Security by knox что означает
Как это работает: Samsung Knox
Константин Иванов
Bring your own device
Множество людей используют свои личные телефоны для работы. Политика, получившая название BYOD (Bring Your Own Device, «принеси свое собственное устройство») становится все более популярной по мере того, как растут цены на телефоны, а потребительские модели становятся все более безопасными. Программы для корпоративного использования для мобильных устройств есть и у Apple, и у Google, но, возможно, одна из самых простых в использовании — как для вас, так и для любого IT-специалиста — это Samsung Knox.
Если вы являетесь владельцем устройства Galaxy не старше пары лет, тогда, вероятно, на нем есть Samsung Knox. Это не то, что требует установки, поскольку является частью ОС Android в варианте от Samsung, а не разновидностью приложения или библиотекой поддержки.
Knox – это часть Android, которая может быть предустановлена, и люди, которым он не нужен, знают, насколько сложным может быть его удаление. Knox также встроен в оболочку Tizen на носимых устройствах Samsung. Давайте посмотрим, что же такое Samsung Knox и что он умеет.
Что это такое?
Samsung Knox – это особый слой безопасности, который имеется в топовых телефонах Samsung и служит для того, чтобы отделять и изолировать личные и рабочие данные пользователя. Можно представить себе это как способ фактически превратить один телефон в два – именно так происходит управление приложениями и данными, которые эти приложения генерируют, как, впрочем, и данными, которые вы вносите в них сами.
Вы перемещаетесь между этими двумя слоями по тапу на иконку Knox и после ввода пароля. Пароль уникален и отличен от любых паролей, которые вы используете для разблокировки аппарата, так что даже если случится невероятное и кто-то обойдет экран блокировки, данные, защищенные Knox, останутся недоступны. Разве что не будут применены реально сложные способы, которые придумываются людьми, работающими над тем, чтоб обойти системы безопасности, а потом устранить уязвимости, чтобы эти способы больше не работали. Как, например, здесь.
По умолчанию, как только вы заходите в раздел своего телефона, защищенный Knox, у вас остается доступ только к нескольким приложениям – это Камера, Галерея, Почта, Мои файлы, Телефон, Контакты, браузер Samsung, Загрузки и S Planner. Вы можете добавлять и другие приложения в слой, защищенный Knox, и они будут «скопированы» туда, где их данные будут храниться отдельно от того же приложения на «обычном» слое вашего телефона.
Для работы Knox требуется два условия. Вам нужно подходящее устройство – не все телефоны Samsung (а также часы и планшеты) поддерживают Knox, вот их список. И вам нужен правильный софт: вы найдете Samsung Secure Folder в Play Store, если ищете с совместимого телефона, а если с устройства, на котором установка невозможна, то вы его и не увидите.
Есть и третий важный компонент, который может быть использован для корпоративных целей. Это Knox Premium или его эквивалент. Это не то, что имеет смысл использовать дома (хотя если очень хочется, то можно), и это возможность для IT-отдела управлять слоем Knox на телефонах, являющихся частью группы устройств с доступом к серверу. По сути, это облачное решение, созданное для работы с Knox, и безопасная платформа «под ключ».
Knox сертифицирован для использования правительством в Финляндии, Франции, Казахстане, Нидерландах, Испании, Великобритании и США. Также в определенных конфигурациях он соответствует стандартам FIPS_140-2 и ISCCC (китайский стандарт кибербезопасности). Это означает, что такие организации, как Министерство обороны США, уверены в безопасности использования Knox своими сотрудниками (с доступом к информации для служебного пользования). А это значит, он достаточно безопасен и для вас.
В Android Oreo Knox был включен в бизнес-решение от Google Android for Work, чтобы обеспечить защиту ядра Linux в реальном времени, проверку на вредоносные программы и части процедуры доверенной загрузки. Samsung использует электронный предохранитель eFuse, чтобы определить, было ли загружено неофициальное программное обеспечение, изменив проверку статуса гарантии на 0x1, когда попытка была обнаружена. И это не сбрасывает моментально настройки к заводским значениям.
