id: Гость   вход   регистрация
текущее время 15:52 19/09/2020
создать
просмотр
ссылки

Встроенное шифрование Android


В настройках Android (как минимум с версии 4.2.1 или более ранних) во вкладке "Безопасность" есть пункт "Шифрование", активация которого позволит зашифровать содержимое смартфона, а последний при включении и разблокировке экрана будет требовать пин или пароль. Деактивация шифрования возможна только через factory reset. Возникли вопросы:


1) По какому алгоритму шифруются данные? AES-256, AES-128 или какая-нибудь унылая хрень с ключом 40 бит?


2) Шифруется ли только внутренняя память телефона, или подключённая карта microSD тоже будет зашифрована? Вытащенную из телефона карту памяти нельзя будет просмотреть на компьютере без пароля?


3) Насколько на ваш взгляд это надёжно? Может, есть какие-то хорошие проверенные решения по шифрованию всего смарта, кроме встроенной опции?


Так-то штука нужная. И да, говоря о надёжности такого шифрования, под вероятным противником подразумеваю не гопников, отжавших смарт и решивших там полазать, а людей с усталыми и добрыми глазами.


 
Комментарии
— Гость (31/01/2014 16:18)   <#>
Ну, учитывая что если Вы забудете пароль, добрые дяди из Гугла ЫВам устройство по соответствующей процедуре расшифруют.....
— Гость (31/01/2014 19:56)   <#>
Android, как устройство специально спроектирован в основной массе для городских гопников и деревенских гиков. Шифрование там тоже соответствующее, для гопников от гиков.
Android не является серьезным устройством для профи.
Там есть встроеный Wi-Fi, фото-видео камера – ну о какой анонимности и надежном шифровании можно надеятся...?
Кстати из-за встроенного Wi-Fi я передумал покупать фотокамеру, хотя долго ждал выхода новой модели...
— Гость (01/02/2014 01:36)   <#>

Нет таких решений и вряд ли будут в обозримом будущем. Ещё один замечательный топик: Ослабленная криптография в Android SSL.


Тем более... Лучше почитайте вот это. Если хочется мобильности, выбирайте телефон попроще, и считайте его заведомо недоверенным. Пусть он работает как недоверенный роутер для основного устройства — нетбука, к примеру, или таблетки, на которых будет стоять вами собственноручно установленная доверенная открытая ОС. На самом телефоне ничего не храните критичного.
— Гость (01/02/2014 14:00)   <#>
К сожалению, не было ответов насчёт "технической" стороны шифрования (алгоритм и длина ключа). Свой пароль в 14-16 символов я не забуду) Жаль, что длина пароля там максимум 16, а то я б все 32 символа влепил))

Я понимаю, что Android и анонимность – плохо пересекающиеся множества. Тем не менее, в том случае когда нужен мобильный доступ в интернет, смарт/планшет на Android – наверно, меньшее из зол. Ноут с whonix на нём не всегда потаскаешь и в автобусе не воспользуешься. Да и нетбук тоже. Ойфон и Винфон – нахер.

Я в курсе про то, что многие проги могут отправлять мои данные, сливать геолокацию, получать доступ к смс и звонкам... Но из сетевых программ планируются Orbot, Orweb, клиент джаббера с поддержкой OTR, возможно Opera/Firefox. Никаких ВК, Твиттера, эФэСБука, скайпа не будет. Гуглосервисы будут заморожены, включая Гуглоплей. Карты оффлайновые – 2GIS. Многим прогам отрублю доступ в сеть через файервол. И т.д.

Просто хочется всё это дело зашифровать как-то, чтобы в случае чего противник не получил доступ к хранящейся информации (она так или иначе будет там, хоть и не критическая и не связанная с инфомацией на компе). Потому и интересны параметры стандартного шифрования, равно как и альтернативы.

Заодно можете подсказать какую-нить записную книжку с надёжным шифрованием заметок и паролем на входе. Менеджер паролей с AES-256 уже отыскал)) Да, Evernote не предлагайте, RC2 с ключом то ли 40, то ли 64 бита с отправкой всего и вся на серверы меня не интересует вообще никак))
— Гость (02/02/2014 00:24)   <#>

Какая разница какая там "техническая сторона", если Google может получить ключ шифрования, сделав удалённый запрос к Andorid'у или отправив вам обновление для ОС, которое будет содержать бэкдор для него? Как и для чего вы при этом используете свой смартфон — совершенно неважно. Если атакующий контролирует (или всегда может получить контроль над) смартфон, он сможет оттуда слить и все ключи шифрования и переписку, и пароли.


Безопасность требует жертв (в том числе, удобством).


Orweb Security Advisory

On August 21st, Nathan Freitas from the Guardian Project issued security advisory regarding a possible anonymity flaw affecting Orweb:

“The Orweb browser app is vulnerable to leak the actual IP of the device it is on, if it loads a page with HTML5 video or audio tags on them, and those tags are set to auto-start or display a poster frame. On some versions of Android, the video and audio player start/load events happen without the user requesting anything, and the request to the URL for the media src or through image poster is made outside of the proxy settings”, wrote Nathan.

