Criptarea datelor în sistemul de operare Android este strâns legată de două probleme: controlul accesului la cardurile de memorie și transferul aplicațiilor către acestea. Multe programe conțin date de activare, informații de plată și informații confidențiale. Protecția sa necesită gestionarea drepturilor de acces, care nu sunt acceptate de cardurile tipice. Sistemul de fișiere FAT32. Prin urmare, în fiecare versiune de Android, abordările privind criptarea s-au schimbat radical - de la absența completă protecţie criptografică suporturi amovibile înainte de integrarea lor profundă într-o singură partiție cu criptare din mers.

AVERTIZARE

Fiecare gadget cu sistemul de operare Android are propriile diferențe semnificative - atât la nivel de firmware, cât și la nivel de hardware. Chiar și versiuni diferite ale aceluiași model pot fi foarte diferite. Cardurile de memorie au, de asemenea, propriile caracteristici. Prin urmare, tutorialele detaliate despre utilizarea criptării pe un dispozitiv adesea nu funcționează fără modificări pe altul. Nu există metode universale aici. Există doar abordări generale, care sunt descrise în acest articol.

Rolul special al cardului de memorie

Inițial Dezvoltatori Android destinat să utilizeze cardul de memorie doar ca stocare separată fișiere utilizator. Era doar un depozit multimedia fără nicio cerință pentru protecția și fiabilitatea lui. Cardurile microSD(HC) cu FAT32 au făcut față bine rolului de stocare simplă, eliberând memoria internă de fotografii, videoclipuri și muzică.

Capacitatea de a transfera nu numai fișiere multimedia, ci și aplicații pe un card de memorie a apărut pentru prima dată în Android 2.2 Froyo. A fost implementat folosind conceptul de containere criptate pentru fiecare aplicație, dar aceasta a fost protejată exclusiv împotriva căderii cardului în mâini greșite - dar nu și a smartphone-ului.

În plus, aceasta a fost o jumătate de măsură: multe programe au fost transferate parțial, lăsând unele dintre date în memoria internă, iar unele (de exemplu, cele de sistem sau care conțineau widget-uri) nu au fost transferate deloc pe card. Însăși posibilitatea de a transfera aplicații depindea de tipul acestora (preinstalate sau terțe) și structura interna. Pentru unii, directorul cu datele utilizatorului a fost imediat localizat separat, în timp ce pentru alții era localizat într-un subdirector al programului în sine.

Dacă aplicațiile foloseau intens operațiuni de citire/scriere, atunci fiabilitatea și viteza cardurilor nu i-ar mai putea satisface pe dezvoltatori. Au făcut în mod deliberat astfel încât transferul de programe mijloace regulate devenea imposibil. Datorită acestui truc, crearea lor a fost garantată să fie înregistrată în memoria internă cu resursă mare rescriere și performanță ridicată.

Odată cu cea de-a patra versiune de Android, a devenit posibil să alegeți unde să plasați aplicația. A fost posibil să se desemneze un card de memorie ca disc pentru instalarea programelor în mod implicit, dar nu toate firmware-urile au acceptat corect această funcție. Cum funcționează în dispozitiv specific- s-a putut afla doar experimental.

a cincea Android Google Am decis din nou să revin la conceptul inițial și am făcut totul pentru a face cât mai dificilă transferul aplicațiilor pe un card de memorie. Marii producatori au prins semnalul și au adăugat propriile funcții de monitorizare la firmware, detectând încercările utilizatorilor de a muta forțat aplicațiile pe card folosind root. Doar opțiunea de a crea link-uri dure sau simbolice a funcționat mai mult sau mai puțin. În acest caz, aplicația a fost determinată de adresa standard din memoria încorporată, dar a fost de fapt localizată pe card. Cu toate acestea, confuzia a fost cauzată de managerii de fișiere, dintre care mulți nu au procesat corect linkurile. Au arătat volumul greșit spatiu liber, pentru că credeau că aplicația se presupune că ocupă spațiu atât în ​​memoria încorporată, cât și pe card în același timp.

Adaptează-l!

Android Marshmallow a introdus un compromis numit Adoptable Storage. Aceasta este încercarea Google de a menține oile în siguranță și soldații fericiți.

