Папка knox на samsung что это

Как это работает: Samsung Knox

Множество людей используют свои личные телефоны для работы. Политика, получившая название BYOD (Bring Your Own Device, «принеси свое собственное устройство») становится все более популярной по мере того, как растут цены на телефоны, а потребительские модели становятся все более безопасными. Программы для корпоративного использования для мобильных устройств есть и у Apple, и у Google, но, возможно, одна из самых простых в использовании — как для вас, так и для любого IT-специалиста — это Samsung Knox.

Если вы являетесь владельцем устройства Galaxy не старше пары лет, тогда, вероятно, на нем есть Samsung Knox. Это не то, что требует установки, поскольку является частью ОС Android в варианте от Samsung, а не разновидностью приложения или библиотекой поддержки.

Knox – это часть Android, которая может быть предустановлена, и люди, которым он не нужен, знают, насколько сложным может быть его удаление. Knox также встроен в оболочку Tizen на носимых устройствах Samsung. Давайте посмотрим, что же такое Samsung Knox и что он умеет.

Что это такое?

Samsung Knox – это особый слой безопасности, который имеется в топовых телефонах Samsung и служит для того, чтобы отделять и изолировать личные и рабочие данные пользователя. Можно представить себе это как способ фактически превратить один телефон в два – именно так происходит управление приложениями и данными, которые эти приложения генерируют, как, впрочем, и данными, которые вы вносите в них сами.

Вы перемещаетесь между этими двумя слоями по тапу на иконку Knox и после ввода пароля. Пароль уникален и отличен от любых паролей, которые вы используете для разблокировки аппарата, так что даже если случится невероятное и кто-то обойдет экран блокировки, данные, защищенные Knox, останутся недоступны. Разве что не будут применены реально сложные способы, которые придумываются людьми, работающими над тем, чтоб обойти системы безопасности, а потом устранить уязвимости, чтобы эти способы больше не работали. Как, например, здесь.

По умолчанию, как только вы заходите в раздел своего телефона, защищенный Knox, у вас остается доступ только к нескольким приложениям – это Камера, Галерея, Почта, Мои файлы, Телефон, Контакты, браузер Samsung, Загрузки и S Planner. Вы можете добавлять и другие приложения в слой, защищенный Knox, и они будут «скопированы» туда, где их данные будут храниться отдельно от того же приложения на «обычном» слое вашего телефона.

Для работы Knox требуется два условия. Вам нужно подходящее устройство – не все телефоны Samsung (а также часы и планшеты) поддерживают Knox, вот их список. И вам нужен правильный софт: вы найдете Samsung Secure Folder в Play Store, если ищете с совместимого телефона, а если с устройства, на котором установка невозможна, то вы его и не увидите.

Есть и третий важный компонент, который может быть использован для корпоративных целей. Это Knox Premium или его эквивалент. Это не то, что имеет смысл использовать дома (хотя если очень хочется, то можно), и это возможность для IT-отдела управлять слоем Knox на телефонах, являющихся частью группы устройств с доступом к серверу. По сути, это облачное решение, созданное для работы с Knox, и безопасная платформа «под ключ».

Knox сертифицирован для использования правительством в Финляндии, Франции, Казахстане, Нидерландах, Испании, Великобритании и США. Также в определенных конфигурациях он соответствует стандартам FIPS_140-2 и ISCCC (китайский стандарт кибербезопасности). Это означает, что такие организации, как Министерство обороны США, уверены в безопасности использования Knox своими сотрудниками (с доступом к информации для служебного пользования). А это значит, он достаточно безопасен и для вас.

В Android Oreo Knox был включен в бизнес-решение от Google Android for Work, чтобы обеспечить защиту ядра Linux в реальном времени, проверку на вредоносные программы и части процедуры доверенной загрузки. Samsung использует электронный предохранитель eFuse, чтобы определить, было ли загружено неофициальное программное обеспечение, изменив проверку статуса гарантии на 0x1, когда попытка была обнаружена. И это не сбрасывает моментально настройки к заводским значениям.

Использовать или нет?

Использование Samsung Knox ни в коем случае не обязательно, и если вы не тот человек, что постоянно копается в софте своего телефона, вы можете и не узнать, что он там есть. Но если ваш телефон разработан с поддержкой Knox, то для вас это бесплатно, так что почему бы не попробовать.

Скорее всего, вы не обладаете секретной информацией и никто не следит за вами, пытаясь украсть ценные данные. Люди и организации, которые охотятся за пользовательскими данными, могут не воспринимать вас как непосредственную цель, но попади ваш телефон кому-то в руки, они могут попытаться выудить из него все что только возможно. Использование Knox для защиты информации, которая для вас ценна, это очень просто, а репутация у данного решения очень достойная.

