Android Lollipop'ta tam disk şifreleme nedir?

Hakkında pek çok bilgi var Android 5.0 Lolipoplar "varsayılan" tam disk şifreleme (FDE). Bir kısmı iyi bilgi, bir kısmı kötü bilgi ve çoğu sadece tekrarlanan spekülasyon parçalarıdır. Bu, iyi bir konuşma sağlarken - ve FDE dır-dir hakkında konuşmaya değer bir şey - daha ince noktaları okunması kolay bir tartışmaya bölmek istedik.

Bu, Android şifrelemeyle ilgili her şeyden önce bir belge anlamına gelmez. Google bunu zaten yayınladı. Sürekli duyduğumuz tüketici odaklı soruları ele alacağız. Her zaman olduğu gibi, yorumları tartışmak için kullanın, böylece herşey biraz şey öğrenebilirsin.

Şifreleme, bir şifreleme anahtarı kullanarak verileri koruma işlemidir. Parolayı bir anahtar olarak düşünün ve şifreleme, çok güvenli kilit. Bir şeyler yapmak için içeri girmek için anahtara ihtiyacınız var. Ve doğru anahtar olmadan içeri girmek mümkün olsa da, pek olası değil. (Evet, her şifreleme sistemi - en azından teorik olarak - sabırlı ve kurnaz bireyler tarafından yenilebilir.)

Android'lerimizde, bir cihazdaki tüm kullanıcı verileri ( Android 3.0) şifrelenebilir. Veriler diske yazılmadan önce anında şifrelenir. Buna karşılık, verilerin şifresi, isteyen herhangi bir programa geri gönderilmeden önce çözülür. İhtiyacınız olan tek şey, aygıt ana parolasını kullanan parolaya dayalı doğru anahtardır.

Lolipop'taki değişiklikler

FDE, talihsiz Android 3.x Honeycomb'dan beri Android'de mevcut olsa da, Android 5.0, hepsinin nasıl çalıştığı konusunda oldukça büyük değişiklikler ve iyileştirmeler getiriyor.

Lollipop'ta FDE, doğrudan depolamanın blok katmanına etki eden bir çekirdek özelliği ile yapılır. Bu, şifrelemenin eMMC depolama gibi - yerel şifreleme özellikleri olmayan - flash cihazlarda çalışabileceği anlamına gelir, çünkü bunlar kendilerini standart bir blok cihaz olarak çekirdeğe sunarlar. Doğrudan depolama ile (YAFFS gibi) konuşan dosya sistemlerinde şifreleme mümkün değildir. Telefonunuzu veya tabletinizi yapan kişiler, harici depolamayı (SD Kart gibi) şifrelemek için bir yöntem eklemiş olabilir, ancak Android AOSP çoğunlukla dahili depolama ile ilgilenir. Kullanılan algoritma, CBC'li 128-bit AES ve SHA256 hash fonksiyonunu kullanan şifreli bir tuz sektörü başlatma vektörüdür. Ana anahtar ayrıca OpenSSL kitaplığına yapılan çağrıları da kullanır.

Başka bir deyişle, kesinlikle güvenli.

Android'e ilk önyüklemede, cihazınız rastgele bir 128 bit ana anahtar oluşturur, ardından bu anahtarı karma haline getirir ve kripto meta verilerinde depolar. Bu verilerin kilidi, kullanıcı parolanızla açılır. (Ve unutmayın millet, zayıf parolalar kullanmayın.) Ortaya çıkan hash, TrustZone gibi TEE tabanlı (Trusted Execution Environment) özellikler gibi donanım desteği aracılığıyla da imzalanır. Android 5.0'dan önce, ana anahtar yalnızca kullanıcının parolasına dayalı olarak şifreleniyordu ve bu, ADB aracılığıyla kullanıma hazır olmayan saldırılara karşı savunmasız olabilirdi.

İlginç bir şekilde, Google, AOSP'de Qualcomm donanım şifreleme motorunu kullanmıyor veya için Nexus 6. Bu, Qualcomm'un donanım tabanlı performans özelliklerini kullanmaya kıyasla disk G / Ç sırasında (muhtemelen her 512 bayt aralığında) CPU tabanlı şifreleme ve şifre çözmeyi zorladığından verimsizdir. İkinci tahmine gitmeyeceğiz neden bu yapılır, ancak OEM'lerin bunu istedikleri gibi uygulamakta özgür olduklarını bilin. Umarız olurlar.

