Шифрование устройства андроид. Стоит ли шифровать собственный Android

Шифрование данных в ОС Android тесно связано с двумя проблемами: контролем доступа к картам памяти и переносом на них приложений. Многие программы содержат данные активации, платежную и конфиденциальную информацию. Ее защита требует управления правами доступа, которые не поддерживаются типичной для карточек файловой системой FAT32. Поэтому в каждой версии Android подходы к шифрованию кардинально менялись - от полного отсутствия криптографической защиты сменных носителей до их глубокой интеграции в единый раздел с шифрованием на лету.

Несомненно, эта история может стать еще более смущающей, когда вредоносное приложение может заразить ваш компьютер. В мире киберпреступников последней тенденцией является распространение вредоносного ПО, которое крадет все потенциально ценные данные с вашего компьютера: документы, фотографии, пароли, хранящиеся в веб-браузерах, - буквально все.

Украденные изображения часто содержат отсканированные документы, которые потенциально могут служить вором для мошенничества и кражи личных данных. Были случаи, когда украденные фотографии, которые не следует рассматривать как дневной свет, использовались для шантажа.

WARNING

У каждого гаджета с ОС Android есть свои существенные отличия - как в прошивке, так и на аппаратном уровне. Даже разные версии одной модели могут сильно отличаться. Карты памяти тоже имеют свои особенности. Поэтому детальные руководства по использованию шифрования на одном устройстве часто не работают без модификаций на другом. Универсальных методов здесь не существует. Есть лишь общие подходы, которые и описаны в данной статье.

Потерянный телефон - еще один катастрофический момент для пользователя. Шифрование - это процесс преобразования информации, чтобы неавторизованный человек не мог ее прочитать - доверенный человек может расшифровать сообщение и прочитать его в своей первоначальной форме.

Один ответ на многие проблемы. Существует еще один эффективный метод - создать сообщение, чтобы он мог быть прочитан только человеком, которому он направлен. Вы можете защитить себя от неуклюжих ситуаций и сбоев, сохраняя информацию в зашифрованном виде.

Но мы хотели бы сосредоточиться на еще одном важном аспекте - шифровании ваших данных, которые вы держите на своем компьютере и своем телефоне. Самое главное - сохранить секретный ключ шифрования. Важно различать два понятия - кодирование и шифрование. Кодирование также преобразует информацию, но обычно это делается для удобства хранения или передачи - не обязательно для хранения секретов. Общеизвестными методами кодирования являются код Морзе и двоичное кодирование в памяти компьютера.

Особая роль карты памяти

Изначально разработчики Android предполагали использование карты памяти только как отдельного хранилища пользовательских файлов. Это был просто склад мультимедиа без каких-либо требований к его защите и надежности. Карточки microSD(HC) с FAT32 вполне справлялись с ролью простейшей хранилки, освобождая внутреннюю память от фоток, видеороликов и музыки.

Наиболее удобным решением для хранения зашифрованных файлов является создание зашифрованного хранилища, также называемого контейнером. После установки на компьютер он классифицируется системой как отдельный диск. Любой файл, который вы хотите сохранить в этой папке, будет автоматически зашифрован, а затем сохранен в одном безопасном месте.

Человек, который получит доступ к вашему компьютеру и даже попытается украсть эту папку, не сможет получить доступ к информации, хранящейся в нем. В интерьере будут случайные персонажи, и поиск пароля для превращения их в ценное сообщение займет годы.

Возможность переносить на карту памяти не только мультимедийные файлы, но и приложения впервые появилась в Android 2.2 Froyo. Реализована она была с помощью концепции зашифрованных контейнеров на каждое приложение, но защищало это исключительно от попадания не в те руки карты - но не смартфона.

К тому же это была полумера: многие программы переносились частично, оставляя часть данных во внутренней памяти, а некоторые (например, системные или содержащие виджеты) не переносились на карточку вовсе. Сама возможность переноса приложений зависела от их типа (предустановленное или стороннее) и внутренней структуры. У одних каталог с пользовательскими данными сразу располагался отдельно, а у других - в подкаталоге самой программы.