Кроме того, Knox – отличный способ спрятать конкретные файлы и папки от тех, кто время от времени может иметь доступ к вашему телефону – дети, соседи по комнате и т.д. Если поместить приложение в Knox, его данные будут доступны только по паролю, а также можно использовать приложение My Files, чтобы спрятать файл или папку от нежелательных глаз.

Для повседневных задач вроде переписки вам вряд ли имеет смысл использовать Samsung Knox. Но если появляется хоть сколь-нибудь чувствительная информация – например, «то, что не стоит показывать маме», – Knox может пригодиться. Вам необязательно быть в большом бизнесе, чтобы стремиться обезопасить свои данные, а Samsung предлагает для этого очень удобный инструмент.

Вопрос к владельцам устройств Samsung – а вы, уважаемые читатели, пользуетесь Knox? Если да, то делитесь своими сценариями, если это, конечно, не секретная информация ☺

Как создать защищенную папку на Самсунге

В последнее время для многих пользователей все больше и больше встают вопросы конфиденциальности. Если раньше мы с вами не переживали за собственные данные, то сейчас в телефоне хранится столько информации, что потерять ее было бы совсем не прикольно. Данные банковских карт, пароли от разных сервисов и социальных сетей, ценные фотографии — все это попадет в руки к мошенникам сразу же после взлома вашего устройства. Многие владельцы смартфонов на Android хоть раз слышали про защищенную папку. В статье предлагаю поговорить о том, как работает папка Knox на смартфонах Samsung и обсудить все нюансы ее работы.

Рассказываем все про защищенную папку в смартфонах Samsung.

Для чего нужна защищенная папка

Защищенная папка Samsung Knox — это удобная функция, которая позволяет хранить данные в изолированной области памяти устройства.

Скрытая папка Samsung является частью функции Samsung Knox, которая встраивается в смартфоны, планшеты, носимые устройства и даже бытовую технику еще на этапе производства. Сама компания заявляет, что такая защита сравнима с двумя смартфонами.

Система Samsung Knox это не только Защищенная папка, но и множество других функций.

Благодаря этой системе, приложения получают только ту информацию, которая им необходима. Если вы сомневаетесь в безопасности той или иной программы, можете смело закидывать ее в защищенную папку и быть уверенным, что она никак не украдет ни данные с банковских карт, ни пароли от разных сервисов.

Также если ваше устройство будет украдено, злоумышеники не смогут им воспользоваться, так как данные из сервисов Samsung хранятся в исключительно зашифрованном виде. Любые виды атак отслеживаются системой и пользователь получает уведомление о попытке проникновения.

Как создать секретную папку на Samsung

Для начала важно сказать, что на Samsung под управлением Android 11 защищенная папка называется Папка Knox. Также на некоторых моделях смартфонов настройки могут отличаться, поэтому лучше искать интересующие вас настройки через Поиск.

Чтобы создать защищенную папку Samsung, вам понадобится:

• На смартфоне Samsung перейти в Настройки.
• Затем пролистать до пункта Биометрия и безопасность.
• Далее найти раздел Защищенная папка, нажать кнопку Принять.
• Затем выбрать необходимый вариант пароля (пароль, графический рисунок, биометрические данные).
• После этого добавить в защищенную папку необходимые вам файлы.

Настраиваем скрытую папку на Samsung.

Готово, теперь через настройки смартфона вы сможете получить все данные, которые хотели скрыть от посторонних глаз.

Переместить защищенные файлы обратно в память устройства можно следующим образом:

• Откройте защищенную папку Samsung.
• Далее откройте раздел Мои Файлы.
• После этого откройте интересующий вас файл.
• Нажмите на три вертикальные точки в правом верхнем углу.
• Нажать Переместить.

Вот так выглядит интерфейс защищенной папки Samsung.

Подписывайтесь на нас в Яндекс.Дзен и будьте в курсе всех актуальных новостей из мира Android.

Не удалось создать защищенную папку

Нередко пользователи сталкиваются с разными трудностями с защищенной папкой. Главная из них — ограничение доступа к папке. Если вы столкнулись с уведомлением Защищенная папка заблокирована или Доступ в защищенную папку заблокирован, попробуйте следующие шаги:

• Убедитесь, что на вашем смартфоне не установлены root-права.
• Проверьте смартфон на наличие обновлений Android.
• Обновите все приложения в Google Play.
• Попробуйте загрузить смартфон в безопасном режиме.
• Полностью удалите и создайте новую папку.
• Сбросьте настройки Samsung до заводских.