Использовать или нет?
Использование Samsung Knox ни в коем случае не обязательно, и если вы не тот человек, что постоянно копается в софте своего телефона, вы можете и не узнать, что он там есть. Но если ваш телефон разработан с поддержкой Knox, то для вас это бесплатно, так что почему бы не попробовать.
Скорее всего, вы не обладаете секретной информацией и никто не следит за вами, пытаясь украсть ценные данные. Люди и организации, которые охотятся за пользовательскими данными, могут не воспринимать вас как непосредственную цель, но попади ваш телефон кому-то в руки, они могут попытаться выудить из него все что только возможно. Использование Knox для защиты информации, которая для вас ценна, это очень просто, а репутация у данного решения очень достойная.
Кроме того, Knox – отличный способ спрятать конкретные файлы и папки от тех, кто время от времени может иметь доступ к вашему телефону – дети, соседи по комнате и т.д. Если поместить приложение в Knox, его данные будут доступны только по паролю, а также можно использовать приложение My Files, чтобы спрятать файл или папку от нежелательных глаз.
Для повседневных задач вроде переписки вам вряд ли имеет смысл использовать Samsung Knox. Но если появляется хоть сколь-нибудь чувствительная информация – например, «то, что не стоит показывать маме», – Knox может пригодиться. Вам необязательно быть в большом бизнесе, чтобы стремиться обезопасить свои данные, а Samsung предлагает для этого очень удобный инструмент.
Вопрос к владельцам устройств Samsung – а вы, уважаемые читатели, пользуетесь Knox? Если да, то делитесь своими сценариями, если это, конечно, не секретная информация ☺
В разделе “Биометрия и безопасность” вы можете найти пункт “Защищенная папка”.
И также как сейф, он может быть расположен на виду или спрятан так, что, не зная о его существовании, его будет невозможно найти. В настройках “Защищенной папки” можно сделать так, чтобы она была видна в меню приложений, либо убрать ее вовсе. Не зная, что папка существует, вы не получите к ней доступ.
Что мне нравится с защищенной папкой, так это возможность назначить отдельный пароль или пин-код для доступа, они будут отличаться от тех, что вы используете для телефона. И это дополнительный уровень защиты. Но для удобства можно использовать отпечаток пальца, причем вы можете назначить на папку отдельный отпечаток, тогда при распознавании перед вами будет открываться папка. Несколько неправильных попыток, и вас попросят ввести пароль.
Что нам дает защищенная папка? Вы можете переместить в это зашифрованное пространство любые файлы, но также вы можете настроить здесь второй набор приложений, или они могут совсем другими, с иными аккаунтами. В этом защищенном пространстве фактически можно создать второй смартфон, который может совпадать с первым по набору приложений, а может быть совсем иным, выбор за вами. Хотите спрятать банковское приложение? Не вопрос, оно будет доступно только отсюда. Хотите убрать с глаз долой приложение для знакомств? Оно будет ждать своего часа в этой закрытой области.
Приложения, спрятанные в защищенной папке, продолжают работать, общаться с внешним миром. Но в обычном режиме смартфона вы не видите их уведомлений, вам нужно войти в папку. С другой стороны, вы точно знаете, что они есть, если не спрятали саму папку, иконка показывает, что произошли какие-то события.
У меня в защищенной папке хранятся заметки с паролями от разных сервисов, другая важная информация, фотографии устройств, которые еще не анонсированы, но с которыми мы работаем. Корпоративная почта также находится в этой папке. И даже если мой телефон будет потерян, кто-то сможет ухитриться и разблокировать его, информация в защищенной папке останется нетронутой. Вот что такое безопасность на наивысшем уровне и при этом не требующая никаких танцев с бубнами, хитрых схем и постоянного напряжения.
На мой взгляд, прелесть этого решения в том, что оно очень простое для применения на практике, нет никакой необходимости в чем-то сложном, это просто дополнительный вход в отдельное, защищенное пространство вашего смартфона. И технология KNOX обеспечивает защиту этого места. В разных рейтингах безопасности KNOX занимает высшие строчки, на данный момент это самое защищенное решение, что доступно на открытом рынке в массовых продуктах. И при этом KNOX используется множеством корпораций для своих сотрудников, на его основе создаются корпоративные системы.
