Android 7.0 ve üstü , dosya tabanlı şifrelemeyi (FBE) destekler. FBE, farklı dosyaların bağımsız olarak açılabilen farklı anahtarlarla şifrelenmesine izin verir. Bu anahtarlar hem dosya içeriğini hem de dosya adlarını şifrelemek için kullanılır. FBE kullanıldığında, dizin düzenleri, dosya boyutları, izinler ve oluşturma/değiştirme zamanları gibi diğer bilgiler şifrelenmez. Toplu olarak, bu diğer bilgiler dosya sistemi meta verileri olarak bilinir.
Android 9, meta veri şifreleme desteğini tanıttı. Meta veri şifrelemeyle, önyükleme sırasında bulunan tek bir anahtar, FBE tarafından şifrelenmemiş içeriği şifreler. Bu anahtar, Keymaster tarafından korunur ve Keymaster da doğrulanmış önyükleme ile korunur.
Meta veri şifreleme, FBE etkinleştirildiğinde her zaman kabul edilebilir depolamada etkinleştirilir. Meta veri şifreleme, dahili depolamada da etkinleştirilebilir. Android 11 veya üstü ile başlatılan cihazlarda dahili depolamada meta veri şifrelemenin etkinleştirilmiş olması gerekir.
Dahili depolamada uygulama
metadata dosya sistemini ayarlayarak, başlatma sırasını değiştirerek ve cihazın fstab dosyasında meta veri şifrelemesini etkinleştirerek yeni cihazların dahili depolamasında meta veri şifrelemeyi ayarlayabilirsiniz.
Önkoşullar
Meta veri şifrelemesi, yalnızca veri bölümü ilk kez biçimlendirildiğinde ayarlanabilir. Sonuç olarak, bu özellik yalnızca yeni cihazlar içindir; bu bir OTA'nın değiştirmesi gereken bir şey değil.
Meta veri şifreleme, çekirdeğinizde dm-default-key modülünün etkinleştirilmesini gerektirir. Android 11 ve üzeri sürümlerde dm-default-key , Android ortak çekirdekleri, sürüm 4.14 ve üzeri tarafından desteklenir. dm-default-key bu sürümü , blk-crypto adlı donanımdan ve satıcıdan bağımsız bir şifreleme çerçevesi kullanır.
dm-default-key etkinleştirmek için şunu kullanın:
CONFIG_BLK_INLINE_ENCRYPTION=y CONFIG_FS_ENCRYPTION_INLINE_CRYPT=y CONFIG_DM_DEFAULT_KEY=y
dm-default-key mevcut olduğunda satır içi şifreleme donanımını (depolama aygıtına giderken/cihazdan giderken verileri şifreleyen/şifresini çözen donanım) kullanır. Satır içi şifreleme donanımı kullanmayacaksanız , çekirdeğin kriptografi API'sine geri dönüşü etkinleştirmek de gereklidir:
CONFIG_BLK_INLINE_ENCRYPTION_FALLBACK=y
Satır içi şifreleme donanımını kullanmadığınızda, FBE belgelerinde önerildiği gibi mevcut herhangi bir CPU tabanlı hızlandırmayı da etkinleştirmelisiniz.
Android 10 ve önceki sürümlerde dm-default-key Android ortak çekirdeği tarafından desteklenmiyordu. Bu nedenle dm-default-key uygulamak satıcılara kalmıştı.
Meta veri dosya sistemini kurun
Meta veri şifreleme anahtarı mevcut olana kadar kullanıcı verileri bölümündeki hiçbir şey okunamayacağından, bölüm tablosunun, bu anahtarı koruyan keymaster blob'larını depolamak için "meta veri bölümü" adı verilen ayrı bir bölüm ayırması gerekir. Meta veri bölümü 16 MB olmalıdır.
fstab.hardware bu bölümde yaşayan meta veri dosya sistemi için onu /metadata bağlayan bir girdi içermelidir ve önyükleme sırasında biçimlendirilmesini sağlamak için formattable bayrak da buna dahildir. f2fs dosya sistemi daha küçük bölümlerde çalışmaz; bunun yerine ext4 kullanmanızı öneririz. Örneğin:
/dev/block/bootdevice/by-name/metadata /metadata ext4 noatime,nosuid,nodev,discard wait,check,formattable
/metadata bağlama noktasının mevcut olduğundan emin olmak için BoardConfig-common.mk dosyasına aşağıdaki satırı ekleyin:
BOARD_USES_METADATA_PARTITION := true
Başlangıç dizisindeki değişiklikler
Meta veri şifreleme kullanıldığında, /data bağlanmadan önce vold çalışıyor olmalıdır. Yeterince erken başlatıldığından emin olmak için init.hardware.rc dosyasına aşağıdaki dörtlüğü ekleyin:
# We need vold early for metadata encryption
on early-fs
start vold init /data bağlama girişiminde bulunmadan önce Keymaster çalışıyor ve hazır olmalıdır.
