Megjelent a GrapheneOS 2024011300 védett mobilplatform új verziója, amely az Android (AOSP, Android Open Source Project) kódalapjából ágazik ki, hogy fokozza a biztonságot és a magánélet védelmét. A projekt korábban AndroidHardening néven fejlődött, majd a CopperheadOS projekttől ágazott el a megalapítói közötti konfliktus után. A GrapheneOS hivatalosan támogatja a legtöbb aktuális Google Pixel eszközt (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). A projekt eredményei MIT licenc alatt elérhetők.
A GrapheneOS számos kísérleti technológiát tartalmaz, amelyek a programok izolációjának fokozására, a hozzáférés részletes kezelésére, a tipikus sebezhetőségek blokkolására és az exploitok működésének megnehezítésére irányulnak. Például a platform saját malloc implementációt és módosított libc verziót használ, amely védi a memória sérülését, valamint szigorúbb folyamatcímzés-elkülönítést valósít meg. Az Android Runtime-ban a JIT helyett csak előre kompiláció (AOT, ahead-of-time) működik. A Linux kernelben számos további védelmi mechanizmus került beépítésre, például a slub-hoz kanárimarkereket adnak hozzá a puffertúlcsordulás blokkolására. Az alkalmazások izolációjának fokozása érdekében a SELinux és a seccomp-bpf is használatban van.
Lehetőség van arra, hogy a hálózati műveletekhez, érzékelőkhöz, a címjegyzékhez és a perifériás eszközökhöz (USB, kamera) csak kiválasztott alkalmazások férhessenek hozzá. A vágólapból való olvasás csak azok számára engedélyezett, ahol az éppen aktív bemeneti fókusz található. Alapértelmezés szerint tilos az IMEI, MAC-cím, SIM-kártya sorozatszám és egyéb hardverazonosítókhoz való hozzáférés. További intézkedések történtek a Wi-Fi és Bluetooth folyamatokhoz kapcsolódó izoláció fokozására és a vezeték nélküli tevékenység miatti adatvédelmi szivárgások megakadályozására. A projekt keretein belül kifejlesztett biztonsági fokozó mechanizmusok közül sok átkerült az Android fő kódalapjába.
A GrapheneOS a letöltött komponensek kriptográfiai ellenőrzését és kiterjesztett adat titkosítást alkalmaz az ext4 és f2fs fájlrendszereken (az adatokat AES-256-XTS segítségével titkosítják, míg a fájlnevek AES-256-CTS-t használnak, HKDF-SHA512-en keresztül generálva egyedi kulcsot minden fájlhoz), nem pedig a blokk eszközön. Az adatok a rendszerpartíciókon és minden felhasználói profilban különböző kulcsokkal vannak titkosítva. Az elérhető hardveres lehetőségeket használják a titkosítási műveletek gyorsítására. A zárolási képernyőn egy kijelentkezés gomb jelenik meg, amelyre kattintva a dekódoló kulcsokat törlik, és a tároló deaktív állapotba kerül. Van egy beállítás, amely megakadályozza további alkalmazások telepítését a kiválasztott felhasználói profilok számára. A jelszó kitalálása elleni védelem érdekében késleltetési rendszert alkalmaznak, amely a sikertelen kísérletek számától függ (30 másodpertől 1 napig).
A GrapheneOS csomagjába alapvetően nem tartoznak bele a Google alkalmazások és szolgáltatások, valamint a Google szolgáltatások alternatív megvalósításai, mint például a microG. Ugyanakkor lehetőség van a Google Play szolgáltatások telepítésére egy külön elszigetelt környezetben, amelynek nincsenek különleges jogosultságai. A projekt keretein belül több saját alkalmazást is fejlesztenek, amelyek az információs védelemre és a magánélet védelmére összpontosítanak. Például kínálnak egy Chromium alapú Vanadium böngészőt, egy módosított WebView motort, egy védett PDF-olvasót, tűzfalat, Auditor nevű alkalmazást az eszközök verifikálására és behatolási kísérletek felderítésére, valamint egy kamerát használó alkalmazást, amely a titkos információk biztosítására összpontosít, és a Seedvault titkosított biztonsági mentések létrehozásának rendszerét.
Az új verzióban található változások:
- Teljesen átírták az automatikus újraindítási mechanizmus megvalósítását, amely a háttérben zajló init folyamatban időzítőt alkalmaz, nem pedig a system_server folyamatban, ami növelte a biztonságot és kizárta a még soha nem feloldott eszköz újraindítását. Az automatikus újraindítás ideje 72 óráról 18 órára csökkent. Az automatikus újraindítás fő elképzelése az, hogy egy bizonyos idő múlva, inaktivitás során visszaállítsa a felhasználói adatokkal rendelkező aktív (dekódolt) partíciókat kiinduló, dekódolatlan állapotba.
A felhasználói profil adatai a készülék újraindítása után titkosított formában találhatók, és csak a felhasználó által megadott bejelentkezési jelszó megadását követően dekódolják. Ha a felhasználó nem oldotta fel az aktív munkamenetet 18 órán belül, a készülék automatikusan újraindul (az időkorlát módosítható a beállításokban: Beállítások > Biztonság > Automatikus újraindítás), hogy megakadályozza a memóriában megmaradt kulcsok elemzését, amennyiben a készülék másik kézbe kerül.
A fejlesztők a GrapheneOS-nél a szükséges automatikus újraindítási funkció bemutatására hivatkoztak a Google Pixel és Samsung Galaxy okostelefonokban nemrégiben felfedezett sebezhetőségekre, amelyek lehetővé tették a számítástechnikai elemzésre specializálódott cégek számára, hogy kémkedjenek a felhasználók után és adatokat nyerjenek ki, amikor a készülék aktív állapotban van (amikor a munkamenet aktív és az adatok dekódolva vannak).
- Hozzáadva a naplómegtekintő (Beállítások > Rendszer > Naplók megtekintése), amely lehetővé teszi a felmerülő problémák értékelését és megkönnyíti a hibajelentések elkészítését.
- Átdolgozva a hibajelentések küldésének felületét.
- Az adevtool-ban hozzáadva a Pixel Camera Service támogatása, amely lehetővé teszi az éjszakai üzemmód használatát a Pixel 6+ okostelefonokon található alkalmazásokban.
- Az adevtool-ban megszűnt a nem Android 14 által támogatott készülékek támogatása.
- Hozzáadva a memória sérülésének érzékeléséről szóló értesítések megjelenítése a malloc-ban.
- A Linux kernelben letiltva a sysrq támogatása.
- A Linux kernel frissítve a legújabb GKI (Generic Kernel Image) 5.10.206 verzióra a Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel Tablet és Pixel Fold készülékekhez, valamint 5.15.145 verzióra a Pixel 8 és Pixel 8 Pro készülékekhez. További 6.1.69 verziós kernel építmények is elkészültek.
- A Vanadium böngésző frissítve a Chromium 120.0.6099.210.0 verziójára.
Forrás: opennet.ru