Users who use the root mode with transparent proxying, as that handles proxying the entire traffic of the entire device or a particular app are NOT affected by this flaw.

Unfortunately, the problem mentioned above hasn't been fixed yet, as there is no patch developers are happy with. According to Nathan the temporary solution is ”switch to Firefox, with the appropriate set of add-ons.” The Guardian Project has updated its website with a step by step guide on how to set this up.

У них самый фатальный деанон из всех возможных, патч должен был выйти моментально, а патча нет (может, сейчас уже есть, не знаю). Это говорит о том, какой приоритет orbot и его безопасность имеет у разработчиков. Вот ещё ссылки.

В Orbot, кажется, неоднократно замечались утечки трафика в обход Tor.

По-моему, Orbot ни для чего серьёзного помимо экспериментов пока не годится, даже если полностью доверять гуглу.
— Гость (02/02/2014 13:50)   <#>
Спасибо за пояснения. Так-то думал пустить всё через Orbot и юзать Orweb или Firefox. Буду изучать матчасть дальше :)
— Гость (02/02/2014 16:03)   <#>
Морозная атака на шифрование Android

Google может получить ключ шифрования, сделав удалённый запрос к Andorid'у или отправив вам обновление для ОС, которое будет содержать бэкдор для него?


Ваша параноя зашла слишком далеко. Зачем они тогда делают это: Жан-Батист Керу, технический глава Android Open Source Project, объявил о доступности исходников Android 4.1.1.
Получить их можно на сайте AOSP.

В конце концов поставьте кастомную прошивку без play market. На данный момент от заморозки ОЗУ не спасёт ничего, разве что заливать эпоксидной смолой всё физические коннекторы, как то оставив только 2 для зарядки.
— Гость (02/02/2014 22:39)   <#>
не получил доступ к хранящейся информации
LUKS Manager или EDS (поддержка контейнеров TC).
— Гость (02/02/2014 22:44)   <#>
У них самый фатальный деанон из всех возможных
А если взяить обычный FF и настроить как сказано здесь: https://www.pgpru.com/soft/ras.....firefox/rekomendacii ?
— Гость (04/02/2014 18:19)   <#>

Было, обсуждали, но это из другой области. От cold boot и ПК не защищён.


С доверием к самому железу плохо даже для обычных ПК/ноутов, а для смартфонов/телефонов — тем более. Открытый Android — это только ядро. Весь остальной софт там насквозь проприетарен, насколько я помню. Т.е., в отличие от нэтбуков и, возможно, некоторых таблеток, не получится на Android поставить свой полноценный и полностью открытый дистрибутив Linux'а. Что толку от открытого ядра, если весь юзерленд закрыт?


Если бы всё было так просто, думаете, разработчики TBB этого не осилили бы? И, вообще,

С топиком Eridan'а такое уже было: тыкают в него и говорят «вот, на pgpru.com это советуют». Мало кто будет читать комментарии к топику, разбираться с тем, что это открытая площадка, любой может развивать документы, и слепо всему верить не стоит.
— Гость (05/02/2014 00:26)   <#>
разработчики TBB этого не осилили бы?
Что касается меня, так я считаю что раз разработчики не предлагают варианта ТВВ для Андроид, то нужно принимать решение самому как использовать Tor в этой системе с Orweb или FF.
— Акселерометрофоб (14/05/2014 18:51)   <#>
Андроид вполне юзабелен без гуглаккаунта. Приложения ставятся из файлов ".apk". Файрволы тоже есть. Так что слив инфы гуглу не обязателен. Опаснее сами разработчики приложений. Права, запрашиваемые 95% приложений, тоже крайне подозрительны. Есть неочевидные гадости, вроде кейлогеров на основе микрофона или акселерометра. Но для некритичных данных вполне можно юзать андроид-планшеты. Так что всё не столь печально. В связи с этим, вопрос о надежности шифрования интересен и актуален.
— Гость (14/05/2014 23:49)   <#>
Кстати, уважаемые форумчане. Кто-нибудь пробовал ставить убунту на телефон или планшет? Расскажите, пожалуйста, о чувствах, которые вы испытали.
— Гость (17/05/2014 22:31)   <#>
Mission Impossible: Hardening Android for Security and Privacy
Наверное, может оказаться полезным :).

Если наскоро. При наличии на устройстве документов, всё же, лучше отрубать сеть (есть букридеры за $100 — тот же функционал, только нет места для сим-карты), и шифровать файлы на случай потери устройства сторонними программами (нельзя гуглу доверять). Я пользуюсь SSE. Если исходить из изначальной — как совершенно правильно выше сказано —
— недоверяемости устройства, то тут не нужно расслабляться, в принципе.

Ubuntu очень хочу посмотреть — боюсь пока только, что сейчас нефункционал, и придется времени потерять немало. К тому же, непонятно, как там в консоли работает экр. клав-ра :).
— Гость (25/05/2014 21:02)   <#>

Букридеры (без GSM и wi-fi) с андроидом есть и за 50 баксов. Есть планшеты без GSM за 80 баксов. При минимальных познаниях в электронике, wi-fi, камера и микрофон из них "выдирается" без проблем.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3