Funcția de stocare adoptabilă vă permite să combinați o partiție de utilizator din memoria încorporată cu o partiție de pe card într-un singur volum logic. De fapt, creează o partiție ext4 sau F2FS pe card și o adaugă la partiția utilizator a memoriei interne. Aceasta este o operațiune de îmbinare pur logică, care amintește vag de crearea unui volum extins de pe mai multe discuri fizice în Windows.

În timpul procesului de combinare cu memoria internă, cardul este reformatat. În mod implicit, întreaga sa capacitate va fi utilizată în volumul îmbinat. În acest caz, fișierele de pe card nu mai pot fi citite pe alt dispozitiv - vor fi criptate cu o cheie unică a dispozitivului, care este stocată în mediul de execuție de încredere.

Ca alternativă, puteți rezerva spațiu pe card pentru o a doua partiție cu FAT32. Fișierele stocate pe acesta vor fi vizibile pe toate dispozitivele, ca și înainte.

Metoda de împărțire a cardului este setată fie prin meniul Adoptable Storage, fie prin Android Debug Bridge (ADB). Ultima opțiune este folosită în cazurile în care producătorul a ascuns Adoptable Storage din meniu, dar nu a eliminat această funcție din firmware. De exemplu, este ascuns în Samsung Galaxy S7 și smartphone-uri de top LG. Recent, a existat o tendință generală de a elimina Adoptable Storage de pe dispozitivele emblematice. Este considerată o cârjă pt smartphone-uri bugetareși tablete care nu au suficientă memorie Flash încorporată.

Cu toate acestea, nu depinde de marketeri să decidă cum ne folosim dispozitivele. Prin ADB pe un computer cu Funcția Windows Stocarea adoptabilă este activată după cum urmează.

1. Facem o copie de rezervă a tuturor datelor de pe card - aceasta va fi reformatată.
2. Kit de dezvoltare Java SE de pe site-ul Oracle.
3. Instalare ultima versiune Manager SDK Android.
4. Activați depanarea USB pe smartphone-ul dvs.
5. Lansați SDK Manager și Linie de comanda scrieți: $ adb shell $ sm list-disks
6. Notăm numărul discului sub care este identificat cardul de memorie (de obicei arată ca 179:160, 179:32 sau similar).
7. Dacă doriți să adăugați întreaga capacitate a cardului în memoria internă, atunci scrieți pe linia de comandă: $ sm partition disk: x:y private

   unde x:y este numărul cardului de memorie.

8. Dacă doriți să lăsați o parte pentru volumul FAT32, atunci schimbați comanda de la pasul 7 la acesta: $ sm partition disk:x:y mixed nn

   unde nn este volumul rămas ca procent pentru un volum FAT32.

De exemplu, comanda sm partition disk:179:32 mixed 20 va adăuga 80% din capacitatea cardului la memoria încorporată și va lăsa pe ea un volum FAT32 cu 1/5 din capacitatea sa.

Pe unele smartphone-uri, această metodă „ca atare” nu mai funcționează și necesită trucuri suplimentare. Producătorii fac totul pentru a-și împărți artificial produsele în nișe de piață. Modelele de top sunt disponibile cu diferite cantități de memorie încorporată și sunt din ce în ce mai puține persoane dispuse să plătească în plus pentru asta.

Unele smartphone-uri nu au un slot pentru card de memorie (de exemplu, seria Nexus), dar acceptă conectarea unităților USB-Flash în modul OTG. În acest caz, unitatea flash poate fi folosită și pentru a extinde memoria internă. Acest lucru se face cu următoarea comandă:

$ adb shell sm set-force-adoptable true

În mod implicit, capacitatea de a utiliza USB-OTG pentru a crea stocare personalizată este dezactivată, deoarece eliminarea neașteptată poate duce la pierderea datelor. Probabilitatea ca un card de memorie să se deconecteze brusc este mult mai mică datorită plasării sale fizice în interiorul dispozitivului.

Dacă apar probleme cu adăugarea volumului de medii amovibile sau împărțirea acestuia în partiții, atunci mai întâi eliminați din acesta toate informațiile despre aspectul logic anterior. Acest lucru se poate face în mod fiabil folosind utilitarul Linux gparted, care rulează pe un computer Windows disc de pornire sau într-o mașină virtuală.

