Το έργο CalyxOS 7.2.2.0, το οποίο αναπτύσσει υλικολογισμικό βασισμένο στην πλατφόρμα, έχει κυκλοφορήσει. Android, απαλλαγμένο από τις εξαρτήσεις υπηρεσιών της Google και προσφέροντας πρόσθετες λειτουργίες απορρήτου και ασφάλειας. Το CalyxOS 7.2.2.0 είναι η πρώτη σταθερή έκδοση από την αναστολή ενημερώσεων τον περασμένο Αύγουστο, η οποία προκλήθηκε από την ανάγκη αναδιαμόρφωσης της διαδικασίας έκδοσης, διεξαγωγής πλήρους ελέγχου και αλλαγής κρυπτογραφικών κλειδιών μετά την αποχώρηση του ιδρυτή του έργου και του τεχνικού επικεφαλής, οι οποίοι είχαν πρόσβαση στα κλειδιά ψηφιακής υπογραφής. Η νέα έκδοση έχει μετεγκατασταθεί στη βάση κώδικα. Android 16 και είναι διαθέσιμο σε εκδόσεις για συσκευές Pixel 4-9, Fairphone 4/5, Motorola Moto G32-G84 και SHIFTphone 8.
Αντί για υπηρεσίες Google, το CalyxOS προσφέρει τη σουίτα microG, η οποία προσφέρει μια εναλλακτική υλοποίηση των API του Google Play, του Google Cloud Messaging και των Google Maps που δεν απαιτεί την εγκατάσταση ιδιόκτητων στοιχείων της Google. Αντί του Google Network Location Provider για υπηρεσίες τοποθεσίας Wi-Fi και σταθμών βάσης, χρησιμοποιείται ένα επίπεδο που χρησιμοποιεί Positon ή BeaconDB. Το Nominatim από το έργο OpenStreetMap χρησιμοποιείται για μετατροπή διεύθυνσης σε τοποθεσία (Υπηρεσία Γεωκωδικοποίησης).
Για τον έλεγχο της πρόσβασης στο δίκτυο, χρησιμοποιείται το τείχος προστασίας Datura, το οποίο σας επιτρέπει να περιορίσετε την πρόσβαση στο δίκτυο σε σχέση με μεμονωμένες εφαρμογές, μεθόδους σύνδεσης (Wi-Fi, δίκτυο κινητής τηλεφωνίας, VPN) και δραστηριότητα (για παράδειγμα, μπορείτε να απαγορεύσετε την πρόσβαση σε εφαρμογές που εκτελούνται στο παρασκήνιο). Υπάρχει μια διεπαφή για την παρακολούθηση των δικαιωμάτων εφαρμογών. Το προεπιλεγμένο πρόγραμμα περιήγησης είναι το Calyx Chromium με τη μηχανή αναζήτησης DuckDuckGo, με το πρόγραμμα περιήγησης Tor διαθέσιμο ως επιλογή. Τα F-Droid και Aurora Store (ένας εναλλακτικός ανώνυμος πελάτης για το Google Play) είναι διαθέσιμα για την εγκατάσταση εφαρμογών.
Άλλα χαρακτηριστικά του CalyxOS:
- Μια διεπαφή κλήσεων με επίκεντρο το απόρρητο με ενσωματωμένες κρυπτογραφημένες κλήσεις από άκρο σε άκρο μέσω των εφαρμογών ανταλλαγής μηνυμάτων Signal και WhatsApp. Οι ευαίσθητοι αριθμοί τηλεφώνου, όπως οι γραμμές βοήθειας, αποκρύπτονται από τα αρχεία καταγραφής κλήσεων.
- Αποκλεισμός άγνωστων συσκευών USB από προεπιλογή.
- Λειτουργία απενεργοποίησης Wi-Fi, Bluetooth, μικροφώνου και κάμερας μετά από μια συγκεκριμένη περίοδο αδράνειας.
- Αποκλεισμός πρόσβασης δικτύου για πρόσφατα εγκατεστημένες εφαρμογές.
- Η δυνατότητα χρήσης προφίλ για τον διαχωρισμό της εργασίας από την προσωπική δραστηριότητα, απομονώνοντας δεδομένα και εφαρμογές μεταξύ προφίλ.
- Ενσωματωμένη υποστήριξη VPN με προεγκατεστημένες εφαρμογές για Tor και Riseup. Το τηλέφωνο μπορεί να χρησιμοποιηθεί ως hotspot (USB ή Wi-Fi) με την κίνηση να προωθείται μέσω VPN ή Tor.
- Επαλήθευση συστήματος με χρήση ψηφιακής υπογραφής για προστασία από παραβίαση υλικολογισμικού ή κακόβουλη τροποποίηση.
