Безопасность операционной системы android

После этого происходит инициализация переменных, необходимых для работы устройства. Если вас заинтересует эта тема, то вы легко найдете информацию о той или иной комманде. Давайте подробно рассмотрим следующий блок (который я уже приводил в этой статье):

MTD — Memory Technology Devices. Если в общих чертах, то MTD — это специальный чип с энергонезависимой (т.е. данные на этом чипе сохраняются после перезагрузки или выключения) flash-памятью (типа NOR или NAND), на который сохраняются образы дисков. В этой статье более подробно рассказывается об этом типе устройств, а также об ограничениях. Специально для этих разновидностей flash-памяти были разработаны специальные файловые системы, например, YAFFS. Одно из самых важных ограничений этих типов памяти заключается в том, что для того чтобы записать данные в сектор, куда уже записаны какие-то данные, вам надо полностью сначала стереть весь сектор. Поэтому производители стали переходить на новый тип блочной flash-памяти (eMMC), на которые можно поставить обычную ext4 файловую систему и избавиться от указанного ограничения. Т.к. я показываю пример init.rc файла для эмулятора, где вся работа эмулируется, то в нем по умолчанию используется файловая система YAFFS2 (думаю, что это пережитки прошлого, т.к. YAFFS2 использовалась для всех устройств до Android 2.2). В реальном устройстве (это как раз один из примеров, когда необходимо использовать init.rc файл для определенного железа) эти комманды будут перезаписаны. Например, в случае устройства herring (Google Nexus S), в файле init.herring.rc эта секция выглядит следующим образом:

Где fstab.herring — это файл, содержимое которого выглядит следующим образом:

Как вы могли заметить, /system, /data, /cache — это просто mounting points (точки монтирования файловой системы), которые указывают либо на MTD устройства (в случае эмулятора), либо на блочные устройства (в случае настоящего устройства), куда записаны соответствующие дисковые образы (system.img, userdata.img и cache.img). Я не уверен, но думаю, что внутри смартфона находится один единственный чип с flash-памятью, разделенный на partitions (тома), в каждый из которых записан соответствующий образ. Этот чип с flash-памятью — то, что мы знаем под именем Internal storage (внутренняя память), объем которой — один из основных параметров смартфона.

Следует заметить, что /system смонтирован read-only (только для чтения). Это означает, что содержимое данного раздела не изменяется в процессе работы устройства, а только когда вы, например, обновляете систему на вашем устройстве (используя системные обновления).

Продолжим рассматривать наш init.rc. По триггеру post-fs-data формируется базовая структура файловой системы /data раздела. Там, в общем всё понятно — набор mkdir, chown, chmod команд.

Далее init.rc запускает несколько демонов. Если вернуться к рисунку в начале статьи, то они перечислены в блоке Native daemons. На этом мы пока остановимся. Как вы могли заметить из рисунка, я не полностью рассмотрел процесс загрузки операционной системы. Некоторые непокрытые этапы я рассмотрю в следующих статья.

Заключение

В следующей части я расскажу, откуда берутся образы system.img, userdata.img и cache.img и рассмотрю безопасность на уровне Native user space. Как всегда приветствуются исправления, дополнения, а так же предложения, о чем написать. И хотя у меня уже есть некоторый план, о чем писать в следующих статья, я готов его подкорректировать.

Ссылки

Update

• Комментарий от пользователя bmx666 про различные варианты размещения загузчика на MTD устройствах.
• Комментарий от пользователя SamOwaR про инициализацию CPU на разных SoC

Источник

Безопасность на мобильных устройствах

Созданы, чтобы защищать

Множество функций защиты

Встроенные функции обеспечивают безопасность всех ваших действий, будь то скачивание приложений, посещение сайтов или обмен данными. Если мы заметим угрозу, например вредоносное приложение или опасную ссылку, то предупредим вас и посоветуем, что делать дальше. Наши мощные внутренние механизмы безопасности защищают ваше устройство и данные, даже когда вы ими не пользуетесь.

Полная защита

Защита от опасных приложений

Google Play Защита ежедневно сканирует приложения, которые вы скачиваете. Если мы обнаружим вредоносное приложение, то сообщим вам об этом и расскажем, что делать. Кроме того, мы изучим его, чтобы в дальнейшем защищать вас ещё лучше. Не беспокойтесь – вы в безопасности.