Politica oficială a Google este că aplicațiile pot fi instalate direct sau migrate către un magazin personalizat dacă dezvoltatorul a specificat acest lucru în atributul android:installLocation. Ironia este că nu toate sunt ale lor Aplicatii Google atâta timp cât îți permit să faci asta. Nu există limite practice pentru „stocarea adaptată” în Android. Limita teoretică pentru stocarea adoptabilă este de nouă zettabytes. Nu sunt atât de multe nici măcar în centrele de date și cu atât mai mult carduri de memorie de capacitate mai mare nu vor apărea în următorii ani.

Procedura de criptare în sine atunci când se creează un spațiu de stocare adaptat este efectuată folosind dm-crypt - același modul de kernel Linux care realizează criptarea completă a discului a memoriei încorporate a unui smartphone (a se vedea articolul anterior „”). Algoritmul AES este utilizat în modul de înlănțuire a blocurilor de text cifrat (CBC). Un vector de inițializare separat cu sare (ESSIV) este generat pentru fiecare sector. Lungimea de convoluție a funcției hash SHA este de 256 de biți, iar cheia în sine este de 128 de biți.

Această implementare, deși inferioară ca fiabilitate față de AES-XTS-256, este mult mai rapidă și este considerată suficient de fiabilă pentru dispozitivele de consum. Este puțin probabil ca un vecin curioasă să deschidă un spațiu de stocare adaptat criptat într-un timp rezonabil, dar agențiile de informații au învățat de mult să exploateze deficiențele schemei CBC. În plus, în realitate, nu toți cei 128 de biți ai cheii sunt complet aleatoriu. Slăbirea neintenționată sau intenționată a generatorului de numere pseudo-aleatorie încorporat este cea mai comună problemă în criptografie. Afectează nu numai gadgeturile Android, ci și toate dispozitivele de consum în general. Prin urmare, cel mai sigur mod de a vă asigura confidențialitatea este să nu stocați deloc date sensibile pe smartphone.

INFO

Dacă efectuați o resetare din fabrică după îmbinarea memoriei folosind Adoptable Storage, datele de pe card se vor pierde și ele. Prin urmare, merită să faceți mai întâi o copie de rezervă a acestora, sau mai bine, atribuirea imediată a sincronizării cloud.

Criptare alternativă a datelor de pe un card de memorie

Acum că ne-am dat seama de caracteristicile stocării fișierelor pe un card de memorie în versiuni diferite Android, să trecem direct la criptarea lor. Dacă aveți un dispozitiv cu Android 6 sau mai nou, atunci cu o mare probabilitate puteți activa funcția Adoptable Storage într-un fel sau altul. Apoi toate datele de pe card vor fi criptate, la fel ca în memoria încorporată. Doar fișierele de pe partiția suplimentară FAT32 vor rămâne deschise dacă doriți să le creați la reformatarea cardului.

Continuarea este disponibilă numai pentru membri

Opțiunea 1. Alăturați-vă comunității „site” pentru a citi toate materialele de pe site

Calitatea de membru al comunității în perioada specificată vă va oferi acces la TOATE materialele Hacker, vă va crește discountul cumulat personal și vă va permite să acumulați un rating profesional Xakep Score!

Orice gadget mobil poate fi pierdut, abandonat, uitat și pur și simplu furat. Orice informații stocate pe acesta într-o formă neprotejată pot fi citite și utilizate împotriva dvs. Și cel mai mult metoda eficienta protecția informațiilor - . În acest articol vom vorbi despre caracteristicile implementării unui sistem de criptare a datelor în noile versiuni de Android și, de asemenea, vom discuta despre instrumente care vă permit să implementați criptarea selectivă a directoarelor individuale.

Introducere

Android se bazează pe Nucleul Linux, care la rândul său include întreaga linie mecanisme care implementează criptarea unei game largi de entități. Pentru criptoprotecția discurilor și a partițiilor, este furnizat un sistem numit dm-crypt - un fel de criptofiltru prin care puteți trece toate cererile către un disc sau partiție și puteți obține criptarea datelor din mers.

Programatorii Google au învățat Android să folosească dm-crypt, începând cu versiunea 3.0 a Honeycomb, unde a apărut o opțiune care vă permite să activați rapid criptarea și să setați un cod PIN pentru accesarea datelor. Din perspectiva utilizatorului, totul pare foarte simplu și fără probleme: conectați telefonul la încărcător, așteptați până când este complet încărcat și apăsați butonul prețios. Sistemul a început să cripteze datele existente. Totul pare mult mai interesant din interior.

