GrapheneOS против прецедента: Защита данных и 'пароль принуждения' в суде США

Команда GrapheneOS внезапно представила подробный обзор своих мер безопасности 26 июля, особенно акцентируя внимание на управлении паролями. Выбор времени неслучаен: впервые в США Министерство юстиции преследует американского гражданина за предполагаемое уничтожение данных с помощью «пароля принуждения».

В течение последних двух дней аккаунт GrapheneOS в X активно отвечал на многочисленные вопросы о работе с паролями. Команда также опубликовала сводку всей информации на своем форуме.

Команда GrapheneOS заявляет, что их мобильная операционная система основана на Android 17 и использует «самое безопасное доступное аппаратное обеспечение для Android», которое на данный момент ограничивается исключительно устройствами Google Pixel. Однако, ожидается, что к 2027 году ситуация изменится благодаря партнерству с Motorola Mobility и «достижениям Qualcomm». Это сильный сигнал для индустрии, указывающий на возможность появления новых, высокозащищенных смартфонов, разработанных в сотрудничестве с GrapheneOS, поскольку ни одно из существующих устройств Motorola пока не соответствует необходимым стандартам безопасности.

Основное внимание в представленной информации уделяется защите паролей и конфиденциальных данных, а также методам защиты мобильной системы от извлечения информации. Шифрование диска служит первой линией обороны: даже наиболее опытные злоумышленники не могут обойти его напрямую, и им приходится либо использовать уязвимости ОС в состоянии «После первой разблокировки» (After First Unlock), либо применять метод грубой силы для подбора PIN-кода или пароля.

Команда также подчеркивает, что GrapheneOS поддерживает только устройства, оснащенные «защищенным элементом» (secure element) со строгими ограничениями на количество попыток ввода пароля и PIN-кода: 4 часа ожидания после 10 неудачных попыток, 41 день после 15, при общем лимите в 20 попыток. Защищенный элемент — это выделенный чип, физически и программно изолированный, предназначенный для хранения секретов и защиты от их извлечения. В GrapheneOS он выполняет конкретную функцию: хранит счетчики попыток разблокировки и применяет ограничения по частоте ввода, объясняя увеличивающиеся интервалы между попытками. Хранение счетчиков в чипе предотвращает «обман» путем их сброса.

Среди других рассмотренных аспектов — увеличение максимальной длины пароля с 16 до 128 символов, возможность использования биометрического фактора для повседневной разблокировки (с ограничением в 5 биометрических попыток, которые учитываются в общем лимите), усиленные аллокаторы памяти, аппаратная маркировка памяти (MTE) для повышения устойчивости к эксплуатации неизвестных уязвимостей, блокировка новых USB-подключений по умолчанию при заблокированном устройстве, а также таймер автоматической перезагрузки, который возвращает устройство в состояние «До первой разблокировки» (Before First Unlock) после 18 часов (по умолчанию) без использования. Последняя функция, к слову, была перенята Apple и Google для своих систем.

В статье также упоминается «PIN-код принуждения» (constraint PIN). Представленный как относительно второстепенный и опциональный инструмент, он стирает все данные с устройства при вводе в любом окне аутентификации (разблокировка, изменение конфиденциальных настроек и т.д.). Он работает для всех профилей, включая дополнительных пользователей и «частные пространства». Команда GrapheneOS подчеркивает: защита данных не зависит от этой функции. Она рассматривается как один из многих инструментов, и её использование должно быть тщательно продумано, учитывая возможные физические или юридические последствия.

Дело Сэмюэля Тьюника

Упоминание юридических последствий неслучайно. Активная коммуникация команды GrapheneOS о защитных функциях своей системы в данный момент объясняется крупным юридическим инцидентом в США, связанным с технологиями.

Впервые (предположительно) федеральные прокуроры преследуют американского гражданина за предполагаемое уничтожение данных с помощью «пароля принуждения», встроенного в программное обеспечение телефона. Именно это и послужило причиной столь активной коммуникации: речь идет о GrapheneOS.

Сэмюэль Тьюник был первоначально задержан без ордера 25 января 2025 года в аэропорту Хартсфилд-Джексон (Атланта) американской таможней на основании исключения для пограничного обыска согласно Четвертой поправке. Когда федеральные агенты пытались получить доступ к его телефону во время досмотра, Тьюник, как утверждается, ввел PIN-код принуждения GrapheneOS, который немедленно стер все данные, хранившиеся на устройстве.

Таким образом, Тьюник преследуется по американскому законодательству за предоставление пограничным агентам кода доступа, повлекшего стирание цифрового содержимого его телефона, что прокуроры квалифицируют как умышленное уничтожение имущества с целью предотвращения его изъятия.

Более широкий контекст, чем индивидуальное дело

Коммуникация GrapheneOS, вероятно, носит оборонительный характер, направленный на публичное документирование криптографической надежности их модели угроз в условиях внезапного медийного внимания к функции «пароль принуждения».

С юридической точки зрения, ставки выше, чем просто индивидуальный случай: вопрос, стоящий перед судами, заключается в том, может ли активация встроенной функции безопасности, разработанной специально для защиты личных данных в случае принуждения, быть квалифицирована как уголовное преступление – уничтожение улик, даже если первоначальный обыск проводился без ордера.

Неудивительно, что адвокаты Сэмюэля Тьюника оспаривают эту версию событий. Они утверждают, что задержание и изъятие были незаконными, и обвиняют правительство США в требовании доступа к телефону под предлогом поиска детской порнографии, не предоставив при этом никаких доказательств в поддержку этих подозрений.

По мнению адвокатов, этот арест и дело носят политический характер. Правительство, предположительно, преследовало Сэмюэля Тьюника не из-за возможных материалов детской порнографии, а из-за его связи с движением «Защити лес Атланты», которое выступает против создания огромного учебного центра для правоохранительных органов в Атланте, известного как «Полицейский город». Проект критикуется за его воздействие на окружающую среду (более 34 гектаров вырубленного леса) и стоимость в 67 миллионов долларов.

Адвокаты требуют аннулирования всей процедуры на основании того, что она нарушает Четвертую, Пятую и Шестую поправки к Конституции США. Нарушения связаны с тем, как проводился допрос, отказом в предоставлении адвоката, предполагаемым отсутствием предупреждений Миранды (известное «Вы имеете право хранить молчание»), а также обыском и изъятием без ордера.

«Я никогда не видела ничего подобного, хотя обсуждала потенциальные сценарии с активистами и журналистами на протяжении многих лет. Я думаю, это дело напоминает нам, что власти могут утверждать, будто вы сознательно уничтожили данные, поэтому лучше не иметь такой информации при пересечении некоторых границ», — прокомментировала Руна Сандвик, эксперт по компьютерной безопасности.