Многие чувствительные к безопасности решения в смартфонах базируются на системах защиты от KNOX, например, это данные платежной системы Samsung Pay, они шифруются и хранятся в защищенной области. Ровно то же самое относится к вашим отпечаткам пальцев, которые защищает KNOX. В Samsung последовательно улучшают защиту устройств, причем это многоуровневый процесс. Например, в 2019 году для датчиков отпечатков, встроенных в экран, компания изменила алгоритмы. Трехмерные силиконовые слепки пальцев не обманут датчик отпечатка, тем более это не сделают фотографии или отпечатки на скотче. Планомерное усиление системы безопасности связано с тем, что смартфоны должны обеспечивать максимальный уровень защиты данных в хранилище KNOX. И получать высокие оценки в рейтингах невозможно, если какой-то элемент защиты относительно слаб и его можно обойти. Самое главное, что это комплексное решение, которое позволяет расширять функциональность практически до бесконечности, создавать дополнительные приложения и находить ниши, где безопасность важна.
В Galaxy Note10/10+ впервые появились криптокошельки, они также защищены KNOX. Вы можете хранить вашу валюту в таком блокчейн-кошельке, он легко настраивается. Но за кажущейся легкостью скрывается то, что это максимальная защита из возможных. Такой кошелек на компьютере по умолчанию имеет намного меньший уровень защиты, так как вам надо озаботиться самостоятельно тем, как вы будете его защищать. Тут же эту головную боль с вас снимают, максимальный уровень защиты и простота использования.
Просто о важном: как Knox защищает данные на смартфонах Samsung
Безопасность мобильных устройств – одна из тех тем, что становятся все актуальнее по мере развития технологий. Если несколько лет назад самой конфиденциальной информацией на обычном смартфоне были личные фотографии, то сегодня ставки намного выше: на гаджетах хранятся и данные банковских карт, и сводки о состоянии здоровья, и даже электронные «ключи» к дверям от квартиры.
Для защиты данных пользователей компания Samsung создала платформу Samsung Knox, которая встраивается в смартфоны, планшеты, носимые устройства и даже бытовую технику на этапе производства. Она состоит из пересекающихся механизмов защиты и обеспечения безопасности, которые помогают оградить информацию пользователя от внешних угроз.
Что же это означает для пользователей на практике?
Безопасность даже на выключенном смартфоне
Злоумышленники не смогут воспользоваться устройством, если гаджет будет потерян или украден. Данные из приложений и сервисов Samsung, таких как Samsung Pay, Samsung Health и Samsung Pass хранятся только в зашифрованном виде. Любые попытки несанкционированного доступа отслеживаются внутренней платформой KNOX, и о них сообщается пользователю.
Чтобы обеспечить необходимый уровень безопасности, система защиты должна быть встроена в устройство на всех уровнях, начиная от микросхем, заканчивая системным ПО и приложениями. Компания полностью контролирует все этапы производства своих устройств, от проектирования отдельных компонентов и схем, до финальной сборки и установки операционной системы, потому пользователи Galaxy могут быть спокойны за сохранность всей информации на девайсе.
Контроль безопасности начинается ещё на этапе загрузки устройства, когда проверяется наличие изменений в ПО телефона и ядре ОС.
Далее, уже во время работы, отдельный компонент, построенный на основе технологии TIMA, в режиме реального времени отслеживает целостностью ядра ОС.
Отдельно стоит отметить механизм защиты от несанкционированного доступа приложений или процессов к данным или ресурсам, которые им иметь не положено. Это достигается за счёт использования механизма Security Extension для Android (SE for Android). Именного благодаря нему приложения вне защищенной папки не имеют доступа к данным внутри нее.
В случае если один из механизмов проверки выявляет какие-то проблемы в безопасности (взлом устройства, несанкционированное получение прав рута и т.д.), смартфон автоматически блокирует определенные области.