Abordarea specială a Android

În orice distribuție Linux dm-crypt este gestionat de utilitarul cryptsetup, care creează un volum criptat conform standardului LUKS, care poate fi accesat și folosind instrumente terțe din Windows sau OS X. De obicei, cryptsetup este lansat în etapa de inițializare a sistemului de operare din boot imaginea initramfs și conectează dm-crypt la unitatea de disc, care este apoi montată.

Lucrurile se întâmplă diferit în Android. Datorită cerinței de a licenția toate componentele de deasupra nucleului folosind o licență compatibilă Apache, cryptsetup, distribuit sub GPL2, nu este inclus cu Android. În schimb, se folosește modulul cryptfs dezvoltat de la zero pentru managerul de volum local vold (a nu se confunda cu instrumentele native Linux: vold și cryptfs, acestea sunt dezvoltări complet diferite).

De Android implicit folosește cryptfs pentru a cripta datele utilizatorului, setările și aplicațiile (directorul/data). Ar trebui pornit devreme în procesul de pornire a sistemului de operare, înainte ca mediul grafic și aplicațiile de bază să fie lansate, astfel încât componentele de nivel superior ale sistemului să poată aduce sistemul la starea dorită, citind setările și trăgând datele necesare din cache. .

Este imposibil să faceți acest lucru în modul automat, deoarece sistemul trebuie să solicite utilizatorului o parolă pentru decriptare, care necesită lansarea mediului grafic și, la rândul său, nu poate fi pornit fără conectarea directorului /data, care nu poate fi conectat. fără parolă. Pentru a ieși din această situație, Android a folosit un truc neobișnuit, forțând sistemul de operare să pornească „de două ori”. Prima pornire a sistemului minim are loc înainte ca cryptfs să înceapă să solicite o parolă de decriptare cu un sistem de fișiere temporar conectat la /data, după care sistemul se oprește în esență, partiția criptată /data este montată și versiunea finală a sistemului de operare este lansat.

Activați criptarea

Criptarea datelor în Android este activată folosind meniul „Setări -> Securitate -> Criptare date”. În acest caz, smartphone-ul trebuie să fie complet încărcat și conectat la încărcător, iar metoda de deblocare trebuie să fie un cod PIN sau o parolă (Setări -> Securitate -> Blocare ecran -> Cod PIN), care trebuie introdus înainte de a începe criptarea Operațiune. Smartphone-ul vă va avertiza că operațiunea va dura aproximativ o oră, timp în care dispozitivul va fi repornit de mai multe ori.

Ceea ce se întâmplă în continuare este exact ceea ce este descris în secțiunea anterioară. Smartphone-ul va porni versiunea minimă a sistemului cu un sistem de fișiere temporar conectat la punctul /data și va începe să cripteze datele, afișând progresul operațiunii pe ecran. Criptarea în sine are loc după cum urmează:

1. vold/cryptfs generează mai întâi o cheie principală de 128 de biți bazată pe date aleatorii din /dev/urandom și, folosind această cheie, mapează partiția care conține directorul /data într-un nou dispozitiv cripto virtual, scrierea în care va cripta automat datele folosind cheia principală, iar citirea duce la decriptare.
2. Cheia principală este criptată cu PIN-ul utilizatorului și plasată la capătul partiției. De acum înainte, la pornire, sistemul va cere utilizatorului un cod PIN, va citi cheia principală criptată din partiție, o va decripta folosind codul PIN și va conecta partiția criptată/de date.
3. Pentru a cripta datele aflate deja pe partiție, sistemul citește secvențial blocuri de date din partiție și le scrie pe dispozitivul cripto, astfel încât, în esență, are loc o operație secvențială „citește blocul -> criptează -> scrie înapoi” până când întreaga secțiune, cu excepția ultimilor 16 KB, care stochează cheia principală.
4. La sfârșitul operațiunii, smartphone-ul repornește, iar data viitoare când pornește, sistemul cere un cod PIN pentru a decripta datele.

În cazul unității Galaxy Nexus de 16 GB, toate aceste operațiuni durează aproximativ 30 de minute și, cel mai important, sunt complet automatizate, astfel încât chiar și un copil se poate ocupa de criptare.

