Samsung Knox : Ça change tout ?

Par franck_29 - Le 8/10/13 - Affichages : 43036

Image

Si vous êtes un habitué du forum alors vous avez forcément entendu parlé de Knox. Par contre, Il est fort possible que vos premiers contacts avec ce Knox n'aient pas été des plus amicaux. Les quelques posts où l'on en parle ici même ou sur XDA, évoquent plutôt un dispositif pénible avec un bootloader indéracinable une fois installé, un nouveau compteur dangereusement appelé "Knox Warranty Void", des applications qui fonctionnaient sans problème dans les versions antérieures et qui demandent désormais des mises à jour de la "politique de sécurité". Bref, un dispositif mal compris.
Au final, il se passe quelque chose sur nos SGS4 et sur les flambant neufs Galaxy Note 3 avec cette solution Knox et il est temps de vous en parler un peu longuement.

Bref historique, Quel est l'objectif de la solution Knox

Souvenons nous, début 2013, une solution de sécurité est annoncée par Samsung, elle a pour objet de permettre la pénétration dans le marché des entreprises des flottes de smartphones Samsung. Et qui dit entreprise dit exigences en matière de sécurité. Qu'à cela ne tienne, la solution s'appellera Knox (comme Fort Knox : Fort Knox est surtout connu du public grâce au U.S. Gold Depository du Département du Trésor des États-Unis qui abrite la réserve d'or des États-Unis depuis 1937 (...) dans une chambre forte en acier et béton située sous l'édifice. Cette pièce souterraine, mesurant 18 mètres de long et 12 de large, est bâtie sur le roc et possède des murs de 61 cm d'épaisseur. Source wikipedia). Et Knox est présenté comme :" une solution complète de mobilité pour les usages personnels et professionnels. Pour s'adapter à l'augmentation de l'utilisation des Smartphones personnels au travail, Samsung KNOX[TRADE MARK SIGN] répond aux besoins de sécurité des entreprises tout en respectant la vie privée des employés.".
En pratique, cette solution permet d'intégrer dans une flotte d'entreprise, les smartphones de ses employés en "garantissant" que les données personnelles des employées le resteront, et que celles de l'entreprises en seront séparées et ne seront pas compromises.

Celui qui a quelques notions de sécurité reconnaîtra immédiatement un vaste chantier et un bien ambitieux programme. D'autant que la réputation d'android en matière de sécurité n'est pas des meilleures.

Comment se présente la solution Knox

En fait, la solution Knox, se présente comme une offre logicielle complète à disposition de l'entreprise (ce n'est bien sûr pas gratuit), compatible avec les outils de gestion de flotte du marché (MDM) et traitant les 3 fonctions génériques suivantes:

-La protection complète des données des entreprises contre les fuites, les logiciels malveillants et les attaques virales
-La possibilité d'utiliser des mobiles personnels pour le travail
-Une façon plus facile de créer des applications mobiles d'entreprise.

Et pour mener à bien ces trois ambitions, il est bien évident qu'un supplément de sécurité sur nos smartphones va être nécessaire. Et ce supplément de sécurité est loin d'être négligeable puisqu'il impose une modification en profondeur d'android tel que nous le connaissions jusqu'à maintenant.

Concrètement Android va devoir être "augmenté" des dispositifs suivants :

- Un mécanisme de boot sécurisé et de confiance : qui ne permettra pas de charger un système éventuellement corrompu par un malware (lire un logiciel qui fera fuiter les données de l'entreprise) que ce soit le kernel ou même le firmware lui même. Pour réaliser cette vérification (que le firmware à charger n'est pas corrompu (lire pas un custom) des empruntes de la chaîne de bootloader, du kernel et du firmware sont prises avant leur chargement respectif et vérifiées. En mode runtime, des applications "sécurisées" peuvent également vérifier la non altération du système via un mécanisme de challenge cryptographique.