Имейте в виду, что при удалении защищенной папки все данные с нее будут стерты. Учитывайте это и заранее создайте резервную копию всех данных. Плюс, при сбросе до заводских настроек данные также будут удалены. О том, как создать резервную копию на Android мы рассказывали ранее.

Как сбросить пароль на защищенной папке Самсунг

Если вы вдруг забыли пароль от защищенной папки на Samsung — это не проблема. С помощью простой инструкции вы всегда сможете восстановить данные:

• Откройте защищенную папку на смартфоне.
• Далее на экране с требованием пароля нажмите Забыл пароль.
• После этого авторизуйтесь в аккаунте Samsung.
• Нажмите кнопку Сбросить пароль.
• Выберете и подтвердите новый пароль.

Пользуетесь защищенной папкой Samsung? Возникали ли у вас какие-то проблемы с ней? Дайте обратную связь в нашем Телеграм-чате или в комментариях ниже, будет интересно прочесть.

Secured by Knox — механизмы мобильной безопасности Samsung

Если у вас телефон Samsung, то вы, возможно, замечали на экране загрузки фразу «Secured by Knox». Что это вообще значит? Под катом – описание платформы мобильной безопасности, предустановленной на большинстве смартфонов и планшетов Samsung. Это первый русскоязычный обзор того, какие механизмы вообще существуют в решении Knox.

Введение

В 2019 году компания Samsung Electronics отметила 50 лет, а еще этот год отмечен другой круглой датой – 10 лет с момента выпуска первого устройства линейки Galaxy — GT-I7500. Вот так выглядела эта модель:

По сегодняшним меркам телефон имел очень скромные характеристики: экран размером 3.2 дюйма и процессор с тактовой частотой всего в 528 МГц, работал под управлением одной из первых версий ОС Android. Собственно говоря, в 2009 году модель не была уникальной: на рынке были устройства на открытой ОС Android со схожими аппаратными характеристиками на платформе ARM. Было понятно, что для успеха нужна «изюминка», выделяющая компанию из общего ряда.

Несомненно, открытость операционной системы повлияла на успех ОС Android: по оценкам IDC на октябрь 2019 она установлена на 87% проданных смартфонах, и это число продолжает расти. Но и тогда, и сейчас, вопрос безопасности Android – одна из часто обсуждаемых тем.

Samsung представила платформу Knox, как ответ на вызовы в области информационной безопасности мобильных устройств. Первая редакция Knox (старое название «SAFE» или «Samsung for Enterprise») вышла в 2012 году вместе с Galaxy S3.

Последняя на сегодняшний день мажоритарная версия платформы (3.0) была выпущена вместе с Galaxy S9 в 2018. Актуальная версия на момент написания статьи — 3.4. Название Knox происходит от Форт-Нокса – одного из самых защищенных хранилищ золотых запасов в мире.

Что же такое Knox? Сейчас под этим названием (или уже правильнее брендом) понимается всё, что связано в Samsung с мобильной безопасностью. Сюда относят менеджер паролей Samsung Pass, Защищённая папка, платёжный сервис Samsung Pay, и целое семейство корпоративных решений, но в основе этого лежит платформа Knox.

Важной особенностью платформы Samsung Knox является то, что она базируется на аппаратных механизмах. Компания Samsung, как производитель в том числе и аппаратных компонентов, может контролировать весь процесс производства, сборки и конфигурации устройства, и, следовательно, проектировать механизмы безопасности, основанные на аппаратных возможностях.

Сюда включаются следующие принципы:

• Безопасность системы строится на аппаратном корне доверия (HW Root of Trust).
• Контроль безопасности устройства должен начинаться в момент загрузки.
• Мониторинг безопасности обязателен и регулярен во время работы устройства.
• В системе должен быть заложен механизм, позволяющий доказать свою целостность сторонним системам.
• Основная ценность устройства – данные пользователя. Их защита является приоритетом системы.

Платформа Knox решает и эту задачу:

• Корпоративными данными на устройстве должно быть удобно управлять.
• Корпоративное устройство должно обладать механизмами централизованного мониторинга и контроля.
• Выше обозначенные пункты не должны быть реализованы в ущерб частной жизни конечного пользователя.

Построение доверенной среды

Перед тем, как углубиться в рассмотрение отдельных механизмов, нужно пару слов сказать об основе всех аппаратных механизмов защиты платформы Knox – архитектуре TrustZone-based Integrity Measurement Architecture (TIMA). Она базируется на ARM TrustZone Framework.

