GrapheneOS'i kaitstud Android-plaatvormi uuendus.

Välja on kaitstud mobiilse platvormi GrapheneOS 2024011300, mis on haru Androidi (AOSP, Android Open Source Project) koodibaasist, laiendatud ja muudetud, et suurendada turvalisust ja tagada privaatsus. Varasemalt arenes projekt nime all AndroidHardening ning enne seda eraldus CopperheadOS-i projektist oma asutajate vahelise konflikti tõttu. GrapheneOS toetab ametlikult enamikku kaasaegsetest Google Pixel seadmetest (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). Projekti tulemused levivad MIT litsentsi alusel.

GrapheneOS hõlmab mitmeid eksperimenteerivaid tehnoloogiaid, mis on seotud rakenduste isoleerimise tugevdamise, juurdepääsu detailse haldamise, levinud haavatavuste blokkimise ja exploitide tegevuse keerukamaks muutmisega. Näiteks platvorm kasutab oma malloc’i teostust ja muudetud libc varianti, mis kaitseb mälukahjustuste eest, samuti rangemat protsesside aadressiruumi jagamist. JIT kompilaatori asemel kasutatakse Android Runtime’is ainult ettekompileerimist (AOT, ahead-of-time). Linuxi tuuma on lisatud palju täiendavaid kaitsemehhanisme, näiteks slubi süsteemis lisatakse kanarakkude sildid, et vältida mälupuhvri ülevoolu. Rakenduste isoleerimise tugevdamiseks on kasutusel SELinux ja seccomp-bpf.

On võimalus anda juurdepääs võrguoperatsioonidele, anduritetele, kontaktidele ja välisseadmetele (USB, kaamera) ainult valitud rakendustele. Kopeerimispuhvrisse lugemine on lubatud vaid nendes rakendustes, kus sisestuskursor on aktiviseeritud. Vaikimisi on keelatud saada teavet IMEI, MAC-aadressi, SIM-kaardi seerianumbri ja teiste riistvaraarvutite kohta. On astutud lisameetmeid Wi-Fi ja Bluetoothi protsesside isoleerimise tugevdamiseks ning tõkestatud lekkeid traadita tegevuse tõttu. Paljud projekti raames arendatud turvalisuse suurendamise mehhanismid on kantud Androidi põhikoodibaasi.

GrapheneOS kasutab krüptograafilist kontrollimist üles laaditud komponentide jaoks ning täiendavat andmete krüptimist ext4 ja f2fs failisüsteemide tasemel (andmed krüptitakse AES-256-XTS-i abil ning failinimed AES-256-CTS-i abil, kasutades HKDF-SHA512, et genereerida iga faili jaoks eraldi võti), mitte plokk-seadmest. Andmed süsteemiosades ja igas kasutajaprofiilis krüptitakse erinevate võtmetega. Kiirusettevõtete võimalused on kasutatud krüptimisoperatsioonide kiirendamiseks. Lukku pandud ekraanil kuvatakse sessiooni lõpetamise nupp, mille aktiveerimisel lähtestatakse dekrüptimise võtmed ja salvestus viidatakse deaktiveeritud olekusse. On olemas seadistus, mis keelab lisarakenduste installimise valitud kasutajaprofiilidele. Paroolide katsetamisest kaitsmiseks on kasutusele võetud viivituste süsteem, mis sõltub ebaõnnestunud katsete arvust (30 sekundist kuni 1 päevani).

GrapheneOS-i koosseis ei hõlma põhimõtteliselt Google'i rakendusi ja teenuseid, samuti alternatiivseid Google'i teenuste rakendusi nagu microG. Samas on võimalik installida Google Play teenuseid eraldi isoleeritud keskkonnas, kus ei ole erilisi õigusi. Projekt arendab ka mitmeid oma rakendusi, mis on keskendunud teabe ja privaatsuse kaitsmisele. Näiteks pakutakse Chromiumi baasil töötavat brauserit Vanadium, muudetud WebView mootorit, turvalist PDF-vaaturit, tulemüüri, Auditor rakendust seadmete kontrollimiseks ja sissetungide avastamiseks, kaamerarakendust, mis keskendub konfidentsiaalsuse tagamisele, ning Seedvault krüptitud varundamise süsteemi.

Uues versioonis on järgmised muudatused:

• Automaatse taaskäivitamise mehhanismi rakendust on täielikult ümber tehtud, liikudes init protsessi ajastuse kasutamisele, mitte system_serveri protsessi, mis on tõstnud turvalisust ja välistanud senitärganud seadme taaskäivitamise. Automaatse taaskäivitamise aeg on vähenenud 72 tunnilt 18 tunnile. Automaatse taaskäivitamise põhiolemus on lähtestada aktiveeritud (dekrüpteeritud) osad, kus on kasutajaandmed, algsesse dekrüpteerimata olekusse ilma tegevuseta teatud aja jooksul.

  Kasutaja profiili andmed seadme taaskäivitamisel on krüpteeritud ja need dekrüpteeritakse ainult pärast kasutaja sisselogimiskoodi sisestamist. Kui kasutaja ei ole aktiveeritud seanssi lahti võtnud rohkem kui 18 tundi, taaskäivitab seade automaatselt (ajaülesanne saab muuta seadetes Settings > Security > Auto reboot) mälu jälgimise vältimiseks, kui seade satub teiste kätesse.

  Demonstratsioonina automaatse taaskäivitamise funktsiooni vajalikkusest mainisid GrapheneOS'i arendajad hiljuti tuvastatud haavatavusi Google Pixeli ja Samsung Galaxy nutitelefonides, mis lubavad kriminaalanalüüsi spetsialiseerunud ettevõtetel jälgida kasutajaid ja andmeid, kui seade on aktiveeritud (kui seanss on aktiivne ja andmed on dekrüpteeritud).

• Lisatud logivaatamise tööriist (Settings > System > View logs), mis aitab tuvastada probleemseid kohti ja lihtsustab veateate ettevalmistamist.
• Veateate saatmise liides on ümber kujundatud.
• Adevtool'is on lisatud Pixel Camera Service tugi, mis võimaldab kasutada öörežiimi Pixel 6+ nutitelefonides rakendustes.
• Adevtool'is on lõpetatud tugi seadmetele, mis ei toeta Android 14.
• Lisatud teavitused mälukahjustuse detektori aktiveerimise kohta malloc'is.
• Linuxi tuumast on eemaldatud sysrq tugi.
• Linuxi tuum on uuendatud viimase GKI (Generic Kernel Image) 5.10.206 versioonini Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel Tableti, Pixel Folde, ja 5.15.145 versioonini Pixel 8 ja Pixel 8 Pro seadmetele. Täiendavalt on ette valmistatud 6.1.69 tuumaga kogumid.
• Brauser Vanadium on uuendatud Chromium 120.0.6099.210.0 koodibaasi.

Allikas: opennet.ru