Компания Motorola и проект GrapheneOS, разрабатывающий защищённую свободную прошивку на базе Android, договорились о долгосрочном сотрудничестве. Сотрудничество подразумевает совместную работу по усилению конфиденциальности и безопасности смартфонов, а также разработку новых устройств, для которых будет предоставлена официальная поддержка прошивок на базе GrapheneOS.
Отмечается, что сотрудничество будет способствовать продвижению нового поколения технологий конфиденциальности и безопасности, созданных благодаря совмещению новаторских наработок GrapheneOS, богатого опыта Motorola в области поддержания безопасности, понимания потребностей реальных пользователей и задействования решений ThinkShield от компании Lenovo (c 2014 года Motorola принадлежит Lenovo).
GrapheneOS развивает ответвление от кодовой базы AOSP (Android Open Source Project), включающее многие экспериментальные технологии, связанные с усилением изоляции приложений, детальным управлением доступом, блокированием проявления уязвимостей и усложнением работы эксплоитов. Среди прочего, в платформе задействована собственная реализация malloc, модифицированный вариант libc с защитой от повреждения памяти и более жёсткое разделение адресного пространства процессов. В ядре Linux включены дополнительные механизмы защиты, такие как канареечные метки в slub для блокирования переполнения буферов. Для усиления изоляции приложений задействованы SELinux и seccomp-bpf.
Пользователю предоставлена возможность выборочного управления доступом отдельных приложений к сетевым операциям, датчикам, адресной книге и периферийным устройствам (USB, камере). По умолчанию запрещено получение сведений об IMEI, MAC-адресе, серийном номере SIM-карты и других аппаратных идентификаторах. Чтение из буфера обмена разрешено только приложениям, в которых в данный момент активен фокус ввода. Включены дополнительные механизмы изоляции процессов, связанных с Wi-Fi и Bluetooth, и предотвращения утечек в результате беспроводной активности.
В GrapheneOS применяется криптографическая верификация загружаемых компонентов и шифрование данных на уровне файловых систем ext4 и f2fs, а не блочного устройства. Данные в системных разделах и в каждом профиле пользователя шифруются разными ключами. На экране блокировки отображается кнопка завершения сеанса, после нажатия которой ключи для расшифровки сбрасываются и хранилище переводится в неактивированное состояние. Пользователю предоставлена возможность задания дополнительного деструктивного пароля и PIN-кода, ввод которых приведёт к очистке всех ключей в аппаратных хранилищах, включая ключи, используемые для шифрования данных на накопителе, а также к очистке eSIM и перезагрузке.
В состав GrapheneOS принципиально не включаются приложения и сервисы Google, а также альтернативные реализации сервисов Google, такие как microG. При этом имеется возможность установки сервисов Google Play в отдельном изолированном окружении, не имеющем специальных привилегий. Проектом развивается несколько собственных приложений, сфокусированных на защите информации и приватности, таких как браузер Vanadium на базе Chromium, защищённый PDF-просмотрщик, межсетевой экран, приложение Auditor для верификации устройств и выявления вторжений, приложение для работы с камерой и система создания шифрованных резервных копий Seedvault.
Источник: https://www.opennet.ru/opennews/art.shtml?num=64903
