Nel recente aggiornamento della piattaforma mobile sicura GrapheneOS 2024053100 è stata aggiunta la funzione di blocco di emergenza dei dati sul dispositivo. All'utente è stata offerta la possibilità di impostare una password e un PIN aggiuntivi, il cui inserimento porterà all'eliminazione di tutte le chiavi negli archivi hardware, comprese le chiavi utilizzate per la crittografia dei dati sul disco, nonché all'eliminazione dell'eSIM e al riavvio. In questo modo, in caso di pressione sullo user o di costrizione a sbloccare lo schermo, oppure in presenza di minacce che porterebbero il smartphone a finire in mani sbagliate, il proprietario del dispositivo può inserire un PIN distruttivo e bloccare i dati senza possibilità di ripristinare l'accesso.
Il progetto GrapheneOS sviluppa un fork del codice di Android (AOSP, Android Open Source Project), ampliato e modificato per migliorare la sicurezza e garantire la privacy. È ufficialmente supportato dalla maggior parte dei dispositivi Google Pixel attuali (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). I risultati del progetto sono distribuiti con licenza MIT. Comprende molte tecnologie sperimentali relative al rafforzamento dell'isolamento delle applicazioni, alla gestione dettagliata degli accessi, al blocco delle vulnerabilità comuni e all'indebolimento dell'operatività degli exploit.
Ad esempio, la piattaforma utilizza una propria implementazione di malloc e una versione modificata di libc con protezione contro i danni alla memoria, oltre a una suddivisione più rigida dello spazio indirizzi dei processi. Invece del JIT, nel runtime Android viene utilizzata solo la compilazione anticipata (AOT, ahead-of-time). Nel kernel Linux sono implementati molti meccanismi di protezione aggiuntivi, ad esempio, nel slub vengono aggiunte etichette canarie per bloccare il buffer overflow. Per migliorare l'isolamento delle applicazioni, vengono utilizzati SELinux e seccomp-bpf.
È possibile fornire accesso selettivo a singole applicazioni per le operazioni di rete, ai sensori, alla rubrica e ai dispositivi periferici (USB, fotocamera). Per impostazione predefinita, è vietato accedere a informazioni come IMEI, indirizzo MAC, numero di serie della SIM e altri identificatori hardware. La lettura dagli appunti è consentita solo per le applicazioni in cui è attualmente attivo il focus di input. Sono state implementate ulteriori misure per isolare i processi relativi a Wi-Fi e Bluetooth e per prevenire perdite dovute ad attività wireless. Molti dei meccanismi di sicurezza sviluppati nel progetto sono stati trasferiti nel codice principale di Android.
In GrapheneOS viene applicata la verifica crittografica dei componenti caricati e avanzata cifratura dei dati a livello dei file system ext4 e f2fs (i dati sono criptati utilizzando AES-256-XTS, e i nomi dei file con AES-256-CTS con HKDF-SHA512 per generare una chiave separata per ogni file), e non sul dispositivo a blocchi. I dati nelle partizioni di sistema e in ogni profilo utente sono criptati con chiavi diverse. Vengono sfruttate le capacità hardware disponibili per accelerare le operazioni di crittografia. Sullo schermo di blocco viene visualizzato un pulsante per terminare la sessione; una volta premuto, le chiavi per la decrittazione vengono azzerate e lo storage viene riportato in uno stato non attivato. È presente un'impostazione per vietare l'installazione di applicazioni aggiuntive nei profili utente selezionati. Per proteggere da attacchi di forza bruta, è attivo un sistema di ritardi che dipende dal numero di tentativi falliti (da 30 secondi a 1 giorno).
Il GrapheneOS non include fondamentalmente applicazioni e servizi Google, né implementazioni alternative dei servizi Google, come microG. È comunque possibile installare i servizi Google Play in un ambiente isolato, privo di privilegi speciali. Il progetto sta anche sviluppando diverse applicazioni proprietarie focalizzate sulla protezione delle informazioni e sulla privacy. In particolare, sono offerti il browser Vanadium basato su Chromium e una versione modificata del motore WebView, un visualizzatore PDF protetto, un firewall, l'app Auditor per la verifica dei dispositivi e la rilevazione di intrusioni, un'applicazione per la fotocamera mirata a garantire la riservatezza e un sistema di backup crittografato chiamato Seedvault.
Fonte: opennet.ru