Безопасность на всех уровнях
Встроенные в каждое устройство Samsung механизмы обеспечения безопасности гарантируют надежную защиту данных на протяжении всего жизненного цикла смартфона.
Например, Knox защищает финансовую информацию сервиса Samsung Pay, позволяющего оплачивать покупки с помощью смартфона. При обнаружении вредоносного ПО с наличием Root-прав или неофициальной прошивки, Knox блокирует доступ к Samsung Pay, Защищенной папке и контейнеру.
Защищенная папка позволяет хранить личные файлы, изображения и даже приложения в отдельной изолированной области памяти смартфона, что по концепции сравнимо с двумя независимыми телефонами. Пользователь может перемещать данные в защищенную папку и копировать их из нее, а также выбирать тип блокировки для доступа к папке (графический рисунок, пароль, сканер отпечатка пальца или радужки глаза). Если смартфоном пользуются несколько человек, владелец может создать несколько учетных записей и поделиться доступом к определенным приложениям с каждым из пользователей. Даже если устройство попадет в руки злоумышленников и они попытаются совершить хакерскую атаку, папка самоуничтожится.
Samsung Knox защищает и биометрические данные в Samsung Pass – удобном сервисе, предоставляющем безопасный доступ к информации с помощью биометрической идентификации. Функция запоминает ранее введенные пароли на веб-сайтах и при дальнейших посещениях позволяет воспользоваться автозаполнением. Для входа на сайт необходимо пройти верификацию одним из трех способов: сканер радужки глаза, отпечаток пальца или распознавание лица.
Защита оборонного класса
Knox доверяют эксперты по безопасности по всему миру: у этой платформы больше сертификаций от государственных органов, чем у любого другого решения на рынке.
Мобильные устройства Samsung сертифицированы 32 службами безопасности по всему миру, включая Национальное агентство по системам безопасности Франции, Финляндии и Кореи.
Кроме того, платформа получила рейтинг “strong” в 27 из 30 категорий в исследовании Gartner от мая 2019 года.
Knox для корпоративных решений
Концепция «мобильного рабочего места», популярная на Западе, постепенно внедряется и в России. Сотрудники сами определяют, где им удобно работать, но это не избавляет их от ответственности сохранять конфиденциальность корпоративных данных. Именно по этой причине во многих компаниях сотрудникам могут не разрешить работать удаленно и использовать смартфон в качестве платформы для хранения корпоративной информации. Knox предназначена для безопасной работы пользователей с мобильными устройствами, которые могут придерживаться того стиля работы, который им удобен – гаджет будет защищен от несанкционированного доступа и вредоносных атак.
Решение включает в себя:
Samsung Knox – защита информации по высшему разряду и без компромиссов
Кража в современном мире постепенно перемещается в виртуальное пространство, следует за деньгами, которые теперь не бумажки в вашем кошельке, а нули и единицы, записанные в памяти устройств. Будущее наступило намного быстрее, чем можно было предполагать еще десять лет назад, когда бумажные деньги были основным средством расчета в магазинах, а ваш кошелек оставался желанной добычей для вора. Сегодня доля безналичных платежей составляет в России 70%, по итогам 2021 года банк России предполагает рост до 75%. Никого не удивляет, когда на кассе человек прикладывает к терминалу часы или смартфон, такая сцена стала обыденной. Могу сказать по себе, что наличные деньги нужны все реже и реже, раз в месяц снимаю небольшую сумму на непредвиденные расходы.
Помимо того, что наши кошельки обосновались в смартфонах, там содержится вся наша жизнь в ее цифровом отражении – фотографии, общение, письма и доступ к социальным сетям, другим аккаунтам. Наверное, поэтому преступления перекочевали с улиц городов в виртуальное пространство, где злоумышленники пытаются подобрать ключи от наших сокровищ. Физическая потеря телефона не так страшна, как то, что кто-то сможет получить доступ к его содержимому.
