Software::Android
Google Pixel nutzt ext4-Verschlüsselung
Das neue Google-Smartphone Pixel verschlüsselt das komplette Dateisystem. Weil den Entwicklern die Leistung von eCryptFS nicht ausreichend war, nutzen sie nun die neue Verschlüsselungsfunktionalität von ext4.
Google
Google Pixel
In den neuen Google-Smartphones Pixel und Pixel XL, die mit dem fast noch brandneuen
Android 7.0 »Nougat« auf den Markt kamen, werden ab Werk alle Daten verschlüsselt. Dabei wird auf das Prinzip zurückgegriffen, jede Datei mit einem potentiell unterschiedlichen Schlüssel zu schützen. Diese
dateibasierte Verschlüsselung ist eine Neuerung von Android Nougat. Außerdem wird zwischen Daten, die vom Gerät, und solche, die auf Basis der Login-Daten verschlüsselt sind, unterschieden. Erstere stehen bereits beim Booten und nach der Anmeldung zur Verfügung und ermöglichen ein Hochfahren bis zum Sperrbildschirm, ohne dass der Benutzer ein Passwort eingeben muss. Letztere sind dagegen erst nach der erfolgreichen Anmeldung lesbar.
Moderne Prozessoren stellen eine Möglichkeit zur Verfügung, Code in einem Modus auszuführen, der selbst dann sicher bleibt, wenn der Kernel kompromittiert wurde. Bei ARM heißt dieser Modus TrustZone. Beginnend mit Android Nougat werden alle Dateisystemschlüssel verschlüsselt gespeichert, und die dazu nötigen Schlüssel werden von TrustZone-Software verwaltet. Das ermöglicht unter anderem auch einen verifizierten Boot-Vorgang, bei dem die Betriebssystemkomponenten überprüft werden. Wird eine Komponente als unautorisiert modifiziert erkannt, werden die Schlüssel nicht freigegeben.
Die Entwickler versuchten zuerst, den Schutz mehrerer Verzeichnisse mit unterschiedlichen Schlüsseln mit eCryptFS zu verwirklichen. Das brachte laut Google aber keine ausreichende Leistung. Abhilfe schaffte, dass einer der eCryptFS-Entwickler, Michael Halcrow, zusammen mit Ted Ts'o die Verschlüsselung in ext4 einbaute. Dessen Verschlüsselung, die Android Nougat jetzt nutzt, hat eine ähnliche Geschwindigkeit wie die Verschlüsselung kompletter Dateisysteme.
Dazu kommt die Hardware-Unterstützung der Pixel-Geräte für Verschlüsselung, die es ermöglicht, praktisch verzögerungsfrei zu verschlüsseln. Um diese Engine in ext4 zu nutzen, modifizierten die Entwickler das Dateisystem und erweiterten die bio-Struktur um ein Feld, das eine Referenz auf den Schlüssel hält. Ferner änderten sie den Verschlüsselungs-Code, um die Hardware anzusteuern. Die Änderungen lassen sich im Android-Quellcode nachsehen. Diese Implementation kann nur in Pixel-Geräten genutzt werden, die Verschlüsselung kompletter Dateisysteme dagegen in jedem Gerät mit Android Nougat.
){kind=tracking}