O singură parolă pentru deblocare și decriptare?

Pentru a face viața mai ușoară utilizatorilor, Google a decis să folosească aceeași parolă pentru deblocarea și decriptarea datelor, ceea ce are ca rezultat o imagine destul de contradictorie. Pe de o parte, parola de decriptare trebuie să fie lungă și complexă, deoarece un atacator o poate ghici în afara smartphone-ului prin simpla eliminare a unei imagini a partiției. Parola de deblocare, pe de altă parte, poate fi lăsată foarte simplă, deoarece după mai multe încercări nereușite Android va bloca ecranul definitiv, obligându-vă să introduceți parola Google.

Ca urmare, trebuie să alegeți între comoditatea deblocării și securitatea datelor criptate (nu considerăm controlul feței ca un mijloc de protecție). Din fericire, dacă telefonul este rootat, parola de decriptare poate fi specificată manual folosind clientul consolei vold. O poți face astfel:

$ su -c vdc cryptfs changepw parola

De acum înainte, parolele de deblocare și de decriptare vor fi diferite, dar vor redeveni aceleași dacă modificați parola de deblocare (codul PIN). Pentru a nu te urca în consolă, poți folosi una dintre interfețele grafice, de exemplu EncPassChanger.

Rollback și compatibilitate cu firmware-ul

Din păcate, din anumite motive Motive pentru Android nu vă permite să reveniți la o partiție necriptată. Prin urmare, dacă datele au fost deja criptate, acestea vor rămâne așa până când se efectuează o resetare din fabrică (ștergere completă) - o operație care reformatează partiția care conține directorul /data și o va transforma automat într-una necriptată.

Dar aici poate apărea întrebarea: „Ce se întâmplă dacă actualizez Android sau instalez firmware personalizat? În acest caz, totul depinde de metoda de instalare. În majoritatea cazurilor, la actualizarea firmware-ului sau la instalarea unui firmware alternativ de aproximativ aceeași versiune (de exemplu, înlocuirea CyanogenMod 10.1 cu Paranoid Android 3 sau MIUI 5), nu este necesară ștergerea. Înseamnă că firmware-ul instalat atunci când încercați să montați partiția /data, va „realiza” că are de-a face cu o partiție criptată, vă va cere o parolă și va decripta cu calm datele.

Dacă instalarea necesită o ștergere completă, care este de obicei necesară atunci când faceți upgrade la versiuni noi de Android, atunci situația de aici este și mai simplă. În timpul ștergerii, partiția /data va fi reformatată și va deveni automat necriptată. Principalul lucru este să faceți o copie de rezervă înainte de actualizare folosind titan Backup sau Carbon.

card SD

Google și-a exprimat de multă vreme poziția cu privire la un card de memorie ca un gunk dump, care prin definiție nu poate conține date confidențiale și, chiar dacă are, nu are sens să îl cripteze, deoarece utilizatorul poate decide să introducă cardul într-un alt telefon. Prin urmare, nu există modalități standard de a cripta un card de memorie în Android și pentru a obține o astfel de funcționalitate, va trebui să utilizați software terță parte.

Printre software-ul de criptare de la terți, avem o alegere între trei clase diferite de aplicații:

1. Un lucru în sine. O aplicație care poate crea și deschide containere cripto, dar nu permite conectarea acestora la sistemul de fișiere. Un fel de manager de fișiere cu suport pentru volume criptate. Lucrul este de puțin folos, deoarece este potrivit doar pentru ținerea unui jurnal și a notelor.
2. PseudoFS. În nuclee Linux de multe stocuri și firmware alternativ există suport pentru driverul sistemului de fișiere pentru spațiul utilizatorului FUSE, pe baza căruia au fost dezvoltate simultan mai multe sisteme de fișiere de criptare. Unul dintre ele este EncFS. Pe Android este disponibil sub forma aplicațiilor Cryptonite, Encdroid și altele. Un astfel de software vă permite să criptați orice director, astfel încât absolut toate aplicațiile să aibă acces la el.
3. Bazat pe dm-crypt. Ele sunt similare ca funcționalitate și implementare cu cele anterioare, dar folosesc dm-crypt nativ pentru criptare. LUKS Manager este cel mai bun reprezentant al acestei clase de software. Vă permite să creați un fișier imagine pe un card de memorie, care poate fi conectat la orice director în orice moment pentru a accesa date. Același lucru se poate face din Linux folosind cryptsetup sau din Windows folosind FreeOTFE.

