\u00c8 disponibile il rilascio della piattaforma mobile sicura GrapheneOS 2024011300, che rappresenta un ramo della base di codice Android (AOSP, Android Open Source Project), ampliato e modificato per aumentare la sicurezza e garantire la privacy. In precedenza, il progetto si sviluppava con il nome AndroidHardening e, prima di ci\u00f2, si era distaccato dal progetto CopperheadOS dopo un conflitto tra i suoi fondatori. In GrapheneOS \u00e8 ufficialmente supportata la maggior parte dei dispositivi Google Pixel attuali (Pixel 4\/5\/6\/7\/8, Pixel Fold, Pixel Tablet). I risultati del progetto sono distribuiti con licenza MIT. <\/p>\n
GrapheneOS include molte tecnologie sperimentali legate al rafforzamento dell'isolamento delle applicazioni, alla gestione dettagliata degli accessi, al blocco delle vulnerabilit\u00e0 comuni e alla complicazione del funzionamento degli exploit. Ad esempio, nella piattaforma viene utilizzata un'implementazione proprietaria di malloc e una variante modificata di libc con protezione da danneggiamenti della memoria, oltre a una separazione pi\u00f9 rigorosa dello spazio degli indirizzi dei processi. Al posto del JIT, nel runtime Android viene utilizzata solo la compilazione anticipata (AOT, ahead-of-time). Nel kernel Linux sono inclusi molti meccanismi di protezione aggiuntivi, ad esempio, nelle strutture slub vengono aggiunti marcatori di canarini per bloccare il buffer overflow. Per aumentare l'isolamento delle applicazioni, vengono utilizzati SELinux e seccomp-bpf. <\/p>\n
Esiste la possibilit\u00e0 di fornire accesso alle operazioni di rete, ai sensori, alla rubrica e alle periferiche (USB, fotocamera) solo ad alcune applicazioni selezionate. La lettura dagli appunti \u00e8 consentita solo alle applicazioni attualmente attive. Di default, \u00e8 vietato ottenere informazioni su IMEI, indirizzo MAC, numero di serie della SIM e altri identificatori hardware. Sono state adottate misure aggiuntive per isolare i processi legati a Wi-Fi e Bluetooth e prevenire perdite a causa dell'attivit\u00e0 wireless. Molti dei meccanismi di sicurezza sviluppati nel progetto sono stati trasferiti alla base di codice principale di Android. <\/p>\n
In GrapheneOS, cryptographic verification of loaded components and advanced encryption of data at the level of ext4 and f2fs file systems are implemented (data is encrypted using AES-256-XTS, while file names are encrypted using AES-256-CTS, with HKDF-SHA512 used to generate a separate key for each file), rather than on the block device. Data in system partitions and in each user profile is encrypted with different keys. Available hardware capabilities are utilized to accelerate encryption operations. A logout button is displayed on the lock screen, after which the decryption keys are reset and storage is switched to an inactive state. There is a setting to prevent the installation of additional applications for selected user profiles. To protect against password brute-forcing, a delay system is in place, dependent on the number of failed attempts (ranging from 30 seconds to 1 day). <\/p>\n
In GrapheneOS non vengono inclusi applicazioni e servizi Google, n\u00e9 alternative delle implementazioni dei servizi Google, come microG. \u00c8 possibile installare i servizi Google Play in un ambiente isolato separato, privo di privilegi speciali. Il progetto include anche lo sviluppo di diverse applicazioni proprietarie focalizzate sulla protezione delle informazioni e della privacy. Ad esempio, \u00e8 disponibile il browser Vanadium basato su Chromium, una variante modificata del motore WebView, un visualizzatore PDF protetto, un firewall, l'app Auditor per la verifica dei dispositivi e l'identificazione delle intrusioni, un'app per la fotocamera focalizzata sulla riservatezza e un sistema di creazione di backup crittografati chiamato Seedvault. <\/p>\n
Tra le novit\u00e0 nella nuova versione: <\/p>\n
The user profile data remains encrypted after the device reboot and is decrypted only after the user enters their login password. If the user does not unlock the activated session for more than 18 hours, the device will automatically reboot (the timeout can be changed in Settings > Security > Auto reboot) to prevent analysis of the keys that remain in memory if the device falls into other hands. <\/p>\n
Come dimostrazione della necessit\u00e0 di applicare la funzione di riavvio automatico, gli sviluppatori di GrapheneOS hanno menzionato vulnerabilit\u00e0 recentemente scoperte nei smartphone Google Pixel e Samsung Galaxy, che consentono alle aziende specializzate in analisi forensi di spiare gli utenti e estrarre dati quando il dispositivo \u00e8 in stato attivo (quando la sessione \u00e8 attiva e i dati sono decrittografati). <\/p>\n