Saadaval on kaitstud mobiilse platvormi GrapheneOS 2024011300 v\u00e4ljalase, mis on hargnenud Androidi koodibaasist (AOSP, Android Open Source Project), t\u00e4iustatud ja muudetud turvalisuse ja privaatsuse tugevdamiseks. Varasemalt tunti projekti nime all AndroidHardening ja enne seda hargnes see CopperheadOS-i projektist p\u00e4rast selle asutajate vaidlust. GrapheneOS-i ametlikult toetatakse enamikke Google Pixel'i kaasaegseid seadmeid (Pixel 4\/5\/6\/7\/8, Pixel Fold, Pixel Tablet). Projekti tulemusi levitatakse MIT litsentsi alusel. <\/p>\n
GrapheneOS sisaldab mitmeid eksperimentaalseid tehnoloogiaid, mis on seotud rakenduste isoleerimise suurendamise, juurdep\u00e4\u00e4su detailse juhtimise, tavaliste haavatavuste ilmingute blokeerimise ja eksploitide keerukuse t\u00f5hustamisega. N\u00e4iteks kasutatakse platvormil oma malloc teostust ja muudetud variant libc-ga, mis pakub m\u00e4lu kahjustamise kaitset, samuti on protsesside aadressiruumi sagedamini jagatud. Android Runtime'is rakendatakse ainult ettevaatlikku (AOT, ahead-of-time) kompileerimist, mitte JIT-d. Linuxi tuumas on lisatud mitmeid t\u00e4iendavaid kaitsemehhanisme, n\u00e4iteks lisatakse slubi kanalite blokeerimiseks kanarip\u00e4id. Rakenduste isoleerimise tugevdamiseks kasutatakse SELinux'i ja seccomp-bpf'i. <\/p>\n
On v\u00f5imalus anda juurdep\u00e4\u00e4s v\u00f5rgutegevustele, sensoreile, kontaktide loendile ja v\u00e4lisseadmetele (USB, kaamerale) ainult valitud rakendustele. L\u00f5ikelauast lugemine on lubatud ainult neis rakendustes, kus sisendfookus on hetkel aktiveeritud. Vaikimisi on keelatud IMEI, MAC-aadressi, SIM-kaardi seerianumbri ja teiste riistvaraliste identifikaatorite hankimine. On astutud t\u00e4iendavaid samme Wi-Fi ja Bluetoothi protsesside isolatsiooni tagamiseks ning lekete v\u00e4ltimiseks traadita tegevuse t\u00f5ttu. Paljusid projekti raames v\u00e4lja t\u00f6\u00f6tatud turvamehhanisme on edastatud Androidi p\u00f5hikoodibaasi. <\/p>\n
GrapheneOS-is kasutatakse kr\u00fcptograafilist haldust laaditavate komponentide ja laiaribalise andmete kr\u00fcpteerimist ext4 ja f2fs failis\u00fcsteemide tasemel (andmed kr\u00fcpteeritakse AES-256-XTS abil ning failinimed — AES-256-CTS, kasutades HKDF-SHA512 eraldi v\u00f5tme genereerimiseks iga faili jaoks), mitte plokiseadmetsse. S\u00fcsteemi sektsioonides ja igas kasutajaprofiilis on andmed kr\u00fcpteeritud erinevate v\u00f5tmetega. Kasutatakse seadme riistvaralist v\u00f5imekust kr\u00fcpteerimisoperatsioonide kiirendamiseks. Lukkude ekraanil kuvatakse sessiooni l\u00f5petamise nupp, millele vajutamisel l\u00e4htestatakse dekodeerimise v\u00f5tmed ja salvestuspaik viidud mitteaktiveeritud olekusse. On olemas seadistus, mis takistab valitud kasutajaprofiilidele t\u00e4iendavate rakenduste installimist. Paroolide murdmise v\u00e4ltimiseks on rakendatud viivitus-s\u00fcsteem, mis s\u00f5ltub eba\u00f5nnestunud katsete arvust (30 sekundist kuni 1 p\u00e4evani). <\/p>\n
GrapheneOS ei sisalda Google'i rakendusi ja teenuseid, samuti alternatiivseid Google'i teenuste versioone nagu microG. Samas on v\u00f5imalik installida Google Play teenuseid eraldi isoleeritud keskkonnas, milles puuduvad erandid. Projekt arendab ka mitmeid enda rakendusi, mis keskenduvad teabe kaitsmisele ja privaatsusele. N\u00e4iteks on saadaval Chromium-p\u00f5hine brauser Vanadium ja muudetud versioon WebView mootorist, kaitstud PDF-vaatur, tulem\u00fc\u00fcr, Auditor-rakendus seadmete valideerimiseks ja sissetungide tuvastamiseks, privaatsuse tagamisele suunatud kaamerarakendus ning kr\u00fcpteeritud varukoopiate loomise s\u00fcsteem Seedvault. <\/p>\n
Uue versiooni muudatuste hulgas on: <\/p>\n
Kasutajaprofiili andmed p\u00e4rast seadme taask\u00e4ivitamist on kr\u00fcpteeritud ja dekodeeritakse ainult p\u00e4rast, kui kasutaja sisestab sisselogimise parooli. Kui kasutaja ei ole aktiveeritud sessiooni rohkem kui 18 tundi — seade taask\u00e4ivitub automaatselt (ajavahemikku saab muuta seadetes Settings > Security > Auto reboot), et v\u00e4ltida v\u00f5tmete anal\u00fc\u00fcsi, mis v\u00f5ivad m\u00e4lu j\u00e4\u00e4da, kui seade satub teiste k\u00e4tte. <\/p>\n
GrapheneOS arendajad t\u00f5id hiljuti v\u00e4lja Google Pixel ja Samsung Galaxy nutitelefonides avastatud haavatavused, mis v\u00f5imaldavad kriminoloogia anal\u00fc\u00fcsi spetsialistidel j\u00e4lgida kasutajaid ja andmeid hankida, kui seade on aktiveeritud (kui seanss on aktiivne ja andmed on kr\u00fcpteeritud). <\/p>\n