Criptonit

Cryptonite este un înveliș în jurul sistemului de fișiere de criptare EncFS și vă permite să creați și să vizualizați volume criptate pe un card de stocare și în interiorul Dropbox, precum și să montați volume în directoarele cardurilor de stocare, astfel încât acestea să fie vizibile pentru toate aplicațiile. Ne interesează în primul rând ultimul caz de utilizare ca fiind singurul acceptabil pentru utilizarea de zi cu zi, dar necesită drepturi root, precum și prezența suportului FUSE în nucleu.

Utilizarea Cryptonite în această calitate este destul de simplă, totuși, pentru a evita confuzia, să înțelegem principiile funcționării sale. Aplicația se bazează pe un instrument bine cunoscut utilizatorilor Linux numit EncFS. În esență, acesta este un utilitar care vă permite să mapați un director la altul, astfel încât ceea ce este scris în al doilea director să ajungă automat în primul sub formă criptată, iar atunci când este citit, este decriptat în consecință. În timp ce afișajul este pornit, există acces la date, dar de îndată ce îl opriți, conținutul celui de-al doilea director va dispărea și va rămâne doar primul, al cărui conținut este complet criptat.

Din acest motiv, Cryptonite necesită două directoare: primul - pentru a stoca date criptate și al doilea - un director gol în care conținutul primului va fi afișat sub formă decriptată. Pentru simplitate, să le numim criptă și decriptare. Creați aceste două directoare pe cardul de memorie folosind oricare manager de fișiere. Lansați Cryptonite, accesați „Setări -> Punct de montare” și selectați directorul de decriptare. Acum va fi întotdeauna folosit ca punct de acces la datele criptate. Ne întoarcem, mergem la fila LOCAL și facem clic pe butonul „Creează volum local” pentru a inițializa directorul criptat. Selectați directorul criptat și introduceți parola. Acum nu mai rămâne decât să revenim la ecranul principalși faceți clic pe butonul „Montați EncFS” (și introduceți din nou parola). De acum înainte, tot ce copiați în directorul de decriptare va ajunge automat în directorul de criptare în formă criptată, iar după dezactivarea decriptării, nimeni nu va putea citi conținutul acestuia (puteți verifica prin copierea mai multor fișiere pentru a decripta, apoi vizualizarea conținutului criptei).

Apropo, puteți organiza criptarea datelor în Dropbox în același mod. Cryptonite vă permite să faceți acest lucru din cutie, dar în acest caz, accesul la date poate fi obținut doar prin intermediul aplicației în sine, adică pentru orice operațiuni pe date criptate, va trebui să lansați Cryptonite și să efectuați toate acțiunile prin managerul său de fișiere încorporat. Dropbox pentru Android în sine se comportă la fel, desigur, dar cel puțin are un API deschis pe care îl pot folosi și alte aplicații, care aici necesită doar acces manual.

Pentru a ocoli această problemă, puteți instala serviciul Dropsync, care rulează în fundal și sincronizează periodic conținutul directoarelor selectate cu Dropbox. Este suficient să îl configurați pentru a sincroniza directorul de criptare (dar nu și decriptarea), iar datele criptate vor merge automat în Dropbox. Pentru a accesa datele de la fratele mai mare, puteți utiliza versiunea Linux sau Windows a EncFS. Doar leneșii nu au scris despre cum să le folosească.

Manager LUKS

A doua aplicație de pe lista noastră este LUKS Manager, o aplicație în esență similară în funcționalitate, care utilizează dm-crypt în loc de EncFS și imagini binare criptate în loc de directoare. Din punct de vedere practic, această opțiune este mai bună decât cea anterioară, deoarece imaginile criptate cu ea pot fi vizualizate sau modificate în aproape orice sistem de operare, inclusiv Linux, Windows și OS X. Dezavantajul este că este incomod de utilizat pentru criptare fișierele din Dropbox, deoarece, la fel ca clientul Dropbox, va trebui să sincronizeze întreaga imagine de fiecare dată, care poate fi foarte mare, spre deosebire de fișierele individuale, așa cum este cazul cu EncFS.

