Разработчики GrapheneOS, ориентированной на конфиденциальность и безопасность, предложили добавить в Android функцию автоматической перезагрузки, чтобы затруднить эксплуатацию неких недавно обнаруженных уязвимостей в прошивке таких устройств, как Google Pixel и Samsung Galaxy. По словам специалистов, эти уязвимости в последнее время используются киберкриминалистами для извлечения информации с устройств.
Специалисты объясняют, что когда устройство находится в состоянии покоя (то есть выключено, либо еще не разблокировано после загрузки), защита работает на полную, но девайс еще не является полностью работоспособным, поскольку ключи шифрования еще недоступны для использования установленными приложениями.
Первая разблокировка после перезагрузки приводит к перемещению нескольких криптографических ключей в память быстрого доступа, чтобы установленные приложения могли работать должным образом, а устройство более не пребывает в состоянии покоя.
Подчеркивается, что блокировка экрана после использования устройства не переводит его обратно в состояние покоя, поскольку ряд исключений из защитных правил по-прежнему сохраняется. Зато перезагрузка устройства завершает все временные состояния, процессы и действия, которые могут быть использованы злоумышленниками, а после перезагрузки вновь требуется аутентификации (PIN-код, пароль или биометрическая верификация), что вновь активирует защитные механизмы.
Несмотря на то, что пока разработчики GrapheneOS не поделились подробной информацией о самих уязвимостях прошивки, они предложили простое средство защиты, которое будет работать в большинстве случаев: функцию автоматической перезагрузки устройства, которая уже присутствует в их ОС.
Суть в том, чтобы минимизировать окно возможностей для злоумышленников и помешать уже существующей компрометации, обнуляя все системы защиты устройства чаще, чем это обычно делает пользователь. Так, система автоперезагрузки в GrapheneOS осуществляет сброс каждые 72 часа, но, по мнению создателей ОС, это слишком большой период, и они решили его сократить.
Издание Bleeping Computer связалось с авторами GrapheneOS и Google, чтобы уточнить, о каких уязвимостях все же идет речь.
В Google рассказали, что 2 января 2024 года разработчики GrapheneOS действительно сообщили о неких ошибках через официальную программу bug bounty Android, и в настоящее время в Google изучают их сообщение «для определения дальнейших шагов».
В свою очередь представители GrapheneOS пояснили журналистам, что уже обновили систему перезагрузки в своей ОС, и теперь интервал составляет не 72, а 18 часов. Кроме того, они сообщают, что переработали саму имплементацию функции автоперезагрузки, переместив ее из system_server в init для повышения надежности.
Также разработчики говорят, что напрямую исправить ошибки прошивки невозможно из-за аппаратных ограничений, но предлагают стирать память прошивки при перезагрузке устройства и внести улучшения в API администрирования для более безопасного удаления данных.
