In de nieuwste update van het beveiligde mobiele platform GrapheneOS 2024053100 is de functie voor noodvergrendeling van gegevens op het apparaat toegevoegd. Gebruikers kunnen een extra wachtwoord en PIN-code instellen, waarvan het invoeren leidt tot het wissen van alle sleutels in de hardware-opslag, inclusief sleutels die worden gebruikt voor het versleutelen van gegevens op de schijf, evenals het wissen van de eSIM en het opnieuw opstarten van het apparaat. Op deze manier kan de eigenaar van het apparaat, in geval van druk op de gebruiker of bij de dreiging dat de smartphone in verkeerde handen valt, de destructieve PIN-code invoeren en de gegevens blokkeren zonder mogelijkheid tot herstel van toegang.
Project GrapheneOS ontwikkelt een variant van de Android-codebasis (AOSP, Android Open Source Project), die is uitgebreid en gewijzigd om de beveiliging en privacy te verbeteren. De meeste actuele Google Pixel-apparaten (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet) worden officieel ondersteund. De uitvindingen van het project worden verspreid onder de MIT-licentie. Het bevat veel experimentele technologieƫn die verband houden met het verbeteren van de isolatie van applicaties, gedetailleerd toegangsbeheer, het blokkeren van veelvoorkomende kwetsbaarheden en het bemoeilijken van exploits.
Bijvoorbeeld, het platform maakt gebruik van een eigen implementatie van malloc en een gemodificeerde versie van libc met bescherming tegen geheugenbeschadiging, evenals een striktere scheiding van de adresruimte van processen. In plaats van JIT in de Android Runtime wordt alleen voorlopige (AOT, ahead-of-time) compilatie toegepast. In de Linux-kernel zijn veel extra beschermingsmechanismen opgenomen, zoals het toevoegen van canary-merken in slub om buffer-overflows te blokkeren. Ter verbetering van de isolatie van applicaties worden SELinux en seccomp-bpf ingezet.
Er is de mogelijkheid om selectieve toegang te verlenen aan afzonderlijke apps voor netwerkactiviteiten, sensoren, het adresboek en randapparatuur (USB, camera). Standaard is het verboden om informatie over IMEI, MAC-adres, serienummer van de SIM-kaart en andere hardware-identificatoren te verkrijgen. Lezen vanuit het klembord is alleen toegestaan voor apps waar op dat moment de invoerfocus actief is. Er zijn aanvullende maatregelen inbegrepen om processen met betrekking tot Wi-Fi en Bluetooth te isoleren en om lekken door draadloze activiteit te voorkomen. Veel van de beveiligingsmechanismen die zijn ontwikkeld in het kader van het project zijn overgebracht naar de hoofdcodestructuur van Android.
GrapheneOS past cryptografische verificatie toe op gedownloade componenten en uitgebreide gegevensversleuteling op het niveau van ext4- en f2fs-bestandssystemen (gegevens worden versleuteld met AES-256-XTS, en bestandsnamen met AES-256-CTS met behulp van HKDF-SHA512 voor het genereren van een afzonderlijke sleutel voor elk bestand), niet op blockdevice-niveau. Gegevens in systeempartities en in elk gebruikersprofiel worden versleuteld met verschillende sleutels. Beschikbare hardwarecapaciteiten worden gebruikt om versleutelingsbewerkingen te versnellen. Op het vergrendelingsscherm is er een knop voor sessie beƫindiging, waarna de sleutels voor decryptie worden gereset en de opslag in een niet-geactiveerde toestand wordt geplaatst. Er is een instelling om de installatie van extra apps in geselecteerde gebruikersprofielen te verbieden. Ter bescherming tegen wachtwoordpogingen is er een systeem van vertragingen, afhankelijk van het aantal mislukte pogingen (van 30 seconden tot 1 dag).
GrapheneOS bevat principieel geen Google-apps en -services, noch alternatieve implementaties van Google-services, zoals microG. Er is echter een mogelijkheid om de Google Play-services in een afzonderlijke, geĆÆsoleerde omgeving te installeren zonder speciale privileges. Het project ontwikkelt ook verschillende eigen applicaties gericht op informatiebeveiliging en privacy. Onder andere zijn er de Vanadium-webbrowser op basis van Chromium, een gemodificeerde versie van de WebView-engine, een beveiligde PDF-viewer, een firewall, de Auditor-app voor apparaatauditing en het detecteren van inbreuken, een camera-app gericht op privacybescherming, en het systeem voor het maken van versleutelde back-ups, Seedvault.
Bron: opennet.ru