В 2013 году Samsung на MWC в Барселоне заявила, что угрозы в цифровом мире выходят на первый план, а значит, необходимо разработать безопасную платформу, которая будет противостоять им. Название для платформы было подобрано правильно, это слово Knox. Оно созвучно Форт-Ноксу, где хранится золотой запас США, место считается одним из самых безопасных и укрепленных. Подход Samsung в новой для себя области возник не на пустом месте, компания наняла инженеров, работающих в сфере безопасности, и с чистого листа создала решение, которое было ориентировано на любые типы угроз, причем как существующих, так и тех, что могут возникнуть в будущем.
Первоначально Knox предлагал отдельное пространство для ваших приложений и данных, часть памяти была зашифрована криптоключами большой длины, а размещенные там программы и данные не были видны извне. Фактически получилось, что Knox предложил смартфон в смартфоне, у вас появлялось второе устройство, но оно было виртуальным. Из памяти смартфона можно было перенести в защищенную область любые данные, создать копии приложений с другими учетными записями. Именно так появились вторые комплекты приложений. Но вопрос – как тогда, так и сейчас – в том, что в случае смартфонов Samsung копии приложений в Knox полностью защищены и зашифрованы.
Часто люди не понимают разницы в подходах, поэтому попробую привести аналогию, которая объяснит отличия. Например, у вас есть деньги, которые вы хотите сохранить в банке. Вы выбираете между разными банками, один из них показывает вам сейф, объясняет, как он защищен, и уверяет, что никто не может получить к нему доступ. За все время существования банка никто не смог вломиться в сейф, хотя попытки предпринимались неоднократно. В другом банке вам показывают обычные шкафчики в стене, убеждают, что никакие дополнительные средства защиты не нужны, вы ведь уже в помещении банка, у них отличная металлическая дверь, а еще везде стоят камеры. Вас пытаются убедить, что вероятность взлома ничтожно мала, по всему миру миллиард человек пользуется аналогичными банками и вроде бы все хорошо.
Да, все хорошо ровно до момента, пока во второй банк не вламываются грабители и не выносят ваши деньги. В этот момент оказывается, что все не так хорошо, как вам рассказывали, и ваш выбор оказался неверным. Но потеряв все, сложно кого-то в этом винить, у вас уже украли деньги.
Сегодня Knox стоит на моделях среднего и высокого ценовых сегментов, так как это не только программная, но и аппаратная функция смартфонов от Samsung. В бюджетных моделях реализовать Knox зачастую невозможно – недостаточная производительность, нет отдельного процессора, отвечающего за безопасность устройства и ОС. Для обычных пользователей в смартфонах предлагается «Папка Knox», для корпоративных клиентов – система Knox, имеющая намного большие возможности администрирования.
Но вне зависимости от того, кто вы, частное лицо или представитель бизнеса, уровень защиты будет максимальным. Инженеры Samsung в Knox реализуют системы защиты данных, которые опережают угрозы, возникающие в реальном мире. Например, начиная с Galaxy Note20 и Galaxy S20 в смартфонах появилась защита от внешних физических воздействий. Отдельный процессор, который используется для хранения биометрии, ваших данных, шифрования памяти, отныне научился распознавать не только изменение компонентов устройства, что было нормой и до того. Этот процессор научили определять электромагнитное воздействие, колебания температуры, использование лазера – все те методы, которыми злоумышленники могут попытаться считать информацию из устройства. В обычной жизни такое воздействие на устройство полностью исключено, это атаки, что проводятся в лабораториях, и атакующие имеют высокий уровень как знаний, так и используемых технологий. Можно говорить, что зачастую это то или иное государство, так как ограниченное число «частников» может похвастать доступом к подобным технологиям взлома.
В данный момент доказанных и работающих технологий взлома такого уровня не существует, это теоретическая возможность. Но даже наличие такой возможности стало толчком к тому, чтобы защитить устройства от подобных атак. Например, в Knox при попытке считать информацию извне стирается вся память, взломщик не получит ровным счетом ничего, а только разрушит данные. Такой в чем-то параноидальный подход связан с тем, что смартфоны от Samsung используются в разных странах мира, в том числе правительственными чиновниками, правоохранительными органами, крупными корпорациями, которые хранят свои секреты.
