Szyfrowanie to proces kodowania wszystkich danych użytkownika na urządzeniu z Androidem za pomocą symetrycznych kluczy szyfrowania. Gdy urządzenie zostanie zaszyfrowane, wszystkie dane utworzone przez użytkownika będą automatycznie szyfrowane przed zapisaniem na dysku, a wszystkie odczyty będą automatycznie odszyfrowywać dane przed zwróceniem ich do procesu wywołującego. Szyfrowanie zapewnia, że nawet jeśli nieupoważniona osoba spróbuje uzyskać dostęp do danych, nie będzie mogła ich odczytać.
Android ma 2 metody szyfrowania urządzenia: szyfrowanie oparte na plikach i szyfrowanie całego dysku.
Szyfrowanie oparte na plikach
Android 7.0 i nowsze wersje obsługują szyfrowanie oparte na plikach. Szyfrowanie oparte na plikach umożliwia szyfrowanie różnych plików za pomocą różnych kluczy, które można odblokowywać niezależnie od siebie. Urządzenia obsługujące szyfrowanie oparte na plikach mogą też obsługiwać bezpośrednie uruchamianie, które umożliwia uruchamianie zaszyfrowanych urządzeń bezpośrednio na ekranie blokady, co zapewnia szybki dostęp do ważnych funkcji urządzenia, takich jak usługi ułatwień dostępu i alarmy.
Dzięki szyfrowaniu opartemu na plikach i interfejsom API, które informują aplikacje o szyfrowaniu, mogą one działać w ograniczonym kontekście. Może to nastąpić, zanim użytkownicy podadzą swoje dane logowania, przy jednoczesnej ochronie prywatnych informacji o użytkownikach.
Szyfrowanie metadanych
Android 9 wprowadza obsługę szyfrowania metadanych, jeśli jest dostępna obsługa sprzętowa. W przypadku szyfrowania metadanych pojedynczy klucz obecny w momencie uruchomienia szyfruje wszystkie treści, które nie są szyfrowane przez FBE, takie jak układy katalogów, rozmiary plików, uprawnienia oraz czasy utworzenia i modyfikacji. Ten klucz jest chroniony przez KeyMint (wcześniej Keymaster), który z kolei jest chroniony przez weryfikowane uruchamianie.
Pełne szyfrowanie dysku
Android w wersji od 5.0 do 9.0 obsługuje szyfrowanie całego dysku. Szyfrowanie całego dysku wykorzystuje jeden klucz chroniony hasłem urządzenia użytkownika, aby zabezpieczyć całą partycję danych użytkownika na urządzeniu. Podczas uruchamiania użytkownik musi podać dane logowania, zanim jakakolwiek część dysku będzie dostępna.
Jest to korzystne z punktu widzenia bezpieczeństwa, ale oznacza, że większość podstawowych funkcji telefonu nie jest od razu dostępna po ponownym uruchomieniu urządzenia. Dostęp do danych użytkowników jest chroniony przez pojedyncze dane logowania, dlatego funkcje takie jak alarmy nie mogły działać, usługi ułatwień dostępu były niedostępne, a telefony nie mogły odbierać połączeń.