Enkripsi adalah proses encoding semua data pengguna di perangkat Android menggunakan kunci enkripsi simetris. Setelah perangkat dienkripsi, semua data yang dibuat pengguna akan dienkripsi secara otomatis sebelum di-commit ke disk dan semua pembacaan akan secara otomatis mendekripsi data sebelum menampilkannya ke proses panggilan. Enkripsi memastikan bahwa meskipun pihak yang tidak berwenang mencoba mengakses data, mereka tidak akan dapat membacanya.
Android memiliki dua metode untuk enkripsi perangkat: enkripsi berbasis file dan enkripsi disk penuh.
Enkripsi berbasis file
Android 7.0 dan yang lebih baru mendukung enkripsi berbasis file. Enkripsi berbasis file memungkinkan file yang berbeda dienkripsi dengan kunci yang berbeda yang dapat dibuka secara independen. Perangkat yang mendukung enkripsi berbasis file juga dapat mendukung Booting Langsung, yang memungkinkan perangkat terenkripsi melakukan booting langsung ke layar kunci, sehingga memungkinkan akses cepat ke fitur penting perangkat seperti layanan aksesibilitas dan alarm.
Dengan enkripsi berbasis file dan API yang membuat aplikasi mengetahui enkripsi, aplikasi dapat beroperasi dalam konteks terbatas. Hal ini dapat terjadi sebelum pengguna memberikan kredensial mereka sekaligus tetap melindungi informasi pengguna pribadi.
Enkripsi metadata
Android 9 memperkenalkan dukungan untuk enkripsi metadata, jika dukungan hardware tersedia. Dengan enkripsi metadata, satu kunci yang ada pada waktu booting mengenkripsi konten apa pun yang tidak dienkripsi oleh FBE, seperti tata letak direktori, ukuran file, izin, dan waktu pembuatan/modifikasi. Kunci ini dilindungi oleh KeyMint (sebelumnya Keymaster), yang kemudian dilindungi oleh Booting Terverifikasi.
Enkripsi disk penuh
Android 5.0 hingga Android 9 mendukung enkripsi disk penuh. Enkripsi disk penuh menggunakan satu kunci—yang dilindungi dengan sandi perangkat pengguna—untuk melindungi seluruh partisi userdata perangkat. Saat booting, pengguna harus memberikan kredensialnya sebelum bagian mana pun dari disk dapat diakses.
Meskipun hal ini bagus untuk keamanan, sebagian besar fungsi inti ponsel tidak langsung tersedia saat pengguna memulai ulang perangkat mereka. Karena akses ke data mereka dilindungi di balik kredensial pengguna tunggal mereka, fitur seperti alarm tidak dapat beroperasi, layanan aksesibilitas tidak tersedia, dan ponsel tidak dapat menerima panggilan.