Na última atualização da plataforma móvel segura GrapheneOS 2024053100, foi adicionada a função de bloqueio de emergência dos dados no dispositivo. O usuário pode definir uma senha adicional e um PIN, cuja inserção resultará na limpeza de todas as chaves nos armazenamentos de hardware, incluindo as chaves usadas para criptografar dados no armazenamento, além da limpeza da eSIM e reinicialização. Assim, em caso de pressão sobre o usuário e coerção para desbloquear a tela, ou ao enfrentar a ameaça de o smartphone cair em mãos erradas, o proprietário do dispositivo pode inserir o PIN destrutivo e bloquear os dados sem possibilidade de recuperação de acesso.
O projeto GrapheneOS desenvolve um fork da base de código Android (AOSP, Android Open Source Project), ampliado e modificado para fortalecer a segurança e garantir a privacidade. A maioria dos dispositivos atuais do Google Pixel (Pixel 4/5/6/7/8, Pixel Fold, Pixel Tablet) é oficialmente compatível. As inovações do projeto são distribuídas sob a licença MIT. Inclui muitas tecnologias experimentais relacionadas ao fortalecimento do isolamento de aplicativos, controle detalhado de acesso, bloqueio da exploração de vulnerabilidades comuns e dificultação de exploits.
Por exemplo, a plataforma utiliza uma implementação própria do malloc e uma versão modificada do libc com proteção contra corrupção de memória, além de uma separação mais rigorosa do espaço de endereçamento dos processos. Em vez de JIT, a Android Runtime utiliza apenas compilação preemptiva (AOT, ahead-of-time). O núcleo do Linux inclui muitos mecanismos adicionais de proteção, como a adição de rótulos canário no slub para bloquear o estouro de buffer. Para fortalecer o isolamento de aplicativos, são utilizados o SELinux e o seccomp-bpf.
É possível conceder acesso seletivo a aplicativos específicos a operações de rede, sensores, lista de contatos e dispositivos periféricos (USB, câmera). Por padrão, é proibido obter informações sobre o IMEI, endereço MAC, número de série do cartão SIM e outros identificadores de hardware. A leitura da área de transferência é permitida apenas para aplicativos que estão atualmente em foco. Medidas adicionais foram implementadas para isolar processos relacionados ao Wi-Fi e Bluetooth e prevenir vazamentos devido a atividades sem fio. Muitos dos mecanismos de segurança desenvolvidos no projeto foram transferidos para a base de código principal do Android.
No GrapheneOS, aplica-se verificação criptográfica de componentes carregados e extensões criptografia de dados a nível de sistemas de arquivos ext4 e f2fs (dados são criptografados usando AES-256-XTS, e os nomes dos arquivos — AES-256-CTS utilizando HKDF-SHA512 para gerar uma chave separada para cada arquivo), em vez de no dispositivo de bloco. Os dados nas partições do sistema e em cada perfil de usuário são criptografados com chaves diferentes. As capacidades de hardware disponíveis são usadas para acelerar as operações de criptografia. Na tela de bloqueio, é exibido um botão de encerramento da sessão, após o qual as chaves de descriptografia são redefinidas e o armazenamento é colocado em estado desativado. Existe uma configuração para proibir a instalação de aplicativos adicionais em perfis de usuários selecionados. Para proteger contra ataques de força bruta, um sistema de atrasos foi implementado, dependendo do número de tentativas malsucedidas (de 30 segundos a 1 dia).
No GrapheneOS não são incluídos aplicativos e serviços do Google, nem implementações alternativas dos serviços do Google, como o microG. Contudo, é possível instalar os serviços do Google Play em um ambiente isolado, sem privilégios especiais. O projeto também desenvolve vários aplicativos próprios, focados na proteção de informações e privacidade. Entre eles, estão o navegador Vanadium baseado no Chromium, uma versão modificada do mecanismo WebView, um visualizador de PDF seguro, um firewall, o aplicativo Auditor para verificação de dispositivos e detecção de intrusões, um aplicativo para câmera focado em garantir a privacidade e o sistema de criação de backups criptografados Seedvault.
Fonte: opennet.ru