init.hardware.rc /data kendisini on late-fs kıtasına bağlayan bir mount_all yönergesi içermelidir. Bu satırdan önce, wait_for_keymaster hizmetini yürütmek için yönergeyi ekleyin:
on late-fs
…
# Wait for keymaster
exec_start wait_for_keymaster
# Mount RW partitions which need run fsck
mount_all /vendor/etc/fstab.${ro.boot.hardware.platform} --lateMeta veri şifrelemeyi açma
Son olarak, userdata için fstab girişinin fs_mgr_flags sütununa keydirectory=/metadata/vold/metadata_encryption ekleyin. Örneğin, tam bir fstab satırı şöyle görünebilir:
/dev/block/bootdevice/by-name/userdata /data f2fs noatime,nosuid,nodev,discard,inlinecrypt latemount,wait,check,fileencryption=aes-256-xts:aes-256-cts:inlinecrypt_optimized,keydirectory=/metadata/vold/metadata_encryption,quota,formattable
Varsayılan olarak, dahili depolamadaki meta veri şifreleme algoritması AES-256-XTS'dir. Bu, yine fs_mgr_flags sütununda bulunan metadata_encryption seçeneği ayarlanarak geçersiz kılınabilir:
- AES hızlandırması olmayan cihazlarda,
metadata_encryption=adiantumayarlanarak Adiantum şifrelemesi etkinleştirilebilir. - Donanımla sarmalanmış anahtarları destekleyen cihazlarda, meta veri şifreleme anahtarı,
metadata_encryption=aes-256-xts:wrappedkey_v0(veya eşdeğerimetadata_encryption=:wrappedkey_v0, varsayılan algoritmaaes-256-xtsolduğu için) ayarlanarak donanımla sarmalanmış hale getirilebilir.
Android 11'de dm-default-key çekirdek arabirimi değiştiğinden, device.mk PRODUCT_SHIPPING_API_LEVEL için doğru değeri ayarladığınızdan da emin olmanız gerekir. Örneğin, cihazınız Android 11 (API seviye 30) ile başlarsa device.mk şunları içermelidir:
PRODUCT_SHIPPING_API_LEVEL := 30
Ayrıca, nakliye API seviyesinden bağımsız olarak yeni dm-default-key API'sinin kullanımını zorlamak için aşağıdaki sistem özelliğini ayarlayabilirsiniz:
PRODUCT_PROPERTY_OVERRIDES += \
ro.crypto.dm_default_key.options_format.version=2
Doğrulama
Meta veri şifrelemenin etkinleştirildiğini ve düzgün çalıştığını doğrulamak için aşağıda açıklanan testleri çalıştırın. Ayrıca aşağıda açıklanan genel sorunlara dikkat edin.
Testler
Dahili depolamada meta veri şifrelemenin etkinleştirildiğini doğrulamak için aşağıdaki komutu çalıştırarak başlayın:
adb rootadb shell dmctl table userdata
Çıktı şuna benzer olmalıdır:
Targets in the device-mapper table for userdata: 0-4194304: default-key, aes-xts-plain64 - 0 252:2 0 3 allow_discards sector_size:4096 iv_large_sectors
Cihazın fstab metadata_encryption seçeneğini ayarlayarak varsayılan şifreleme ayarlarını geçersiz kıldıysanız, çıktı yukarıdakinden biraz farklı olacaktır. Örneğin, Adiantum şifrelemesini etkinleştirdiyseniz, üçüncü alan aes-xts-plain64 yerine xchacha12,aes-adiantum-plain64 olur.
Ardından, meta veri şifrelemenin ve FBE'nin doğruluğunu doğrulamak için vts_kernel_encryption_test'i çalıştırın:
atest vts_kernel_encryption_test
veya:
vts-tradefed run vts -m vts_kernel_encryption_test
Ortak sorunlar
Metadata-şifreli /data bölümünü bağlayan mount_all çağrısı sırasında init , vdc aracını yürütür. Vdc aracı, meta verilerle şifrelenmiş aygıtı kurmak ve bölümü bağlamak için vold over binder bağlanır. Bu çağrı süresince, init engellenir ve init özelliklerini okuma veya ayarlama girişimleri, mount_all bitene kadar engellenir. Bu aşamada, vold 'un çalışmasının herhangi bir kısmı, bir özelliği okuma veya ayarlama konusunda doğrudan veya dolaylı olarak engellenirse, kilitlenme meydana gelir. Vold'un anahtarları okuma, Keymaster ile etkileşim kurma ve veri dizinini bağlama işini init ile daha fazla etkileşime girmeden vold önemlidir.
mount_all çalıştığında Keymaster tam olarak başlatılmazsa, init belirli özellikleri okuyana kadar vold yanıt vermez ve tam olarak açıklanan kilitlenmeyle sonuçlanır. exec_start wait_for_keymaster belirtilen şekilde ilgili mount_all çağrısının üzerine yerleştirmek, Keymaster'ın önceden tam olarak çalışmasını sağlar ve böylece bu kilitlenmeyi önler.
