È disponibile il rilascio della piattaforma mobile protetta GrapheneOS 2024011300, che rappresenta un ramo della base di codice Android (AOSP, Android Open Source Project), ampliata e modificata per migliorare la sicurezza e garantire la riservatezza. In precedenza, il progetto si sviluppava sotto il nome di AndroidHardening, e prima ancora si era separato dal progetto CopperheadOS dopo un conflitto tra i suoi fondatori. In GrapheneOS sono ufficialmente supportati la maggior parte dei dispositivi Google Pixel attuali (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). I risultati del progetto sono distribuiti sotto licenza MIT.
GrapheneOS include molte tecnologie sperimentali relative al potenziamento dell'isolamento delle applicazioni, alla gestione dettagliata dell'accesso, al blocco delle vulnerabilità comuni e alla difficoltà di sfruttare gli exploit. Ad esempio, la piattaforma utilizza una propria implementazione di malloc e una versione modificata di libc con protezione contro la corruzione della memoria, oltre a una separazione più rigida dello spazio degli indirizzi dei processi. Invece di JIT, in Android Runtime viene utilizzata solo la compilazione anticipata (AOT, ahead-of-time). Nel kernel Linux sono presenti molti meccanismi di protezione aggiuntivi, ad esempio, in slub vengono aggiunte etichette di protezione per bloccare il buffer overflow. Per aumentare l'isolamento delle applicazioni, vengono utilizzati SELinux e seccomp-bpf.
È possibile fornire accesso alle operazioni di rete, ai sensori, alla rubrica e ai dispositivi periferici (USB, fotocamera) solo ad alcune applicazioni selezionate. La lettura dagli appunti è consentita solo alle applicazioni che hanno attualmente il focus di input attivo. Di default, è vietato ottenere informazioni su IMEI, indirizzo MAC, numero di serie della SIM e altri identificatori hardware. Sono state intraprese ulteriori misure per isolare i processi relativi a Wi-Fi e Bluetooth e prevenire perdite di dati a causa di attività wireless. Molti dei meccanismi di potenziamento della sicurezza sviluppati nel progetto sono stati trasferiti nel codice sorgente principale di Android.
GrapheneOS utilizza la verifica crittografica dei componenti caricati e una crittografia avanzata dei dati a livello di filesystem ext4 e f2fs (i dati vengono crittografati utilizzando AES-256-XTS, mentre i nomi dei file sono crittografati con AES-256-CTS utilizzando HKDF-SHA512 per generare una chiave separata per ogni file), non a livello di dispositivo di blocco. I dati nelle partizioni di sistema e in ciascun profilo utente sono crittografati con chiavi diverse. Vengono utilizzate le capacità hardware disponibili per accelerare le operazioni di crittografia. Sullo schermo di blocco è presente un pulsante di termine della sessione; dopo averlo premuto, le chiavi per la decrittazione vengono azzerate e lo storage passa a uno stato disattivato. È disponibile un'impostazione per vietare l'installazione di applicazioni aggiuntive per specifici profili utenti. Per proteggere contro gli attacchi di forza bruta, è in atto un sistema di ritardi che dipende dal numero di tentativi non riusciti (da 30 secondi a 1 giorno).
In GrapheneOS non vengono inclusi applicazioni e servizi Google, né implementazioni alternative dei servizi Google come microG. È però possibile installare i servizi Google Play in un ambiente isolato, privo di privilegi speciali. Il progetto sviluppa anche alcune proprie applicazioni focalizzate sulla protezione delle informazioni e sulla privacy. Ad esempio, sono disponibili il browser Vanadium basato su Chromium e una versione modificata del motore WebView, un visualizzatore PDF protetto, un firewall, un'app Auditor per la verifica dei dispositivi e l'individuazione di intrusioni, un'app per la fotocamera focalizzata sulla riservatezza e un sistema di creazione di backup crittografati chiamato Seedvault.
Tra le modifiche nella nuova versione:
- È stata completamente riprogettata l'implementazione del meccanismo di riavvio automatico, che è stata riorganizzata per utilizzare un timer nel processo di init, e non nel processo system_server, permettendo di aumentare la sicurezza ed escludere il riavvio di un dispositivo mai sbloccato. Il tempo di riavvio automatico è stato ridotto da 72 a 18 ore. L'idea principale del riavvio automatico è quella di ripristinare le partizioni attivate (decrittografate) con i dati utente al loro stato originale non decrittografato dopo un certo periodo di inattività.
I dati del profilo utente, dopo il riavvio del dispositivo, sono in forma crittografata e vengono decrittografati solo dopo che l'utente inserisce la propria password di accesso. Se l'utente non sblocca una sessione attivata per più di 18 ore, il dispositivo verrà riavviato automaticamente (il timeout può essere modificato nelle impostazioni Settings > Security > Auto reboot) per prevenire l'analisi delle chiavi che rimangono in memoria, nel caso in cui il dispositivo cada in altre mani.
A dimostrazione della necessità di implementare la funzione di riavvio automatico, gli sviluppatori di GrapheneOS hanno menzionato le vulnerabilità recentemente scoperte negli smartphone Google Pixel e Samsung Galaxy, che consentono alle aziende specializzate in analisi forense di spiare gli utenti e estrarre dati quando il dispositivo è in stato attivo (quando la sessione è attiva e i dati sono decrittografati).
- È stata aggiunta una visualizzazione dei log (Settings > System > View logs), che consente di valutare i problemi che si presentano e semplifica la preparazione di rapporti sugli errori.
- Interfaccia riprogettata per l'invio di report di crash.
- In adevtool è stato aggiunto il supporto per il Pixel Camera Service, che consente di utilizzare la modalità notturna nelle applicazioni sugli smartphone Pixel 6+.
- In adevtool è stato interrotto il supporto per i dispositivi non compatibili con Android 14.
- Aggiunta la segnalazione di notifiche relative all'attivazione del rilevatore di corruzione della memoria in malloc.
- Supporto sysrq disabilitato nel kernel Linux.
- Il kernel Linux è stato aggiornato all'ultima versione GKI (Generic Kernel Image) 5.10.206 per dispositivi Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel Tablet, Pixel Fold, e alla versione 5.15.145 per dispositivi Pixel 8 e Pixel 8 Pro. Sono inoltre state preparate build con kernel 6.1.69.
- Il browser Vanadium è stato aggiornato alla base di codice Chromium 120.0.6099.210.0.
Fonte: opennet.ru
