A fost lansat\u0103 versiunea platformei mobile securizate GrapheneOS 2024011300, care este un fork al codului surs\u0103 Android (AOSP, Android Open Source Project), extins \u0219i modificat pentru a \u00eembun\u0103t\u0103\u021bi securitatea \u0219i a asigura confiden\u021bialitatea. Anterior, proiectul a evoluat sub numele AndroidHardening \u0219i, \u00eenainte de aceasta, a fost derivat din proiectul CopperheadOS, dup\u0103 un conflict \u00eentre fondatorii s\u0103i. GrapheneOS suport\u0103 oficial majoritatea dispozitivelor Google Pixel moderne (Pixel 4\/5\/6\/7\/8, Pixel Fold, Pixel Tablet). Proiectul este distribuit sub licen\u021ba MIT. <\/p>\n
GrapheneOS include multe tehnologii experimentale legate de \u00eembun\u0103t\u0103\u021birea izola\u021biei aplica\u021biilor, gestionarea detaliat\u0103 a accesului, blocarea manifest\u0103rii vulnerabilit\u0103\u021bilor tipice \u0219i dificult\u0103\u021bile \u00een exploatarea acestora. De exemplu, platforma folose\u0219te o implementare proprie a malloc \u0219i o variant\u0103 modificat\u0103 a libc cu protec\u021bie \u00eempotriva coruperii memoriei, precum \u0219i o separare mai strict\u0103 a spa\u021biului de adresare \u00eentre procese. \u00cen loc de JIT \u00een Android Runtime, se utilizeaz\u0103 doar compilarea u\u0219or anticipat\u0103 (AOT, ahead-of-time). \u00cen nucleul Linux sunt incluse multe mecanisme suplimentare de protec\u021bie, de exemplu, \u00een slub sunt ad\u0103ugate marcaje canar pentru blocarea dep\u0103\u0219irii buffer-elor. Pentru a \u00eembun\u0103t\u0103\u021bi izola\u021bia aplica\u021biilor, se utilizeaz\u0103 SELinux \u0219i seccomp-bpf. <\/p>\n
Exist\u0103 posibilitatea de a acorda acces la opera\u021biuni de re\u021bea, senzori, cartea de contacte \u0219i dispozitive periferice (USB, camer\u0103) doar aplica\u021biilor selectate. Citirea din clipboard este permis\u0103 doar aplica\u021biilor \u00een care este activ pe moment focusul de introducere. Din oficiu, ob\u021binerea informa\u021biilor despre IMEI, adresa MAC, num\u0103rul de serie al SIM-ului \u0219i alte identificatoare hardware este interzis\u0103. Au fost luate m\u0103suri suplimentare pentru izolarea proceselor legate de Wi-Fi \u0219i Bluetooth \u0219i prevenirea scurgerilor ca urmare a activit\u0103\u021bii wireless. Multe dintre mecanismele de \u00eent\u0103rire a securit\u0103\u021bii dezvoltate \u00een cadrul proiectului au fost transferate \u00een baza principal\u0103 a codului surs\u0103 Android. <\/p>\n
GrapheneOS utilizeaz\u0103 verificarea criptografic\u0103 a componentelor \u00eenc\u0103rcate \u0219i criptarea avansat\u0103 a datelor la nivelul sistemelor de fi\u0219iere ext4 \u0219i f2fs (datele sunt criptate cu AES-256-XTS, iar numele fi\u0219ierelor \u2014 AES-256-CTS utiliz\u00e2nd HKDF-SHA512 pentru generarea unei chei separate pentru fiecare fi\u0219ier), nu la nivelul dispozitivului bloc. Datele din parti\u021biile de sistem \u0219i din fiecare profil de utilizator sunt criptate cu chei diferite. Se utilizeaz\u0103 capabilit\u0103\u021bile hardware disponibile pentru a accelera opera\u021biunile de criptare. Pe ecranul de blocare apare un buton pentru \u00eencheierea sesiunii, iar dup\u0103 ap\u0103sarea acestuia, cheile pentru decriptare sunt resetate \u0219i stocarea este transferat\u0103 \u00eentr-o stare de inactivitate. Exist\u0103 o setare pentru a interzice instalarea aplica\u021biilor suplimentare pentru profilele de utilizator selectate. Pentru a proteja \u00eempotriva \u00eencerc\u0103rilor de autentificare brute, este activat un sistem de \u00eent\u00e2rzieri, care depinde de num\u0103rul de \u00eencerc\u0103ri e\u0219uate (de la 30 de secunde la 1 zi). <\/p>\n
GrapheneOS nu include principial aplica\u021bii \u0219i servicii Google, precum \u0219i implement\u0103ri alternative ale serviciilor Google, cum ar fi microG. Totu\u0219i, exist\u0103 posibilitatea de a instala serviciile Google Play \u00eentr-un mediu izolat, care nu are privilegii speciale. Proiectul dezvolt\u0103, de asemenea, c\u00e2teva aplica\u021bii proprii, concentrate pe protec\u021bia informa\u021biilor \u0219i intimitate. De exemplu, sunt disponibile browserul Vanadium bazat pe Chromium \u0219i o variant\u0103 modificat\u0103 a motorului WebView, un vizualizator PDF protejat, un firewall, aplica\u021bia Auditor pentru verificarea dispozitivelor \u0219i detectarea intruziunilor, o aplica\u021bie pentru utilizarea camerei, axat\u0103 pe asigurarea confiden\u021bialit\u0103\u021bii, \u0219i un sistem de creare a copiilor de siguran\u021b\u0103 criptate Seedvault. <\/p>\n
Printre modific\u0103rile din noua versiune: <\/p>\n
Datele profilului utilizatorului, dup\u0103 repornirea dispozitivului, sunt \u00eentr-o form\u0103 criptat\u0103 \u0219i sunt decriptate numai dup\u0103 introducerea parolei de acces de c\u0103tre utilizator. Dac\u0103 utilizatorul nu a deblocat sesiunea activat\u0103 timp de mai mult de 18 ore \u2014 dispozitivul va fi repornit automat (timpul de a\u0219teptare poate fi modificat \u00een set\u0103rile Settings > Security > Auto reboot) pentru a preveni analiza cheilor care r\u0103m\u00e2n \u00een memorie \u00een cazul \u00een care dispozitivul ajunge \u00een m\u00e2ini str\u0103ine. <\/p>\n
Ca o demonstra\u021bie a necesit\u0103\u021bii aplic\u0103rii func\u021biei de repornire automat\u0103, dezvoltatorii GrapheneOS au men\u021bionat vulnerabilit\u0103\u021bile recent descoperite \u00een smartphone-urile Google Pixel \u0219i Samsung Galaxy, care permit companiilor specializate \u00een analiza criminalistic\u0103 s\u0103 spioneze utilizatorii \u0219i s\u0103 extrag\u0103 date atunci c\u00e2nd dispozitivul este activat (c\u00e2nd sesiunea este activ\u0103 \u0219i datele sunt decriptate). <\/p>\n