Google, Android'de tam disk şifrelemesini güvenli hale getirmek için çok şey yaptı. Sonuç olarak, oldukça iyi bir iş çıkardılar.

Performans sorunları

Sen muhtemelen zayıf performans hakkında duydum Şifrelemenin etkin olduğu Nexus cihazlarda disk okuma ve yazma için. Bu doğru - anında şifrelemeniz ve şifresini çözmeniz gerektiğinde, disk I / O hızları düşecektir. Yukarıda belirtildiği gibi, Google değil Qualcomm'un donanım tabanlı çekirdek özelliklerini Nexus 6'da kullanmak, bu da biraz daha fazla acı çekmesine neden oluyor. Ama ne kadar kötü?

Lollipop'taki Disk I / O, olduğundan birkaç kat daha hızlıdır. Kit Kat ve Android'in önceki sürümleri. Yazılım optimizasyonu ve cihaza özel kod, Android'in depolama alanından her zamankinden daha hızlı okuyup yazabileceği anlamına gelir. Bu, şifreleme nedeniyle daha yavaş G / Ç süreleri tarafından çoğunlukla reddedilen çok iyi bir şeydir.

FDE kullanmanız gerekiyorsa (veya yeni bir Nexus satın aldığınız ve yüklemek istemediğiniz için kullanmaya zorlandıysanız) özel üretici yazılımı) performansınız hala (kağıt üzerinde) olduğundan daha iyi olacak Kit Kat. Şifreleme olmadan olabileceği kadar iyi olmayacak. Gerçek dünya kullanımında, konuştuğumuz çoğu kullanıcı, yavaş G / Ç nedeniyle herhangi bir cihaz gecikmesi fark etmez. Deneyiminiz farklı olabilir.

FDE istiyorsanız veya ihtiyacınız varsa, takas muhtemelen buna değer.

Şifreleme zorunlu değildir (yine de buna ihtiyacınız var mı?)

Zaten Lollipop güncellemesine sahip bir telefonu olan herkes size Lollipop'un sizi şifreleme kullanmaya zorlamadığını söyleyebilir. Nexus 6 ve Nexus 9 (ve muhtemelen gelecekteki tüm Nexus cihazları) etkin olarak gönderilse de ve kapatmanın kolay bir yolu olmasa da, Lollipop'a güncellenen telefonlar - Galaxy Note 4 - tam disk şifrelemesini otomatik olarak etkinleştirmeyin.

Aynı şey, Android 5.x ile gönderilen yeni cihazlar için de geçerlidir. LG G Flex 2. Seçenek, onu etkinleştirmek istemeniz gerektiğidir, ancak varsayılan olarak tam şifreleme kapalıdır. Bu bizi bir seçeneğe getiriyor - tam disk şifrelemesine ihtiyacımız var mı?

Birçoğumuz tam disk şifrelemesini yararlı bulacağız. Telefonunuzda asla ve asla yanlış ellere düşmek istemediğiniz hassas bilgileriniz varsa, FDE bir nimettir. Birisinin verilerinize girmesi için cihaz şifrenizi bilmesi gerekir. Bir kabloyla uğraşmak onların içeri girmesine izin vermez ve güçlü bir parola kullanmanız koşuluyla verileriniz güvendedir çünkü bir avuç yanlış tahminden sonra her şey kilitlenir.

Diğerleri için sadece standart kilit ekranı güvenliği yeterli olacaktır. Bir telefonu kaybedersek, onu Android Aygıt Yöneticisi veya başka bir yardımcı program aracılığıyla uzaktan silebiliriz ve bir kişi biz silmeden önce çevrimdışı duruma geçebilirse, Kilit ekranı şifremizi atlayacak kadar şanslı (bu olabilir), elde ettikleri tek şey birkaç resim ve şifreyi hızla değiştirebileceğimiz Google hesabı erişimi üzerinde.

Bir de düşünülmesi gereken hükümetin gözetleme meselesi var. Çoğumuz, telefonlarımızda sakladığımız şeylerin sonuçlarından korkmak için bir nedenimiz olmasa da, kişisel verilerimiz söz konusu olduğunda hala biraz mahremiyet ve korumayı hak ediyoruz. Tam disk şifreleme, verilerimizi görmeleri gerektiğini düşünen devlet kurumlarından korumaya bizi yaklaştırır.

Sadece sen tam cihaz şifrelemesine ihtiyacınız olup olmadığını öğrenin.