Est\u00e1 disponible el lanzamiento de la plataforma m\u00f3vil segura GrapheneOS 2024011300, que es una bifurcaci\u00f3n de la base de c\u00f3digo de Android (AOSP, Proyecto de C\u00f3digo Abierto de Android), ampliada y modificada para mejorar la seguridad y garantizar la privacidad. Anteriormente, el proyecto se desarrollaba bajo el nombre AndroidHardening y, antes de eso, se bifurc\u00f3 del proyecto CopperheadOS tras un conflicto entre sus fundadores. En GrapheneOS, se admite oficialmente la mayor\u00eda de los dispositivos actuales de Google Pixel (Pixel 4\/5\/6\/7\/8, Pixel Fold, Pixel Tablet). Los desarrollos del proyecto se distribuyen bajo la licencia MIT. <\/p>\n
GrapheneOS incluye muchas tecnolog\u00edas experimentales relacionadas con el aumento de la aislamiento de aplicaciones, la gesti\u00f3n detallada de accesos, el bloqueo de la aparici\u00f3n de vulnerabilidades comunes y la complicaci\u00f3n del funcionamiento de exploits. Por ejemplo, la plataforma utiliza su propia implementaci\u00f3n de malloc y una versi\u00f3n modificada de libc con protecci\u00f3n contra la corrupci\u00f3n de memoria, as\u00ed como una separaci\u00f3n m\u00e1s estricta del espacio de direcciones de los procesos. En lugar de JIT, en el Android Runtime solo se aplica la compilaci\u00f3n anticipada (AOT, ahead-of-time). El n\u00facleo de Linux incluye muchos mecanismos de protecci\u00f3n adicionales; por ejemplo, en slub se a\u00f1aden etiquetas canarias para bloquear el desbordamiento de b\u00faferes. Para aumentar el aislamiento de las aplicaciones, se utilizan SELinux y seccomp-bpf. <\/p>\n
Se puede permitir el acceso a operaciones de red, sensores, la agenda de contactos y dispositivos perif\u00e9ricos (USB, c\u00e1mara) solo a aplicaciones seleccionadas. La lectura del portapapeles est\u00e1 permitida solo para las aplicaciones en las que actualmente est\u00e1 activo el foco de entrada. Por defecto, se proh\u00edbe la obtenci\u00f3n de informaci\u00f3n sobre IMEI, direcci\u00f3n MAC, n\u00famero de serie de la tarjeta SIM y otros identificadores de hardware. Se han tomado medidas adicionales para aislar los procesos relacionados con Wi-Fi y Bluetooth y prevenir fugas debido a la actividad inal\u00e1mbrica. Muchos de los mecanismos de mejora de seguridad desarrollados en el marco del proyecto se han transferido a la base de c\u00f3digo principal de Android. <\/p>\n
GrapheneOS utiliza verificaci\u00f3n criptogr\u00e1fica de los componentes cargados y un cifrado avanzado de datos a nivel de sistema de archivos ext4 y f2fs (los datos se cifran usando AES-256-XTS, y los nombres de archivos — AES-256-CTS con HKDF-SHA512 para generar una clave separada para cada archivo), y no a nivel de dispositivo de bloque. Los datos en las particiones del sistema y en cada perfil de usuario se cifran con diferentes claves. Se aprovechan las capacidades de hardware disponibles para acelerar las operaciones de cifrado. En la pantalla de bloqueo, se muestra un bot\u00f3n de cierre de sesi\u00f3n, que al presionarlo, restablece las claves de descifrado y el almacenamiento se convierte en un estado desactivado. Hay una configuraci\u00f3n para prohibir la instalaci\u00f3n de aplicaciones adicionales para ciertos perfiles de usuario. Para protegerse contra intentos de adivinaci\u00f3n de contrase\u00f1as, se implementa un sistema de retrasos dependientes del n\u00famero de intentos fallidos (de 30 segundos hasta 1 d\u00eda). <\/p>\n
GrapheneOS no incluye iniciativas de aplicaciones y servicios de Google, as\u00ed como implementaciones alternativas de los servicios de Google, como microG. Sin embargo, existe la opci\u00f3n de instalar los servicios de Google Play en un entorno aislado, que no tiene privilegios especiales. El proyecto tambi\u00e9n desarrolla varias aplicaciones propias centradas en la protecci\u00f3n de la informaci\u00f3n y la privacidad. Por ejemplo, se ofrece el navegador Vanadium basado en Chromium y una versi\u00f3n modificada del motor WebView, un visor de PDF seguro, un cortafuegos, la aplicaci\u00f3n Auditor para verificar dispositivos y detectar intrusiones, una aplicaci\u00f3n para trabajar con la c\u00e1mara, enfocada en garantizar la privacidad, y un sistema para crear copias de seguridad cifradas llamado Seedvault. <\/p>\n
Entre los cambios en la nueva versi\u00f3n: <\/p>\n
Los datos del perfil del usuario despu\u00e9s de reiniciar el dispositivo est\u00e1n cifrados y se descifran solo despu\u00e9s de que el usuario ingresa la contrase\u00f1a de acceso. Si el usuario no desbloquea la sesi\u00f3n activada durante m\u00e1s de 18 horas — el dispositivo se reiniciar\u00e1 autom\u00e1ticamente (el tiempo de espera se puede cambiar en Ajustes > Seguridad > Reinicio autom\u00e1tico) para evitar el an\u00e1lisis de las claves que permanecen en la memoria, en caso de que el dispositivo caiga en otras manos. <\/p>\n
Como demostraci\u00f3n de la necesidad de implementar la funci\u00f3n de reinicio autom\u00e1tico, los desarrolladores de GrapheneOS mencionaron vulnerabilidades recientemente descubiertas en los smartphone Google Pixel y Samsung Galaxy, que permiten a empresas especializadas en an\u00e1lisis forense espiar a los usuarios y extraer datos mientras el dispositivo est\u00e1 en estado activo (cuando la sesi\u00f3n est\u00e1 activa y los datos est\u00e1n descifrados). <\/p>\n