Защита от спама

Отвечайте только на те звонки, которых ждете. Мы проследим, чтобы вас не беспокоили боты, и предупредим, если позвонят спамеры. Расшифровка звонков выполняется только на устройстве, поэтому ваши данные надежно защищены.

Защита от опасных сайтов

Google Безопасный просмотр предупредит, если вы соберетесь перейти на подозрительный сайт или скачать вредоносный файл. Так мы сможем защитить вас от вредоносного ПО и фишинга. Мы заботимся о том, чтобы ваши личные данные не попали в руки злоумышленников.

Ваша
конфиденци­­альность

Мы защищаем ваши данные от посторонних глаз, шифруя их и ограничивая список действий, которые приложения могут выполнять в фоновом режиме. Если вы не хотите сохранять информацию о посещении сайта или построении маршрута, перейдите в режим инкогнито в Chrome или Картах. Мы также создали инструменты, которые позволяют выбирать, кто и когда будет иметь доступ к вашим данным, и к каким именно.

Выбор всегда за вами

Задавайте настройки доступа для приложений

На устройстве Android вы можете сами выбирать, какая информация будет доступна приложениям. Например, вы можете открыть доступ к микрофону, камере или данным о местоположении – только на один раз или насовсем. Делитесь данными когда и как захотите.

Проверка неиспользуемых приложений

Не передавайте данные в приложения, которыми не пользуетесь

Если вы давно не открывали какое-то приложение на своем телефоне, Android может автоматически отключить для него доступ к вашим данным. Но в любое время вы сможете снова его включить. Android поможет вам поддерживать порядок на устройстве.

Безопасность на всех уровнях

Мощная встроенная защита

В Android есть множество функций для обеспечения безопасности. Благодаря шифрованию ваши данные надежно защищены, если телефон заблокирован. Кроме того, если вы сохраняете данные с телефона в облаке, они шифруются с помощью PIN-кода устройства. Доступ к ним есть только у вас. Каждое приложение на телефоне защищено на уровне операционной системы: доступ других приложений к информации о ваших действиях блокируется. Мы сообщим вам, если обнаружим несанкционированное вмешательство в операционную систему. Эти функции безопасности всегда активны и работают автоматически в фоновом режиме.

Профессиональная защита для всех

Центр безопасности Google

Мы постоянно улучшаем наши инструменты обеспечения конфиденциальности и технологии безопасности. Мы развиваемся вместе с интернетом, а вы всегда остаетесь под нашей защитой.

Блог Google о безопасности

Читайте новости и другую полезную информацию о безопасности и конфиденциальности в интернете.

Для разработчиков

Узнайте о надежных инструментах обеспечения безопасности и встроенных функциях защиты, полезных для разработчиков.

Для технических специалистов

Узнайте больше о защите данных и устройств в Android.

Для компаний

Встречайте защиту первоклассного уровня. Управляйте всеми своими устройствами. Узнайте, как Android защищает коммерческие данные.

Экстренная помощь

Помощь в экстренной ситуации

Мы создаем уникальные функции для вашей безопасности. Узнайте, как быстро получить помощь в экстренной ситуации с помощью телефона Android.

Для разработчиков

Для организаций

Для прессы

Экосистема

Помощь

Некоторые функции и устройства доступны не во всех странах. Наличие не гарантируется.

Наличие функций и поддержка технологий зависят от производителя оригинального оборудования и/или устройства.

Источник

Основы безопасности операционной системы Android. Уровень ядра

Вступление

Самой распространенной операционной системой для смартфонов на сегодняшний день является Android. Но не только этот факт подогревает интерес к ней. Открытость, возможность что-то настроить, подкрутить, и, естественно, сломать тоже в немалой степени способствуют увеличению популярности этой платформы. Я попробую поделиться опытом, как устроена эта операционная система, а так же рассмотреть систему безопасности. Всем, кому интересно, добро пожаловать! В этой статье я рассмотрю безопасность на уровне ядра.