Kabul edilebilir depolamada yapılandırma
Android 9'dan bu yana, FBE etkinleştirildiğinde, dahili depolamada meta veri şifreleme etkinleştirilmemiş olsa bile, benimsenebilir depolamada her zaman bir meta veri şifreleme biçimi etkinleştirilir.
AOSP'de, uyarlanabilir depolamada iki meta veri şifreleme uygulaması vardır: dm-crypt tabanlı kullanımdan kaldırılmış bir uygulama ve dm-default-key tabanlı daha yeni bir uygulama. Cihazınız için doğru uygulamanın seçildiğinden emin olmak için device.mk PRODUCT_SHIPPING_API_LEVEL için doğru değeri ayarladığınızdan emin olun. Örneğin, cihazınız Android 11 (API seviye 30) ile başlarsa device.mk şunları içermelidir:
PRODUCT_SHIPPING_API_LEVEL := 30
Ayrıca, nakliye API seviyesinden bağımsız olarak yeni birim meta veri şifreleme yönteminin (ve yeni varsayılan FBE ilke sürümünün) kullanımını zorlamak için aşağıdaki sistem özelliklerini ayarlayabilirsiniz:
PRODUCT_PROPERTY_OVERRIDES += \
ro.crypto.volume.metadata.method=dm-default-key \
ro.crypto.dm_default_key.options_format.version=2 \
ro.crypto.volume.options=::v2
Geçerli yöntem
Android 11 veya üstü ile başlayan cihazlarda, uyarlanabilir depolamadaki meta veri şifreleme, tıpkı dahili depolamada olduğu gibi dm-default-key çekirdek modülünü kullanır. Hangi çekirdek yapılandırma seçeneklerinin etkinleştirileceği konusunda yukarıdaki önkoşullara bakın. Cihazın dahili depolamasında çalışan satır içi şifreleme donanımının uyarlanabilir depolamada bulunmayabileceğini ve bu nedenle CONFIG_BLK_INLINE_ENCRYPTION_FALLBACK=y gerekebileceğini unutmayın.
Varsayılan olarak, dm-default-key birim meta veri şifreleme yöntemi, 4096 bayt kripto sektörleri ile AES-256-XTS şifreleme algoritmasını kullanır. Algoritma, ro.crypto.volume.metadata.encryption sistem özelliği ayarlanarak geçersiz kılınabilir. Bu özelliğin değeri, yukarıda açıklanan metadata_encryption fstab seçeneğiyle aynı sözdizimine sahiptir. Örneğin, AES hızlandırması olmayan cihazlarda, ro.crypto.volume.metadata.encryption=adiantum ayarlanarak Adiantum şifrelemesi etkinleştirilebilir.
Eski yöntem
Android 10 veya önceki sürümleriyle başlatılan cihazlarda, kabul edilebilir depolamadaki meta veri şifreleme dm-default-key yerine dm-crypt çekirdek modülünü kullanır:
CONFIG_DM_CRYPT=y
dm-default-key yönteminden farklı olarak, dm-crypt yöntemi dosya içeriğinin iki kez şifrelenmesine neden olur: bir kez FBE anahtarıyla ve bir kez de meta veri şifreleme anahtarıyla. Bu çifte şifreleme, performansı düşürür ve meta veri şifrelemenin güvenlik hedeflerine ulaşmak için gerekli değildir, çünkü Android, FBE anahtarlarından taviz verilmesinin en az meta veri şifreleme anahtarı kadar zor olmasını sağlar. Satıcılar, özellikle ro.crypto.allow_encrypt_override sistem özelliği true olarak ayarlandığında Android'in dm-crypt ileteceği allow_encrypt_override seçeneğini uygulayarak çifte şifrelemeyi önlemek için çekirdek özelleştirmeleri yapabilir. Bu özelleştirmeler, Android ortak çekirdeği tarafından desteklenmez.
Varsayılan olarak, dm-crypt birim meta veri şifreleme yöntemi, ESSIV ve 512 bayt kripto sektörleri ile AES-128-CBC şifreleme algoritmasını kullanır. Bu, aşağıdaki sistem özellikleri (FDE için de kullanılır) ayarlanarak geçersiz kılınabilir:
-
ro.crypto.fde_algorithmmeta veri şifreleme algoritmasını seçer. Seçenekleraes-128-cbcveadiantum. Adiantum yalnızca cihazda AES hızlandırması yoksa kullanılabilir. -
ro.crypto.fde_sector_sizekripto sektör boyutunu seçer. Seçenekler 512, 1024, 2048 ve 4096'dır. Adiantum şifrelemesi için 4096'yı kullanın.