Конечно, вы должны следовать нескольким простым правилам, чтобы гарантировать, что зашифрованная папка эффективно защищена. Ваш ключ шифрования является единственной защитой незнакомцев - он должен быть длинным, сложным и трудно угадывающим. Если у вас есть разные типы информации, которые вы хотели бы поделиться только частично, мы предлагаем вам создать пару папок с отдельными паролями. Подключите свой зашифрованный диск только при работе с важными документами и отключите его сразу после работы. Если ваша папка повреждена каким-либо образом, файлы в ней будут потеряны. Активный кейлоггер снижает эффективность вашего шифрования.

Вы должны хранить все свои личные данные на зашифрованном диске.
Любой, кто знает пароль, может читать все сохраненные файлы.
Это очень важно!

Попытка защитить данные пользователей от краж смартфонов, поставщики мобильных систем разработали различные функции шифрования.

Если приложения интенсивно использовали операции чтения/записи, то надежность и скорость работы карточек уже не могла удовлетворить разработчиков. Они намеренно делали так, что перенос программ штатными средствами становился невозможен. За счет такого ухищрения их творение гарантированно получало прописку во внутренней памяти с большим ресурсом перезаписи и высоким быстродействием.

Существует один вид информации, которая отчаянно нуждается в шифровании: ваши пароли. Вы должны использовать уникальные и надежные пароли для каждой страницы и службы, но помнить, что все это часто является проблемой. Это решение является специальным приложением, предназначенным для безопасного хранения паролей в зашифрованном виде, называемом цифровым кошельком.

Сильное шифрование позволяет безопасно подключаться к базе данных через Интернет и синхронизировать ее между различными компьютерами и мобильными устройствами. Облачные сервисы позволяют хранить ваши пароли в удобном виде, в безопасном месте, без ущерба для безопасности.

С четвертой версии в Android появилась возможность выбрать, где разместить приложение. Можно было назначить карту памяти как диск для установки программ по умолчанию, но не все прошивки корректно поддерживали эту функцию. Как она работает в конкретном устройстве - удавалось выяснить лишь опытным путем.

В пятом Андроиде Google снова решила вернуть изначальную концепцию и сделала все, чтобы максимально затруднить перенос приложений на карту памяти. Крупные производители уловили сигнал и добавили в прошивки собственные функции мониторинга, определяющие попытки пользователя принудительно переместить приложения на карточку с использованием рута. Более-менее работал только вариант с созданием жестких или символьных ссылок. При этом приложение определялось по стандартному адресу во встроенной памяти, а фактически находилось на карточке. Однако путаницу вносили файловые менеджеры, многие из которых некорректно обрабатывали ссылки. Они показывали неверный объем свободного места, поскольку считали, что приложение якобы занимает место и во встроенной памяти, и на карточке одновременно.

Выгоды - хотя и важные - остаются невидимыми или становятся заметными только через некоторое время, поэтому они не являются особым стимулом к изменению привычек. Защита данных - хороший аргумент для шифрования деловых писем, но кто будет интересоваться нашим личным бизнесом? Побег из профилирования в коммерческих целях? В конце концов, мы получаем более персонализированные результаты поиска и предложения, соответствующие вашим потребностям. Прежде чем мы объясним шаг за шагом, как шифровать связь, мы постараемся ответить на вопрос: зачем шифровать?

Адаптируй это!

В Android Marshmallow появился компромисс под названием «Адаптируемое хранилище» - Adoptable Storage. Это попытка Google сделать так, чтобы и овцы остались целы, и солдаты удовлетворены.

Функция Adoptable Storage позволяет объединить пользовательский раздел во встроенной памяти с разделом на карточке в один логический том. Фактически она создает на карточке раздел ext4 или F2FS и добавляет его к пользовательскому разделу внутренней памяти. Это чисто логическая операция объединения, отдаленно напоминающая создание составного тома из нескольких физических дисков в Windows.

Многие специалисты по информационной безопасности удивлены, в свою очередь, почему вам нужно убедить кого-то вообще зашифровать его. Никто не спрашивает о возможности отправки писем в закрытых конвертах. Однако зашифрованная связь требует изменения привычек и не всегда связана с общим комфортом, особенно для людей, которые используют более одного устройства для общения. Более того, вы должны убедить другую сторону также зашифровать ее. Вся мотивационная трудность заключается в том, что, как и в вышеупомянутой аналогии, выгоды откладываются во времени, и практические трудности сразу ощущаются.