Disclaimer

Термины я буду стараться писать на английком языке, так как боюсь ошибиться в их переводе. Если кто-то знает, как их красиво перевести на русский язык, напишите мне, и я дам перевод этих терминов. Желательно, чтобы у вас под рукой находились исходный код Android (хотя я и буду стараться давать ссылки на файлы в Интернете), потому что я иногда буду давать ссылки на файлы, где находится та или иная функциональность. Как загрузить исходный код, можно почитать здесь или вот в этой статье на Хабре.

Список статей

Стек Android

Ну никуда не деться от этой картинки. Я нашел её на просторах Интернета и нужна она для того, чтобы понять из чего состоит Android. Итак, в стеке Android выделяют четыре уровня (снизу-вверх):

1. Linux kernel (Ядро Linux)
2. Native Libraries
3. Application Framework
4. Applications (Приложения)

Linux kernel. Как неудивительно это звучит, но изначально, Android Inc. — это стартап. Как и во всех стартапах, в этой компании стояла задача максимально использовать уже существующие решения. Поэтому в качестве ядра этой платформы был выбран Linux из-за его открытости и наличия необходимой функциональности. В Android ядро Linux управляет памятью, процессами, а так же используется в качестве hardware abstraction layer (HAL). Насколько мне известно, в Linux драйвера либо встроены в ядро, либо разработаны в виде загружаемых модулей ядра. Так как в Android загрузка модулей ядра по умолчанию отключена, а если встраивать все драйвера, то ядро очень сильно разрастется, то было принято решение создать промежуточный слой (proxy) между ядром и драйверами, который и назвали HAL. Таким образом, HAL — это просто набор интерфейсов, имплементация которых реализована в драйверах. С другой стороны в ядро были добавлены некоторые системы, которые характерны только для Android систем. На данный момент, они пока не включены в основную ветку ядра Linux, поэтому просто скачать ядро Linux и заменить им ядро Android не получится. Среди них следует выделить, Binder (обеспечивает межпроцессное взаимодействие IPC/RPC), Asynchronous SHared MEMory — Ashmem (драйвер разделяемой памяти), Wakelocks (механизм, который позволяет предотвращать затемнение экрана и/или отключение процессора), Low Memory Killer, Alarm, Logger и т.д.

Native Libraries. К этому слою относятся различные нативные библиотеки, которые необходимы для работы Android. Они так же позаимствованы у open-source сообщества. Среди них мы можем найти SQLite, WebKit и т.д.

Android Framework. К этому слою относится то, с чем мы обычно взаимодействуем, когда пишем наши приложения для Android (PowerManager, ActivityManager, NotificationManager и т.д.).

Applications. Приложения бывают двух типов: те, что поставляются вместе с образом системы (системные) и приложения, которые мы загружаем из маркета или других источников. В первом случае, в устройстве приложения находятся в «/system/app» директории, во втором случае в «/data/app».

Безопасность на уровне ядра

Давайте рассмотрим процесс установки приложения на Android устройство. Существует несколько способов установить приложение на устройство (в общем случае):

1. Используя приложение PackageInstaller
2. Используя приложение Android Market
3. Используя комманду adb install

На рисунке, например, приложение ex1.apk устанавливается с помощью PackageInstaller (используется в случае, если вам, например, по почте прислали приложение и вы хотите его установить с устройства), ex2.apk устанавливается с помощью Android Market (Google Play), и приложение ex3.apk устанавливается с помощью комманды adb install ex3.apk (обычно эта комманда используется разработчиками приложений для установки приложения с компьютера).

Во время установки, Android каждому приложению по умолчанию присваивает уникальные user ID (UID) и group ID (GID), таким образом каждому приложению в этой операционной системе соответсвует свой пользователь. Имя пользователя обычно имеет формат app_x, а идентификаторы пользователя вычисляется по формуле (Process.FIRST_APPLICATION_UID + x), Process.FIRST_APPLICATION_UID равен 10000. Эти идентификаторы приложения не изменяются. Список установленных приложений хранится в файле «/data/system/packages.list» и если у вас рутованый телефон, или вы работаете с эмулятором, то вы можете просмотреть этот файл, используя следующую комманду:

У каждого приложения есть своя домашняя директория, например /data/data/