks aufgrund kabelloser Aktivitäten zu verhindern. Viele der im Rahmen des Projekts entwickelten Sicherheitsmechanismen wurden in den Hauptcode von Android übertragen.
In GrapheneOS findet eine kryptografische Verifizierung der geladenen Komponenten und Erweiterungen statt. Die Daten werden auf der Ebene der Dateisysteme ext4 und f2fs verschlüsselt (Daten werden mit AES-256-XTS verschlüsselt und Dateinamen mit AES-256-CTS unter Verwendung von HKDF-SHA512 zur Generierung eines separaten Schlüssels für jede Datei), und nicht auf Blockebene. Daten in den Systempartitionen und in jedem Benutzerprofil werden mit verschiedenen Schlüsseln verschlüsselt. Die verfügbaren Hardwarefähigkeiten werden zur Beschleunigung der Verschlüsselungsoperationen genutzt. Auf dem Sperrbildschirm wird eine Abmeldeschaltfläche angezeigt, nach deren Betätigung die Schlüssel zur Entschlüsselung zurückgesetzt werden und der Speicher in einen nicht aktivierten Zustand versetzt wird. Es gibt eine Einstellung zum Verbot der Installation zusätzlicher Anwendungen in den ausgewählten Benutzerprofilen. Zum Schutz vor Brute-Force-Angriffen wird ein задержка система verwendet, die von der Anzahl der gescheiterten Versuche abhängt (von 30 Sekunden bis zu 1 Tag).
In GrapheneOS sind grundsätzlich keine Anwendungen und Dienste von Google sowie alternative Implementierungen der Google-Dienste wie microG enthalten. Es gibt jedoch die Möglichkeit, Google Play-Dienste in einer separaten isolierten Umgebung zu installieren, die keine speziellen Berechtigungen hat. Das Projekt entwickelt auch einige eigene Anwendungen, die auf Informations- und Datenschutz ausgerichtet sind. Dazu gehören der Chromium-basierte Browser Vanadium, eine modifizierte Version der WebView-Engine, ein geschützter PDF-Viewer, eine Firewall, die Anwendung Auditor zur Überprüfung von Geräten und zur Erkennung von Eindringlingen, eine Kamera-App, die auf Datenschutz ausgelegt ist, sowie ein System zur Erstellung verschlüsselter Backups namens Seedvault.
Quelle: opennet.ru