В процессе объединения с внутренней памятью карточка переформатируется. По умолчанию весь ее объем будет использован в объединенном томе. В таком случае файлы на карточке уже нельзя будет прочитать на другом устройстве - они будут зашифрованы уникальным ключом устройства, который хранится внутри доверенной среды исполнения.

Хотя шифрование является технической деятельностью, оно также имеет последствия для гораздо более широкого охвата. После разглашения Эдвардом Сноуденом программ наблюдения за электронными коммуникациями, он больше не должен удивлять тех, кто во всем мире уделяет особое внимание службам шифрования. В те времена, когда «кому нечего скрывать, нечего бояться», книжники и даже просто заинтересованы в шифровании, могут стать подозрительными. Но нет ничего плохого в том, что мы не хотим, чтобы кто-нибудь читал наши письма.

Шифрование позволяет «упаковать» сообщение, чтобы оно не было видно невооруженным глазом. Большинство шифровщиков предпочитают использовать его по двум причинам: принцип хранения информации о себе секретно или не хочет быть объектом целенаправленных рекламных кампаний. Зашифрованные сообщения также помогают управлять деятельностью оппозиции и активистов в конфликтных районах и где правительства подавляют гражданские свободы. Конечно, он также используется для преступной деятельности. Но тот же самый молот можно использовать как для гвоздя, так и для убийства: трудно понять это как достаточную причину, чтобы начать выдавать разрешающие заявки и регистрировать всех владельцев.

В качестве альтернативы можно зарезервировать на карточке место под второй раздел с FAT32. Хранимые на нем файлы будут видны на всех устройствах, как прежде.

Способ разделения карточки задается либо через меню Adoptable Storage, либо через отладочный мост для Android (Android Debug Bridge - ADB). Последний вариант используется в тех случаях, когда производитель скрыл Adoptable Storage из меню, но не удалил эту функцию из прошивки. Например, она скрыта в Samsung Galaxy S7 и топовых смартфонах LG. В последнее время вообще появилась тенденция убирать Adoptable Storage из флагманских устройств. Она считается костылями для бюджетных смартфонов и планшетов, которые не комплектуются достаточным объемом встроенной Flash-памяти.

Шифрование электронной почты с использованием почтового клиента. Решив шифровать почту, мы должны иметь дело с рядом ограничений и помех. Мы привыкли, что если у нас есть наш почтовый ящик и адрес электронной почты адресата, нет ничего проще, чем отправка электронной почты. Шифрование требует участия другой стороны, которая также должна шифровать. Если кто-то оценит использование удобного интерфейса своей почты в веб-браузере, у него могут возникнуть проблемы с переключением на почтовый клиент. Если он использовал функцию для запоминания пароля после ввода пароля операционной системой, ему пришлось бы изменить эту привычку и запомнить хотя бы один пароль.

Впрочем, не маркетологам решать, как нам использовать свои устройства. Через ADB на компьютере с Windows функция Adoptable Storage включается следующим образом.

Делаем бэкап всех данных на карточке - она будет переформатирована.
Java SE Development kit с сайта Oracle.
Устанавливаем последнюю версию Android SDK Manager .
Включаем на смартфоне отладку по USB.
Запускаем SDK Manager и в командной строке пишем: $ adb shell $ sm list-disks
Записываем номер диска, под которым определяется карта памяти (обычно он выглядит как 179:160, 179:32 или подобным образом).
Если хочешь добавить к внутренней памяти весь объем карточки, то пиши в командной строке: $ sm partition disk: x:y private
где x:y - номер карты памяти.
Если вы используете несколько устройств для отправки и получения почты, вам придется ограничить их количество, зашифровать только определенные сообщения или настроить соответственно каждое устройство. Знают ли преимущества шифрования «транзакционные издержки»? Неудивительно, что мы рекомендуем вам попробовать.

Настройка почтового клиента. Чаще всего используется, но самым простым решением является установка специального плагина в почтовой программе. Вот почему шифрование будет самым простым способом начать работу с людьми, которые используют один компьютер, а сообщения электронной почты не проходят через веб-браузер и специальную программу для чтения и отправки электронных писем. почтовый клиент.
Если хочешь оставить часть для тома FAT32, то измени команду из п. 7 на такую: $ sm partition disk:x:y mixed nn
где nn - остаток объема в процентах для тома FAT32.