- Un dispositif capable de répondre en temps réel, à la sollicitation d'une plateforme de supervision, demandant à un smartphone d'une flotte, s'il n'est pas modifié ( lire altéré par un malware, équipé d'une ROM Custom ou tout simplement rooté) cette vérification est réalisée via un challenge cryptographique envoyé au smartphone. Il doit bien sûr y répondre correctement sous peine d'être inactivé. Si! c'est possible.

-l'implémentation de SE For Android (Security enhancements) qui va permettre de créer des espaces de travail étanches les uns par rapport aux autres, en offrant une gestion des autorisations d'accès aux ressources du système plus fines et surtout plus strictes.

-Mise en oeuvre d'une TrustZone-based Integrity Measurement Architecture (TIMA) La TrustZone est un secteur "inviolable" des processeurs ARM, protégé de toute attaque logicielle, l'architecture TIMA permet d'assurer de façon sûre que le noyau linux n'a pas été modifié.

-Containers et encapsulation d'application Le container Knox est un environnement android complet avec son propre launcher, ses applications et ses widgets. Les applications qui s’exécutent au sein de ce container ne peuvent rigoureusement pas interagir avec des applications ou données localisées à l'extérieur de ce container)

-et bien sûr, une capacité de chiffrement embarquée par les smartphones (On Device Encryption)

Pour plus de détails je conseille la lecture des "technical details" de l'architecture Knox par Samsung, et d'une vulgarisation en français.

Conséquences sur nos smartphones (SGS4 I9505, Galaxy Note 3 N9005)

Au final, on voit bien que l'impact d'une telle modification d'android sur nos smartphones ne va pas pouvoir être marginale, elle va nécessairement être lourde d'implications.
Aussi, désormais, avant de "rouspéter"contre Samsung et son p... de Knox, vous aurez une idée plus précise du challenge que le constructeur s'est donné pour sécuriser ses smartphones. Et même si cela ne vous aide en rien, sachez que ce n'est pas pour vous "embêter" que Samsung a alourdi son système. En effet, l'accroissement de la sécurité va souvent de pair avec un abaissement de la simplicité d'utilisation.

L'actualité sur XDA

En liaison avec le propos de ce topic, et de façon plus pragmatique, un nouveau compteur (un drapeau plus précisément) est apparu avec les bootloader compatibles Knox le fameux "Knox Warranty Void" qui passe à 1 dès que l'appareil a été modifié, en pratique rooté.
Les propos vont bon train sur XDA pour savoir s'il est possible de remettre à 0 ce compteur. Certains craignent que cela ne soit tout simplement pas possible dans la mesure où ce drapeau serait en fait un eFuse rendant l’écriture du drapeau irréversible. (à ce sujet je vous suggère d'aller voire la page eFuse de wikipedia (version anglaise) Ils annoncent clairement que les Samsung Galaxy S4, S3, Note 3, Note 2, and S4 mini (secured bootloader KNOX system) incluent ce dispositif mais ce n'est ni clair ni fiable).

En fait, cela pose un vrai problème à la communauté car s'il était possible de dérooter les smartphones avant un retour au SAV et de bénéficier quand même de la garantie, le drapeau Knox Warranty Void passé à 1 et irréversible, ne permettrait plus, quoi qu'il arrive, de bénéficier de la garantie, puisque cela démontrerait que l'appareil a été rooté.

Cela met en colère la communauté de développeurs mais sachez que le célèbre développeur Chainfire de XDA travaille sur la question, qui au passage est sans doute bien plus délicate que de "casser" le zonage géographique (il a réussi cet exploit).

Selon moi, l'espoir est faible, et mon pronostic est que ce drapeau ne sera pas réinitialisable. S'il l'était cela jetterait le discrédit sur la solution Knox, Samsung ne peut pas se le permettre.

A très bientôt pour de nouvelles aventures ;)

Edit du 13 octobre

franck_29 a écrit:Bon ben voila apparemment... il est désormais possible de rooter sans faire bouger le drapeau "know warranty void" (attention root seulement, pas mettre de custom hein)

http://www.xda-developers.com/android/k ... -variants/

Samsung doit avoir mal à son imputabilité ;-)


55 réponse(s) -