Pentru ca LUKS Manager să funcționeze corect, aveți nevoie de un nucleu cu suport pentru dm-crypt și loopback, dar în timp ce primul este disponibil chiar și în nucleele Android 2.3, al doilea nu este disponibil în toate nucleele stoc. Prin urmare, cel mai probabil veți avea nevoie de un firmware cu un nucleu alternativ, cum ar fi CyanogenMod, AOKP sau MIUI.

Restul este simplu. Interfața programului constă din doar șase butoane: Stare, Unmount All, Mount, Demount, Create and Remove. Pentru a crea o nouă imagine și a o accesa, faceți clic pe „Creare”, selectați directorul de montat, măriți și specificați parola și sistemul de fișiere (FAT32 pentru compatibilitate Windows sau ext2 pentru Linux). Mai multe imagini pot exista și pot fi conectate pe cardul de memorie în același timp, care pot fi dezactivate folosind butoanele „Unmount” sau șterse folosind „Remove”.

Nu este nimic complicat în gestionarea aplicației, voi spune doar că pachetul cu LUKS Manager include și Versiunea Android utilitarul cryptsetup, care poate fi folosit pentru a gestiona și monta manual imagini.

Alte utilizări

Dm-crypt și cryptfs sunt folosite în Android nu numai pentru a proteja directorul /data de privirile indiscrete. Cu ajutorul lor, destul de ciudat, aici este implementat un sistem de instalare a aplicațiilor pe un card de memorie. Se bazează pe ideea de imagini criptate, câte una pentru fiecare aplicație instalată. Acest lucru se face pentru a proteja datele confidențiale eventual stocate de aplicație față de alte aplicații care în Android au acces complet de citire la cardul SD, precum și de la cei care intră în posesia cardului SD.

Lansând un terminal și rulând comanda df, puteți vedea singur cum este implementat acest lucru. Captura de ecran „Galaxy Nexus și df” arată rezultatul acestei comenzi pe smartphone-ul meu. Este clar că, pe lângă dispozitivul pseudo-cripto /dev/block/dm–0, care este conectat la directorul /data și este responsabil pentru criptarea datelor de pe smartphone, există încă 15 dispozitive similare, conectat la diferite directoare din /mnt/asec. Acestea sunt aplicațiile instalate pe cardul de memorie. Aplicațiile în sine sunt stocate în imagini criptate în directorul .asec de pe cardul de memorie, iar cheile de criptare sunt stocate în memoria principală a smartphone-ului.

De asemenea, puteți observa că există și un pseudo-dispozitiv /dev/fuse, conectat la /storage/emulated/legacy, precum și alte directoare. Acesta nu este altceva decât un „emulator” al unui card de memorie, implementat folosind driverul FUSE descris mai devreme (Galaxy Nexus în sine nu acceptă carduri de memorie). În esență, acesta este pur și simplu oglindirea directorului /storage/emulat/legacy în /data/media/0. În acest caz, directorul /sdcard este o legătură către /storage/emulated/legacy. Prin rularea comenzii ps, veți observa că oglindirea este implementată folosind aplicația /system/bin/sdcard, care folosește FUSE ca bază. De fapt, aceasta este o implementare alternativă a unionfs, familiară tuturor utilizatorilor Linux.

AVERTIZARE

Modulul dm-crypt nu poate fi utilizat pentru a cripta partițiile cu sistemul de fișiere YAFFS, deoarece acesta din urmă utilizează operațiuni de nivel scăzut atunci când accesează memoria NAND.

concluzii

După cum puteți vedea, obținerea de criptare a datelor de înaltă calitate în Android este foarte simplă și, în majoritatea cazurilor, nici măcar nu este nevoie să instalați software suplimentar. Singura limitare este necesitatea de a avea un smartphone bazat pe Android 4.0 sau o versiune superioară, dar din moment ce tot ce a fost înainte de 4.0 este destul de greu de numit ca sistem de operare, nu există nicio problemă specială aici :).

INFO

Detalii de implementare sistem standard Criptare Android pentru paranoici: AES pe 128 de biți în modul CBC și ESSIV: SHA–256. Cheia principală este criptată cu o altă cheie AES de 128 de biți derivată din parola utilizatorului folosind 2000 de iterații ale standardului PBKDF2 cu 128 de biți de sare aleatorie.