Nell'ultimo aggiornamento della piattaforma mobile protetta GrapheneOS 2024053100 è stata introdotta la funzione di blocco urgente dei dati sul dispositivo. All'utente è fornita la possibilità di impostare una password aggiuntiva e un PIN, la cui immissione porterà alla cancellazione di tutte le chiavi nei depositi hardware, comprese le chiavi utilizzate per criptare i dati sul dispositivo di archiviazione, oltre alla cancellazione dell'eSIM e al riavvio. In questo modo, in caso di pressione sull'utente e di costrizione a sbloccare lo schermo o in presenza della minaccia che lo smartphone cada in mani sbagliate, il proprietario del dispositivo può inserire un PIN distruttivo e bloccare i dati senza possibilità di recupero dell'accesso.
Il progetto GrapheneOS si basa su un ramo del codice sorgente Android (AOSP, Android Open Source Project), ampliato e modificato per migliorare la sicurezza e garantire la privacy. Sono ufficialmente supportati la maggior parte dei dispositivi Google Pixel attuali (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet). I risultati del progetto sono distribuiti sotto licenza MIT. Il progetto include molte tecnologie sperimentali relative al rafforzamento dell'isolamento delle applicazioni, alla gestione dettagliata degli accessi, al blocco delle vulnerabilità comuni e alla complicazione del funzionamento degli exploit.
Ad esempio, nella piattaforma viene utilizzata una propria implementazione di malloc e una versione modificata di libc con protezione contro la corruzione della memoria, oltre a una separazione più rigida degli spazi degli indirizzi dei processi. Al posto del JIT nell'Android Runtime viene utilizzata solo la compilazione anticipata (AOT, ahead-of-time). Nel kernel Linux sono inclusi molti meccanismi di protezione aggiuntivi, ad esempio, in slub vengono aggiunte etichette canarie per prevenire i buffer overflow. Per rafforzare l'isolamento delle applicazioni vengono impiegati SELinux e seccomp-bpf.
È possibile fornire accesso selettivo a singole applicazioni per le operazioni di rete, ai sensori, alla rubrica e ai dispositivi periferici (USB, fotocamera). Per impostazione predefinita, è vietato raccogliere informazioni su IMEI, indirizzo MAC, numero di serie della SIM e altri identificatori hardware. La lettura dagli appunti è consentita solo per le applicazioni che hanno il focus di input attivo. Sono state implementate ulteriori misure per isolare i processi legati a Wi-Fi e Bluetooth e prevenire perdite a causa di attività wireless. Molti dei meccanismi di rafforzamento della sicurezza sviluppati nel progetto sono stati trasferiti nella base di codice principale di Android.
In GrapheneOS viene applicata la verifica crittografica dei componenti caricati e un crittografia dei dati a livello dei file system ext4 e f2fs (i dati sono crittografati utilizzando AES-256-XTS, mentre i nomi dei file sono AES-256-CTS con l'uso di HKDF-SHA512 per generare una chiave separata per ciascun file), e non a livello del dispositivo blocco. I dati nelle partizioni di sistema e in ciascun profilo utente sono crittografati con chiavi diverse. Vengono utilizzate le capacità hardware disponibili per accelerare le operazioni di crittografia. Sullo schermo di blocco viene visualizzato un pulsante di disconnessione, premendo il quale le chiavi di decrittazione vengono azzerate e l'archiviazione passa in uno stato non attivato. È presente un'impostazione per vietare l'installazione di ulteriori applicazioni nei profili utente selezionati. Per proteggere dagli attacchi di forza bruta è attivato un sistema di ritardi, che dipendono dal numero di tentativi falliti (da 30 secondi a 1 giorno).
Nel sistema di GrapheneOS non vengono inclusi applicazioni e servizi Google, né alternative ai servizi Google come microG. Tuttavia, è possibile installare i servizi Google Play in un ambiente isolato, privo di privilegi speciali. Il progetto sviluppa anche diverse applicazioni proprie, focalizzate sulla protezione delle informazioni e sulla privacy. In particolare, viene offerto il browser Vanadium basato su Chromium e una versione modificata del motore WebView, un visualizzatore PDF protetto, un firewall, l'app Auditor per la verifica dei dispositivi e il rilevamento delle intrusioni, un'app per la gestione della fotocamera focalizzata sulla riservatezza e un sistema per la creazione di backup crittografati chiamato Seedvault.
Fonte: opennet.ru
