Сообщество AnikOS (www.anikos.org) объявило об инициировании разработки (в рамках одноименного проекта) защищенного ядра Linux для Android 4.0. Оно получило название AniDroid Hardened Kernel и, как утверждают разработчики, является первым защищенным ядром для Android, использующим механизмы подсистемы GRSecurity, предоставляющей возможность использования функционала защиты информации на уровня ядра ОС.

Сообщается, что ядро AniDroid Hardened Kernel в настоящий момент находится на ранней стадии разработки и имеет полную поддержку функционирования только на смартфонах Google (Samsung) Nexus S.

Сборка ядра AniDroid Hardened Kernel осуществляется с использованием последних новых компиляторов из состава набора Linaro Toolchain (GCC 4.6.3). В разработке используется ядро версии 3.1.10 Linux и подсистема GRSecurity версии 2.2.2.

По данным разработчиков, в настоящее время реализованы следующие функции GRSecurity:

  • защита памяти ядра (разграничение доступа на запись и чтение к /dev/kmem, /dev/mem и /dev/port);
  • активная защита от эксплоитов (функции противодействия эксплойтам);
  • ролевое разграничение доступа (RBAC, функционал ролевого разграничения доступа);
  • защита файловой системы (включая защиту для приложений в CHROOT-окружениях);
  • аудит событий ядра (журналирование всех событий ядра ОС);
  • защита исполняемых приложений (предотвращение атак на приложения использованием PTRACE);
  • защита сетевого взаимодействия (защита от атак TCP/UDP blackhole и LAST_ACK DoS атак);
  • управление через интерфейс Sysctl.

Отмечается, что дистрибутив AnikOS создан и развивается на основе репозиториев исходных кодов проектов Gentoo, Hardened Gentoo, а также подключаемых репозиториев исходных кодов ряда смежных проектов (Overlays).

Основные механизмы защиты информации на уровне ОС, реализованные в AnikOS, основаны на концепциях Hardened Gentoo, т. е. обеспечиваются на уровне связки “Ядро ОС — Библиотека стандартных функций — Компилятор” (“Linux Kernel — Glibc — GCC”) и закладывается еще на этапе сборки из исходных кодов в каждое приложение AnikOS (PIE). Ядро ОС при этом предоставляет программный интерфейс (API) для обеспечения возможности взаимодействия с его механизмами безопасности с использованием различных программных инструментов управления, доступных администратору.

В отличие от классического варианта для многих UNIX-систем, где пользователь “root” имеет абсолютные привилегии администратора, в AnikOS реализована возможность “ролевого” (Role-based или RBAC) разграничения доступа, при которой существует возможность контролировать и ограничивать действия пользователя “root”.

В рамках выпуска серии предварительных релизов AnikOS предполагается реализация относительно простого в использовании дистрибутива с бинарной системой установки ПО (в том числе — обновлений), который являлся бы платформой для функционирования “доверенных” и “недоверенных” приложений, а впоследствии (возможно) занял бы свое место при использовании в защищенных автоматизированных системах в виде относительно защищенной ОС, в частности там, где функционирование потенциально опасного ПО необходимо и/или по каким-либо причинам неизбежно.

Версия для печати