В рамках проекта CopperheadOS развивается защищённый вариант платформы Android21.09.2015 12:15

Продолжается альфа-тестирование проекта CopperheadOS, в рамках которого развивается ответвление от мобильной платформы CyanogenMod 12.1, включающее дополнительные средства защиты и обеспечения неприкосновенности данных пользователя. Особое внимание уделяется интеграции средств для предотвращения различных классов атак, позволяющих защитить систему от новых zero-day уязвимостей. Сборки подготовлены для смартфонов Nexus 5 и Samsung Galaxy S4.

Ключевым элементом CopperheadOS, отличающим данную сборку от других систем, является использование ядра Linux с патчем PaX (используется собственный порт PaX для варианта ядра Linux, применяемого в платформе Android), минимизирующим права доступа приложений к страницам памяти. Другим важным изменением является задействование в системной библиотеке защищённой реализации вызова malloc, портированного из OpenBSD. Каждый системный сервис и пользовательское приложение выполняется в своей уникальной рандомизированной раскладке памяти, вместо применения типового шаблона. Кроме того, внесены связанные с усилением безопасности и приватности исправления (_FORTIFY_SOURCE, SSP (Stack smashing protection), ASLR, изоляция mmap и т.п.) в системную библиотеку bionic, базовые фреймворки и системные компоненты Android.

Среди других особенностей CopperheadOS:

Более жесткие настройки межсетевого экрана и использование черных списков для блокировки вредоносного ПО и фишинга в браузере;
Обеспечение оперативной доставки обновлений с устранением уязвимостей;
Предустановленный набор приложений для шифрования данных и создания шифрованных каналов связи. В том числе, поддерживается полное шифрование всех данных на устройстве;
Проведения чистки компонентов Cyanogen/Google от кода, который может быть использован для отслеживания активности пользователя или потенциально может быть вовлечён в проведение атак;
Отказ от использования сервисов Google. Web-сервисы заменены на локальные сервисы. При желании отдельно можно установить пакеты с сервисами Google, в том числе с Google Play.
Возможность верификации целостности базового образа системы при помощи модуля dm-verity. Проверка выполняется через сверку считанных с накопителя блоков файловой системы с сохранёнными в отдельной области криптографическими хэшами (используется древовидная структура хэша, в которой каждый элемент учитывает содержимое соседей, а проверка корректности корневого элемента осуществляется с использованием методов асимметричного шифрования);
Использование отдельных паролей для блокировки экрана и шифрования данных. Защита от подбора пароля - после 5 попыток неправильного ввода устройство перезагружается;
В базовый состав включена подборка приложений для решения различных типовых задач, отобранных и проверенных в плане безопасности и приватности. По умолчанию в качестве каталога приложения предлагается F-Droid. Рассматривается возможность полного запрета установки сторонних программ, но этот вопрос пока обсуждается.