Например, команда sm partition disk:179:32 mixed 20 добавит к встроенной памяти 80% объема карточки и оставит на ней том FAT32 в 1/5 ее объема.

На некоторых смартфонах этот метод в варианте «как есть» уже не работает и требует дополнительных ухищрений. Производители делают все, чтобы искусственно разделить свою продукцию по рыночным нишам. Топовые модели выпускаются с разным объемом встроенной памяти, и желающих переплачивать за него находится все меньше.

На веб-сайте производителя или справке. В сети много «для резисторов». Установите плагин шифрования. В настроенном почтовом клиенте вам необходимо установить подключаемый модуль, который будет поддерживать шифрование. Для шифрования почты требуется пара ключей: открытый ключ получателя используется для проверки подписи отправителя входящего сообщения и для шифрования исходящего сообщения. Закрытый ключ: используется для подписания исходящих сообщений и дешифрования входящих сообщений.

Через процесс создания пользовательских ключей будет запущен мастер, который будет доступен в почтовой программе после установки плагина шифрования. Одним из шагов является установка пароля. Важно отметить, что это безопасный пароль, известный только пользователю.

Некоторые смартфоны не имеют слота для карты памяти (например, серия Nexus), но поддерживают подключение USB-Flash-носителей в режиме OTG. В таком случае флешку также можно использовать для расширения объема встроенной памяти. Делается это следующей командой:

$ adb shell sm set-force-adoptable true

По умолчанию возможность использовать USB-OTG для создания адаптированного хранилища отключена, поскольку его неожиданное извлечение может привести к потере данных. Вероятность внезапного отключения карты памяти гораздо ниже из-за ее физического размещения внутри устройства.

При генерации ключей вы также сможете генерировать так называемые. Сертификат аннулирования, который потребуется для удаления ключа, если пароль потерян. Сертификат аннулирования стоит добавить во внешнюю память, чтобы получить к нему доступ в случае сбоя или сбоя компьютера.

Шаг 4: для танго вам нужны два. Для шифрования связи необходимо обращать внимание на взаимодействие другой стороны: получатель должен выполнять те же действия, что и отправитель, чтобы читать и отправлять зашифрованные сообщения. Зашифрованным пользователям рекомендуется прилагать усилия, даже если вы общаетесь с нами таким образом. У нас есть как минимум два метода: мы рекомендуем использовать оба.

Если с добавлением объема сменного носителя или его разбиением на разделы возникают проблемы, то сначала удали с него всю информацию о прежней логической разметке. Надежно это можно сделать с помощью линуксовой утилиты gparted , которая на компьютере с Windows запускается с загрузочного диска или в виртуальной машине.

Согласно официальной политике Google приложения могут сразу быть установлены в адаптируемое хранилище или перенесены в него, если разработчик указал это в атрибуте android:installLocation . Ирония в том, что далеко не все собственные приложения Google пока позволяют это делать. Каких-то практических лимитов у «адаптированного хранилища» в Android нет. Теоретический предел для Adoptable Storage составляет девять зеттабайт. Столько нет даже в дата-центрах, а уж карты памяти большего объема тем более не появятся в ближайшие годы.

Таким образом, любой, кто хочет отправить вам зашифрованные сообщения, сможет легко сделать это, загрузив ваш открытый ключ с сервера. Например, команда фонда Паноптикон призывает других зашифровать свою почту слоганом Шифруйте со мной! Таким образом мы сообщаем людям, с которыми мы общаемся, чтобы они могли безопасно отправлять нам информацию.

Поместите открытый ключ на ключевой сервер.
Популяризируйте идею шифрования.

Шифрование писем через браузер и мобильные устройства.

Шифрование через почтовый клиент является наиболее распространенным и безопасным решением, но не единственным. Минус этого решения: сообщения зашифровываются только при отправке. На простом языке сообщение не будет прочитано не получателем, но поставщик сможет проанализировать проект нашей электронной почты и, на основании этого, предоставить нам персонализированное объявление. Специалисты по информационной безопасности советуют не шифровать электронную почту на мобильных устройствах, которые намного легче потерять, чем ноутбук.

