CalyxOS-i Androidi tarkvara avaldamine, mis ei ole seotud Google'i teenustega, on taastatud

Avaldatud on CalyxOS 7.2.2.0 versioon, mis arendab Androidi platvormi põhinevat tarkvara, mis on vabastatud Google'i teenuste sõltuvustest ning pakub täiendavaid vahendeid privaatsuse ja turvalisuse tagamiseks. CalyxOS 7.2.2.0 on esimene stabiilne versioon pärast uuenduste väljaandmise peatamist eelmise aasta augustis, mis oli tingitud vajadusest ümber töödelda versioonide koostamise protsessi, teostada täielik auditi ja muuta krüptovõtmeid pärast projekti asutaja ja tehnilise juhi lahkumist, kellel oli juurdepääs digitaalse allkirjastamise võtmetele. Uus versioon on üleviidud Android 16 koodibaasile ja on saadaval Pixel 4-9, Fairphone 4/5, Motorola Moto G32-G84 ja SHIFTphone 8 seadmete komplektides.

CalyxOS-is pakub Google'i teenuste asemel microG komplekti, mis sisaldab Google Play, Google Cloud Messaging ja Google Maps alternatiivset teostust, mis ei nõua Google'i patenteeritud komponentide installimist. Google'i võrgu asukoha pakkuja asemel Wi-Fi ja baasjaamade kaudu asukoha määramiseks kasutatakse kihti, mis kasutab Positoni või BeaconDB teenuseid. Aadresside asukohta tõlgendamiseks (Geocoding Service) on kasutusel Nominatim projekti OpenStreetMap-ist.

Võrgujuhtimise jaoks kasutatakse Datura tulemüri, mis võimaldab piirata võrgu ligipääsu seotud rakenduste, ühendusmeetodite (Wi-Fi, mobiilivõrk, VPN) ja tegevuste (näiteks on võimalik keelata taustal töötavate rakenduste ligipääs). Saadaval on liides rakenduste õiguste jälgimiseks. Vaikimisi kasutatakse Calyx Chromium brauserit DuckDuckGo otsingumootoriga ning võimalusena on saadaval Tor Browser. Rakenduste installimiseks on soovitatud F-Droid ja Aurora Store (alternatiivne anonüümne klient Google Play jaoks).

CalyxOS-i muud omadused:

• Privaatsusele suunatud kõnede tegemise liides, millel on sisse ehitatud võimalus kutsuda üles messengeid Signal ja WhatsApp, kasutades lõpp-punktide krüptimist. Tagatud on konfidentsiaalsete telefoninumbrite, nagu usaldusnumbrite, varjamine kõnede ajaloost.
• Tundmatute USB-seadmete automaatne blokeerimine.
• Wi-Fi, Bluetoothi, mikrofonide ja kaamerate väljalülitamise funktsioon pärast kindlat aja möödumist aktiivsuseta.
• Võrgu juurdepääsu blokeerimise režiim hiljuti installitud rakendustes.
• Profiilide kasutamise võimalus töö- ja isikliku tegevuse eristamiseks, kus andmed ja rakendused on profiilide vahel isoleeritud.
• Integreeritud VPN-tugi koos Tor ja Riseup rakenduste eelinstallimisega. Võimalus kasutada telefoni hotspot-režiimis (USB või Wi-Fi), suunates liiklust VPN-i või Tor-i kaudu.
• Süsteemi verifitseerimine digitaalse allkirjaga, et kaitsta valehäirete ja kahjulike muutuste eest tarkvaras.
• Automaatne igakuine OTA (over-the-air) värskenduste edastamine.
• Paanika nupp äärmise andmete kustutamise ja teatud rakenduste eemaldamise jaoks.
• Automaatne rakenduste varundamise süsteem, mis võimaldab varukoopiaid salvestada USB-mäluseadmest või Nextcloud'i pilveteenusesse, kliente poolelt krüpteerimisega.
• CoMaps kaarditöötluseks, OnionShare failide jagamiseks ja Thunderbird e-posti jaoks.

Uue versiooni muudatuste hulgas, lisaks üleminekule Android 16-le, on märgitud SHIFTphone 8 nutitelefoni toe rakendamine ja sisseehitatud rakenduste versioonide värskendamine. Kogud on allkirjastatud digitaalse allkirjaga, mis põhineb uuel privaatvõtmel, mis on salvestatud uuendatud infrastruktuuri, mille aluseks on riistvara HSM-modul (Hardware Security Module), läbinud turvaaruande ja ei ole eraldi isikute kontrolli all. Plaanide seas on käivitada regulaarselt väljastatavad OTA-korrektsioonid ja CalyxOS 8 väljastamine Android 17-l põhinevalt.

Uus infastruktuur digitaalse allkirja kinnitamiseks on ehitatud selleks, et vältida sõltuvust üksikutest osalejatest ja kaitsta võtmest lekkimise eest süsteemide kompromiteerimise korral. HSM-moodulina, mis tagab võtmete riistvaralise säilitamise ja digitaalsete allkirjade loomise toimingud ilma võtmete väljavõtmiseta, valiti USB-token YubiHSM 2. Kuna iga toetatud seadme ja komponente vajab eraldi võtme digitaalsete allkirjade loomiseks ning kõik võtmed ei mahu USB-token YubiHSM 2, rakendati kihtide kaupa krüpteerimist - HSB-s hoitakse pidevalt ainult põhivõtit (wrap key), samas kui digitaalsete allkirjade loomiseks vajalikud võtmed hoitakse HSM-i väljas, krüpteerituna põhivõtmega. Digitaalse allkirja loomisel laaditakse vajalik krüpteeritud väline võti HSM-i, dekodeeritakse põhivõtmega HSM-i sees ja kasutatakse allkirjade loomiseks, ilma et võtmeid HSM-ist välja võetaks, kasutades tööriistu, mis toetavad standardit PKCS#11 (apksigner, signapk ja OpenSSL).

Esialgse privaatvõtme genereerimiseks, varukoopia loomiseks ja võtme HSM-i salvestamiseks kasutati uut arvutit, ostetud suvalisest poest. Ilma internetiühenduseta laaditi arvutisse eelnevalt kinnitatud DVD-diskilt live-režiimis Tailsi distributsioon, millest seadistati ja algatati kaks USB-tokenit YubiHSM 2 (peamine ja varukoopia). Lisaks loodi Shamiiri jagamisreegliga varukoopia võtme jaoks, kus võti jagati 5 osaks ja jaotati 5 usaldusväärse inimese vahel (USB-tokenite rikke korral on võtme taastamiseks vajalik kokku koguda vähemalt 3 osa).

Allikas: opennet.ru