GrapheneOS é um fork do projeto AndroidHardening
Alguns dias atrás Foi anunciado o lançamento da nova versão do GrapheneOS 2024011300, versão em que a implementação de reinicialização automática foi reescrita, foi integrado novo visualizador de registros, o kernel foi atualizado, melhorias foram implementadas e muito mais.
Para quem não conhece o GrapheneOS, saiba que este É um fork da base de código AOSP (Android Open Source Project), que foi ampliado e modificado para melhorar a segurança e garantir a privacidade do usuário. GrafenoOS costumava ser chamado de AndroidHardening e foi separado do projeto CopperheadOS devido a conflitos entre seus fundadores.
Entre as principais características e abordagens do GrapheneOS, destaca-se:
- Isolamento e controle de acesso: Tecnologias experimentais são implementadas para fortalecer o isolamento de aplicativos e o controle de acesso granular. Isso inclui o uso de uma implementação proprietária do malloc, uma versão modificada da libc com proteção contra corrupção de memória e uma divisão mais rígida do espaço de endereço do processo.
- Compilação AOT e não JIT: O Android Runtime usa apenas compilação AOT (ahead of time) em vez de JIT (just-in-time).
- Kernel Linux protegido: o kernel do Linux inclui vários mecanismos de proteção adicionais, como tags canary para bloquear buffer overflows. SELinux e seccomp-bpf são usados para melhorar o isolamento do aplicativo.
- Controle de permissão específico: O acesso às operações de rede, sensores, catálogo de endereços e dispositivos periféricos é permitido apenas para aplicativos selecionados. A leitura da área de transferência é permitida apenas para aplicativos com foco de entrada.
- Privacidade do identificador: Por padrão, é proibida a obtenção de informações sobre IMEI, endereço MAC, número de série do cartão SIM e outros identificadores de hardware.
- Segurança: Medidas adicionais são implementadas para isolar processos relacionados a Wi-Fi e Bluetooth e evitar vazamentos de atividades sem fio.
- criptografia avançada: usa verificação criptográfica de componentes de upload e criptografia avançada no nível do sistema de arquivos ext4 e f2fs (os dados são criptografados usando AES-256-XTS e os nomes dos arquivos são AES-256-CTS usando HKDF-SHA512 para gerar uma chave separada para cada arquivo) , em vez de um dispositivo de bloco
- Sem Google:Basicamente, não inclui aplicativos e serviços do Google, mas permite instalar o Google Play Services em um ambiente isolado.
- Desenvolvimento de aplicações próprias: O projeto desenvolve diversos aplicativos proprietários com foco em segurança e privacidade, como um navegador baseado em Chromium (Vanádio), um visualizador de PDF seguro, um firewall, um aplicativo Auditor para verificação de dispositivos e detecção de intrusão, um aplicativo de câmera focado em privacidade e um aplicativo criptografado. sistema de backup chamado Seedvault.
O que há de novo na nova versão do GrapheneOS 2024011300?
Nesta nova versão apresentada do GrapheneOS 2024011300, uma de suas mudanças mais importantes é el Redesenho completo da implementação do mecanismo de reinicialização automática, desde agora, este mecanismo use um cronômetro no processo de inicialização em vez de no processo system_server, o que melhorou a segurança e eliminou a possibilidade de reiniciar um dispositivo que nunca foi desbloqueado. Além disso, o tempo de reinicialização automática foi reduzido de 72 para 18 horas.
É mencionado que A ideia principal da reinicialização automática é redefinir as partições ativadas (descriptografado) com os dados do usuário de volta ao seu estado original não criptografado após um certo período de inatividade. Os dados do perfil do usuário são criptografados após a reinicialização do dispositivo e são descriptografados somente após o usuário inserir a senha de login. Se o usuário não desbloquear a sessão ativada por mais de 18 horas, o dispositivo será reinicializado automaticamente. O tempo limite de reinicialização automática pode ser modificado em Configurações > Segurança > Reinicialização automática.
Os Os desenvolvedores do GrapheneOS citam que a justificativa para esse recurso é baseada em vulnerabilidades recentes descoberto nos smartphones Google Pixel e Samsung Galaxy. Essas vulnerabilidades permitem que empresas de análise forense espionem usuários e extraiam dados enquanto o dispositivo está em estado ativado, ou seja, quando a sessão está ativa e os dados são descriptografados. A introdução do reinício automático ajuda a mitigar este risco ao reiniciar o dispositivo após um período prolongado de inatividade, evitando assim a análise não autorizada de chaves que possam permanecer na memória caso o dispositivo caia em mãos erradas.
Outra das mudanças que se destaca na nova versão é a A atualização do kernel Linux em dispositivos Pixel e o suporte a sysrq estão desativados. Para dispositivos Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel Tablet e Pixel Fold, ele foi atualizado para a versão mais recente do GKI (Generic Kernel Image), que é 5.10.206. Já para os dispositivos Pixel 8 e Pixel 8 Pro, a atualização do kernel é para a versão 5.15.145. Além disso, foram preparadas compilações com kernel 6.1.69. Essas atualizações podem incluir melhorias de segurança, correções de bugs e novos recursos fornecidos pelas versões mais recentes do kernel Linux.
Além disso, nota-se também que um visualizador de log foi adicionado (Configurações > Sistema > Ver logs), que permite avaliar problemas emergentes e simplificar a preparação de relatórios de erros, bem como a interface para envio de relatórios de falhas foi redesenhada.
En O suporte do adevtool para Pixel Camera Service foi introduzido, que agora permite usar o modo noturno em aplicativos em smartphones Pixel 6+. Por outro lado, adevtool parou de oferecer suporte a dispositivos que não são compatíveis com Android 14.
Do outras mudanças que se destacam:
- Adicionada uma saída de notificação quando o detector de corrupção de memória é ativado no malloc.
- O navegador Vanadium foi atualizado para a base de código Chromium 120
- GmsCompatConfig: atualização para a versão 92
- mostrar notificação após hardened_malloc detectar corrupção de memória usando uma verificação direta (não cobre corrupção de memória detectada através do espaço de endereço de memória protegido)
Por fim, vale ressaltar que para o interessado em saber mais sobre o assunto, Você pode conferir os detalhes no link a seguir