Классно, что такая технология доступна не только бизнес-пользователям, когда компания закупает специальные смартфоны для своих сотрудников, а встроена в обычные серийные модели. То есть защита от взлома распространяется на все аппараты, где есть Knox. Во флагманах она максимального уровня, в моделях, что доступнее по стоимости, проще. Но простота вовсе не означает изъянов в защите данных, повторю, что ни одного доказанного случая взлома Knox с 2013 года не было. И это не потому, что систему не пытались взломать, причина в том, как она организована и насколько безопасна. Например, Gartner в 2019 году исследовал различные платформы на предмет возможности их взлома. Из 30 рассматриваемых категорий возможных атак для 27 из них Knox 3.2 был описан как имеющий максимальный уровень защиты.
Прелесть Knox Vault на семействе Galaxy S21, решения для корпораций и бизнес-пользователей, в том, что оно дает возможность гибкого администрирования устройств. Администратор может удаленно установить весь необходимый софт, применить политики безопасности, распределить приложения между защищенной и общей памятью. Равно как и найти устройство удаленно или стереть все данные на нем. Но в отличие от обычных смартфонов на Android, тут всегда есть дополнительный «сейф», в памяти Knox содержатся все данные, которые представляют особую ценность для вас.
Обычно атаки строятся на том, что злоумышленники взламывают ядро Android, а уже затем модифицируют код системы, получают доступ к данным. В Knox система проверяет все компоненты, в реальном времени осуществляется защита ядра, выглядит это вот так.
То есть перед тем, как позволить вносить изменения в ядро системы, в Knox проверяется, насколько такой запрос соответствует политике безопасности. Но самое главное, что при каждой попытке атаковать устройства администратор получает предупреждения и может видеть возникающие угрозы. Попытка взлома всегда оставляет следы и не проходит незамеченной, что позволяет начать поиски атакующих.
Безусловно, самым слабым элементом любой системы является человек, так как, имея физический доступ к системе, вы можете попытаться взломать ее. Но в Knox Vault и для этого есть свои решения, корпоративные пользователи не могут самостоятельно создать свои «закладки», чтобы устройство передавало данные куда-то на сторону. На сегодняшний день это очень продвинутая система безопасности, которая объединяет в себе как защиту на аппаратном уровне, так и программные модули. Важно понимать, что эта защита реализована на серийных моделях, которые вы покупаете в магазинах, не нужно искать какие-то специальные версии смартфонов или планшетов. Вам нужно только узнать, есть в них Knox или нет.
Для корпоративных клиентов использование Knox – это защита всех данных компании, возможность обезопасить себя от взлома корпоративной IT-системы, избавиться от уязвимостей, связанных с конечными устройствами и тем, как их используют сотрудники. Этот вопрос часто пускают на самотек, хотя статистика утверждает, что именно конечные, пользовательские устройства становятся лакомым кусочком для злоумышленников.
Современный смартфон должен обладать максимальным уровнем защиты от взлома, я полностью уверен в такой необходимости. Загляните в свое устройство, посмотрите, какое количество информации в нем содержится, оцените свои риски, если кто-то получит к памяти и программам полноценный доступ.
Никто из нас не верит в плохое, ведь с нами никогда не произойдет ничего такого, мы хорошие люди и особо ничем не рискуем. И статистика неумолимо это доказывает, так как человек может столкнуться со взломом своего устройства один раз в жизни. Но статистика не говорит о том, какие проблемы этот однократный взлом привносит в жизнь человека. Кто-то может лишиться работы, кто-то – потерять деньги или стать объектом вымогательства. Глупо игнорировать возможность по умолчанию повысить защиту своих данных, сделать себя и свою жизнь крепким орешком для злоумышленников. С другой стороны, кого-то и личный пример ничему не учит, поэтому выбор того, защищать свои данные или нет, – дело каждого. Для меня такой выбор очевиден, мой смартфон и планшет должны иметь максимальный уровень защиты из тех, что существуют на рынке.