- Αυτόματη μηνιαία παράδοση ενημερώσεων σε λειτουργία OTA (over-the-air).
- Κουμπί πανικού για καθαρισμό δεδομένων έκτακτης ανάγκης και διαγραφή συγκεκριμένων εφαρμογών.
- Ένα αυτοματοποιημένο σύστημα δημιουργίας αντιγράφων ασφαλείας εφαρμογών που σας επιτρέπει να αποθηκεύετε αντίγραφα ασφαλείας σε μια μονάδα USB ή στο χώρο αποθήκευσης cloud του Nextcloud με κρυπτογράφηση από την πλευρά του πελάτη.
- Χρησιμοποιώντας το CoMaps για χάρτες, το OnionShare για κοινή χρήση αρχείων και το Thunderbird για email.
Μεταξύ των αλλαγών στη νέα έκδοση, εκτός από τη μετάβαση σε Android 16, υλοποιείται υποστήριξη για το smartphone SHIFTphone 8 και ενημερώσεις στις ενσωματωμένες εφαρμογές. Οι εκδόσεις υπογράφονται ψηφιακά χρησιμοποιώντας ένα νέο ιδιωτικό κλειδί που είναι αποθηκευμένο σε μια επανασχεδιασμένη υποδομή που βασίζεται σε μια μονάδα ασφαλείας υλικού (HSM), η οποία έχει περάσει έλεγχο ασφαλείας και δεν ελέγχεται από μεμονωμένους συμμετέχοντες. Τα σχέδια περιλαμβάνουν την επανέναρξη των τακτικών ενημερώσεων OTA και την κυκλοφορία του CalyxOS 8 με βάση Android 17.
Η νέα υποδομή ψηφιακής υπογραφής υλικολογισμικού δημιουργήθηκε για να εξαλείψει την εξάρτηση από μεμονωμένους συμμετέχοντες και να προστατεύσει από διαρροή κλειδιών σε περίπτωση παραβίασης του συστήματος. Το διακριτικό USB YubiHSM 2 επιλέχθηκε ως η μονάδα HSM για την αποθήκευση κλειδιών υλικού και την εκτέλεση λειτουργιών ψηφιακής υπογραφής χωρίς εξαγωγή κλειδιών. Δεδομένου ότι κάθε υποστηριζόμενη συσκευή και στοιχείο υλικολογισμικού απαιτεί ξεχωριστό κλειδί για τη δημιουργία ψηφιακής υπογραφής και όλα τα κλειδιά δεν χωράνε στο διακριτικό USB YubiHSM 2, χρησιμοποιήθηκε κρυπτογράφηση πολλαπλών επιπέδων: μόνο το βασικό πρωτεύον κλειδί (κλειδί αναδίπλωσης) αποθηκεύεται μόνιμα στο HSM, ενώ τα κλειδιά για τη δημιουργία ψηφιακών υπογραφών αποθηκεύονται εξωτερικά σε μορφή κρυπτογραφημένη με το πρωτεύον κλειδί. Κατά τη δημιουργία μιας ψηφιακής υπογραφής, το απαιτούμενο κρυπτογραφημένο εξωτερικό κλειδί φορτώνεται στο HSM, αποκρυπτογραφείται από το πρωτεύον κλειδί εντός του HSM και χρησιμοποιείται για τη δημιουργία υπογραφών χωρίς εξαγωγή κλειδιών από το HSM χρησιμοποιώντας εργαλεία που υποστηρίζουν το πρότυπο PKCS#11 (apksigner, signapk και OpenSSL).
Ένας νέος υπολογιστής που αγοράστηκε από ένα τυχαίο κατάστημα χρησιμοποιήθηκε για τη δημιουργία του πρωτεύοντος ιδιωτικού κλειδιού, τη δημιουργία ενός αντιγράφου ασφαλείας και την εγγραφή του κλειδιού στο HSM. Χωρίς σύνδεση στο διαδίκτυο, η διανομή Tails φορτώθηκε σε λειτουργία ζωντανής μετάδοσης από ένα προ-επαληθευμένο DVD, από το οποίο διαμορφώθηκαν και αρχικοποιήθηκαν δύο διακριτικά USB YubiHSM 2 (κύριο και εφεδρικό). Επιπλέον, δημιουργήθηκε ένα αντίγραφο ασφαλείας κλειδιού χρησιμοποιώντας το σχήμα διαμέρισης Shamir, διαιρώντας το κλειδί σε πέντε μέρη και διανέμοντάς το σε πέντε αξιόπιστα άτομα (σε περίπτωση βλάβης διακριτικού USB, θα έπρεπε να επανασυναρμολογηθούν τουλάχιστον τρία μέρη για την επαναφορά του κλειδιού).
Πηγή: opennet.ru
