Chiffrement compatible multiplateforme de la carte SD pour Android

FDE

Dans les versions précédentes, le chiffrement par défaut d'Android pour /data et le Stockage Adoptable était le chiffrement complet du disque (FDE) qui est une implémentation personnalisée de dm-crypt. La partition userdata (sur FDE ainsi que sur FBE) est difficile (ou impossible) à décrypter hors de l'appareil en raison du chiffrement sécurisé par matériel. En cas de Stockage Adoptable implémenté depuis Android M, la clé est enregistrée à /data/misc/vold/expand_*.key, vous n'avez pas besoin de vider la mémoire mais l'accès à /data nécessite des droits root. La clé est stockée non chiffrée en raison de l' hypothèse:

Parce que le contenu d'un appareil de stockage adopté est fortement lié à l'appareil Android qui l'a adopté, les clés de chiffrement ne doivent pas être extraites de l'appareil parent, et donc l'appareil de stockage ne peut pas être monté ailleurs.

Mais si vous avez déjà rooté et une fois que vous avez la clé, il est possible de décrypter la carte SD sur une machine Linux en utilisant dmsetup. Notez également que retirer la carte SD physique cassera votre /sdcard et les applications que vous auriez déplacées.

FBE

Les versions récentes d'Android utilisent principalement le chiffrement basé sur les fichiers (FBE) qui repose sur le chiffrement du système de fichiers Linux (pour ext4 et f2fs). Il n'utilise pas une clé unique, mais la clé maître génère des clés par fichier (par inode en fait) au fur et à mesure. Sur Android, la clé maître chiffrée est enregistrée à /data/misc/vold/user_keys/de/ et /data/misc/vold/user_keys/ce/ ainsi qu'avec d'autres fichiers associés. Les sous-répertoires sont nommés d'après l'ID utilisateur, par exemple 0 pour le propriétaire de l'appareil. Ici, de est pour le stockage chiffré de l'appareil qui est entièrement chiffré par matériel et est disponible au démarrage sans interaction de l'utilisateur. ce est le stockage chiffré par les informations d'identification qui nécessite un NIP/mot de passe de l'utilisateur pour le déchiffrement en plus de la clé sécurisée par matériel. Les différents répertoires sur la partition /data sont (pas chiffrés ou) chiffrés avec des clés différentes; DE ou CE, pour l'utilisateur 0 ou l'utilisateur 10 et ainsi de suite.

Ainsi, chaque utilisateur a 2 clés chiffrées - une pour CE et l'autre pour DE - tout comme la clé chiffrée stockée au pied de la partition userdata comme dans le cas de FDE. Les clés ne peuvent pas simplement être utilisées pour déchiffrer des fichiers sur un PC contrairement à une seule clé requise pour déchiffrer l'ensemble du périphérique de stockage dans le cas de Stockage Adoptable FDE. De plus, FBE avec Stockage Adoptable ne fonctionne pas sur Nougat et Oreo, et ne semble pas très stable sur Pie. Je ne suis pas sûr de comment cela va fonctionner lorsque les choses seront rationalisées. Si certaines implémentations stockent les clés maîtresses non chiffrées (CE/DE) dans /data/misc/vold/user_keys/, il y aurait de grandes chances pour que FBE fonctionne sur plusieurs plateformes.

AUTRES OPTIONS

Si vous ne voulez pas utiliser FDE ou FBE natifs d'Android, vous pouvez configurer manuellement dm-crypt (plain / LUKS), ou essayer d'abord des solutions basées sur FUSE comme encfs ou gocryptfs; elles sont relativement plus simples. Les binaires sont disponibles ici.

FBE peut être géré manuellement avec l'outil fscrypt mais je ne pense pas que ce soit une option très faisable pour le moment. Vous pouvez tout de même essayer.

ecryptfs est une autre fonctionnalité native du noyau Linux. Android n'a jamais utilisé par défaut ecryptfs à ma connaissance, donc cela dépend du constructeur de ROM s'ils ont construit le noyau avec CONFIG_ECRYPT_FS=y ou non. Vous devrez peut-être reconstruire le noyau.

Toutes les options ci-dessus fonctionnent bien mais nécessitent toutes un accès root et une configuration manuelle sur Android, par exemple un script init.d ou une solution tierce.

Ou si vous voulez simplement chiffrer des répertoires sélectionnés et non toute la carte SD, essayez MiXplorer. Il inclut une version Java de encfs qui ne nécessite pas de root. Cependant, le répertoire déchiffré dans MiXplorer ne sera pas accessible aux autres applications. Pour un cas d'utilisation comme Boxcrypter, je préfère rclone car il est open-source.

EN LIEN:

• Déchiffrer une carte microSD sur un autre appareil Android ou un ordinateur de bureau