Продолжается (https://copperhead.co/2015/08/21/alpha) альфа-тестирование проекта CopperheadOS (https://copperhead.co/android), в рамках которого развивается ответвление от мобильной платформы CyanogenMod 12.1, включающее дополнительные средства защиты и обеспечения неприкосновенности данных пользователя. Особое внимание уделяется интеграции средств для предотвращения различных классов атак, позволяющих защитить систему от новых zero-day уязвимостей. Сборки подготовлены (https://copperhead.co/android/downloads) для смартфонов Nexus 5 и Samsung Galaxy S4.
Ключевым элементом CopperheadOS, отличающим данную сборку от других систем, является использование ядра Linux с патчем PaX (https://pax.grsecurity.net/) (используется собственный порт PaX для варианта ядра Linux, применяемого в платформе Android), минимизирующим права доступа приложений к страницам памяти. Другим важным изменением является задействование в системной библиотеке защищённой реализации вызова malloc, портированного из OpenBSD. Кроме того, внесены связанные с усилением безопасности и приватности исправления (https://copperhead.co/2015/07/27/hardening-bionic) (_FORTIFY_SOURCE, SSP (Stack smashing protection), ASLR, изоляция mmap и т.п.) в системную библиотеку bionic (https://github.com/copperhead-security/android_bionic), базовые фреймворки (https://github.com/copperhead-security/android_frameworks_base) и системные компоненты (https://github.com/copperhead-security/android_system_core) Android. Каждый системный сервис и пользовательское приложение выполняется в своей уникальной рандомизированной раскладке памяти, вместо применения типового шаблона.
Среди других особенностей CopperheadOS:
- Более жесткие настройки межсетевого экрана и использование черных списков для блокировки вредоносного ПО и фишинга в браузере;
- Обеспечение оперативной доставки обновлений с устранением уязвимостей;
- Предустановленный набор приложений для шифрования данных и создания шифрованных каналов связи. В том числе, поддерживается полное шифрование всех данных на устройстве;
- Проведения чистки компонентов Cyanogen/Google от кода, который может быть использован для отслеживания активности пользователя или потенциально может быть вовлечён в проведение атак;
- Отказ от использования сервисов Google. Web-сервисы заменены на локальные сервисы. При желании отдельно можно
установить (https://github.com/cgapps/vendor_google/blob/builds/README.md) пакеты с сервисами Google, в том числе с Google Play.
- Возможность верификации целостности базового образа системы при помощи модуля dm-verity (https://lwn.net/Articles/459420/). Проверка выполняется через сверку считанных с накопителя блоков файловой системы с сохранёнными в отдельной области криптографическими хэшами (используется древовидная структура хэша, в которой каждый элемент учитывает содержимое соседей, а проверка корректности корневого элемента осуществляется с использованием методов асимметричного шифрования);
- Использование отдельных паролей для блокировки экрана и шифрования данных. Защита от подбора пароля - после 5 попыток неправильного ввода устройство перезагружается;
- В базовый состав включена подборка приложений для решения различных типовых задач, отобранных и проверенных в плане безопасности и приватности. По умолчанию в качестве каталога приложения предлагается F-Droid. Рассматривается возможность полного запрета установки сторонних программ, но этот вопрос пока обсуждается.
URL: https://copperhead.co/2015/08/21/alpha
Новость: https://www.opennet.ru/opennews/art.shtml?num=42994