Сама процедура шифрования при создании адаптированного хранилища выполняется с помощью dm-crypt - того же модуля ядра Linux, которым производится полнодисковое шифрование встроенной памяти смартфона (см. предыдущую статью « »). Используется алгоритм AES в режиме сцепления блоков шифртекста (CBC). Для каждого сектора генерируется отдельный вектор инициализации с солью (ESSIV). Длина свертки хеш-функции SHA составляет 256 бит, а самого ключа - 128 бит.

Такая реализация, хотя и уступает в надежности AES-XTS-256, работает гораздо быстрее и считается достаточно надежной для пользовательских устройств. Любопытный сосед вряд ли вскроет зашифрованное адаптированное хранилище за разумное время, а вот спецслужбы давно научились использовать недостатки схемы CBC. К тому же реально не все 128 бит ключа оказываются совершенно случайными. Невольное или намеренное ослабление встроенного генератора псевдослучайных чисел - самая часто встречающаяся проблема криптографии. Она затрагивает не столько гаджеты с Android, сколько все потребительские устройства в целом. Поэтому самый надежный способ обеспечения приватности - вообще не хранить конфиденциальные данные на смартфоне.

INFO

Если после объединения памяти с помощью Adoptable Storage выполнить сброс до заводских настроек, то данные на карточке также пропадут. Поэтому предварительно стоит сделать их бэкап, а лучше - сразу назначить облачную синхронизацию.

Альтернативное шифрование данных на карте памяти

Теперь, когда мы разобрались с особенностями хранения файлов на карте памяти в разных версиях Android, перейдем непосредственно к их шифрованию. Если у тебя девайс с шестым Андроидом и новее, то с большой вероятностью в нем так или иначе можно активировать функцию Adoptable Storage. Тогда все данные на карточке будут зашифрованы, как и во встроенной памяти. Открытыми останутся лишь файлы на дополнительном разделе FAT32, если ты захотел его создать при переформатировании карточки.

Продолжение статьи доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все статьи на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта, включая эту статью. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов.

Начиная с Android 4.2, вы можете зашифровать все устройство средствами самой операционной системы Android. При этом вам не нужно покупать или устанавливать какие-либо дополнительные приложения. Все осуществляется средствами самой операционной системы, причем доступ к Интернету для этого не нужен. Вы можете зашифровать данные в любой момент, когда посчитаете это целесообразным.

Шифрование Андроид

Работает шифрование так: после включения шифрования все данные на устройстве и на карте памяти будут зашифрованы. Конечно, если кто-то разблокирует ваше устройство, он все равно получит доступ к данным, однако это спасет ваши данные, если кто-то попытается украсть карту памяти или прочитать данные без включения смартфона с его внутренней памяти. У него ничего не выйдет, так как данные будут зашифрованы.

При включении смартфона вам нужно будет вводить пароль, позволяющий расшифровать данные. Без ввода пароля смартфон дальше не загрузится. Это не просто пин-код, это ключ, которым зашифрованы ваши данные.

О шифровании устройства вы должны знать следующие вещи:

Шифрование возможно только в одном направлении. После шифрования расшифровать устройство уже будет нельзя. Можно только сбросить его до заводских настроек, но в этом случае вы потеряете все данные.
Шифрование всего устройства замедляет работу смартфона. В принципе, в эру 8-ядерных процессоров и при объеме оперативной памяти от 1 Гб это не доставит вам хлопот. На более слабых устройствах «торможение» будет ощутимым.
Шифрование устройства не спасет ваши данные от случая, если кто-то попросил ваш смартфон, чтобы просмотреть, а сам в этот момент или установит троян, или просто вручную отправит некоторые интересующие его данные на свой телефон. От таких случаев позволяет защититься только криптоконтейнер: ведь для доступа к данным внутри контейнера нужно будет ввести еще один пароль, который злоумышленник не знает.

Если вы хотите зашифровать все устройство, перейдите в Настройки, Безопасность, затем нажмите кнопку Зашифровать телефон (или Зашифровать планшет) в разделе Шифрование. Далее следуйте инструкциям.

Примечание. Шифрование невозможно осуществить, пока вы не настроите PIN-код. Для этого перейдите в Настройки, Шифрование, выберите Блокировка экрана, нажмите PIN-код или Пароль.