В парадигме TrustZone существует 2 «мира» (области):

• Secure («Безопасный»)
• Normal или Non-secure («Обычный» или «Небезопасный» мир)

Источник: www.arm.com

Функционал телефона делится между этими двумя областями следующим образом:

• «Чувствительные» вычисления (например, шифрование).
• Защита критичной информации.
• Мониторинг состояния ядра ОС, запущенной в Normal World.
• Доступ к памяти и устройствам, помеченным как Secure (может быть осуществлён только из Secure World).

• Выполнение основной ОС и всех пользовательских приложений.
• Приложения, запущенные в Secure World, наиболее привилегированы, и могут получать доступ к ресурсам обеих сред (и Secure World, и Normal World). Приложения из Normal World ни при каких условиях не могут получить доступ к ресурсам Secure World напрямую.

Аппаратный корень доверия

Уже в момент производства на заводе, во время установки программного обеспечения (ПО), на мобильном устройстве создаются криптографические ключи. Рассмотрим 2 основных ключа:

• Device Unique Hardware Key (DUHK) или Уникальный аппаратный ключ устройства. Уникальный для каждого устройства симметричный ключ, который создается непосредственно на устройстве с использованием аппаратного генератора случайных чисел. Информация, зашифрованная этим ключом, может быть расшифрована только на том же самом устройстве. DUHK доступен только модулю аппаратного шифрования и не доступен никакому ПО на устройстве. С помощью DUHK шифруются остальные криптографические ключи на устройстве. Когда мы говорим, что какой-то компонент привязан к устройству, чаще всего подразумевается применение именно этого ключа.
• Device Root Key (DRK) или Корневой ключ устройства. Уникальная для каждого устройства пара ассиметричных ключей (RSA), подписанная корневым сертификатом (X.509) Samsung. DRK защищен с помощью DUHK и доступен только из Secure World. Он однозначно идентифицирует устройство и подтверждает, что оно произведено Samsung.

Производство устройств на фабрике Samsung Electronics, г. Гуми, Южная Корея

Загрузка устройства

Безопасная загрузка (Secure Boot)

Процесс загрузки устройства состоит из цепочки загрузчиков, каждый из которых проверяет подпись следующего компонента, после чего запускает его. Если проверка не проходит, процесс загрузки прерывается. Данный механизм называется Secure Boot, в своей работе он использует Samsung Secure Boot Key (SSBK) – асимметричную пару ключей в аппаратном хранилище.
Secure Boot гарантирует загрузку устройства только с помощью доверенных загрузчиков Samsung. Если один из загрузчиков скомпрометирован, то запуск устройства прерывается, предотвращая потенциальную компрометацию устройства.

Доверенная загрузка (Trusted Boot)

Secure Boot путем проверки подписи решает проблему сторонних загрузчиков, но не решает проблему старых, неактуальных версий, потенциально несущих в себе ряд известных уязвимостей. Поэтому разработан механизм доверенной загрузки Trusted Boot, работающий поверх Secure Boot. Он проверяет актуальность версии загрузчика. Результаты проверки записываются в защищённую память в TrustZone Secure World и могут быть использованы для будущих проверок.

Knox Verified Boot (KVB)

В момент начала загрузки ОС активируется ещё один механизм, называемый Knox Verified Boot. KVB – расширение механизма Android Verified Boot (AVB). Помимо стандартных метрик, контролируемых AVB, KVB также учитывает результаты, полученные Trusted Boot и Secure Boot (т.е. целостность загрузчиков и их актуальность). За счёт выполнения всех операций KVB в загрузчике, данная проверка является надёжной и безопасной (процедура осуществляется вне проверяемого объекта).

Компонент Knox Verified Boot является достаточно новым и поддерживается устройствами, начиная с Samsung S10, работающих под управлением операционной системы Android P или более поздних версий.

Графически процесс загрузки устройства, защищённого механизмами Knox можно представить следующим образом:

Аппаратный флаг Knox Warranty Bit

Knox Warranty Bit — функция безопасности, позволяющая зафиксировать факт установки неофициальной версии системного программного обеспечения на устройство. Устройства со сработавшим Warranty Bit не могут использовать некоторый функционал, например, Knox Workspace. Флаг не может быть возвращён в исходное состояние. Он гарантирует, что устройство Samsung ранее запускалось только с доверенной ОС.

Рис. Слева кастомная прошивка, KNOX WARRANTY VOID 0x1

Аппаратная блокировка возврата к старым версиям ПО (Rollback Prevention)

Старые версии загрузочных компонентов могут содержать уязвимости. Rollback prevention – функция, блокирующая возврат на более старую версию ОС. Минимальная версия загрузчика, возможная для прошивки, хранится в защищённой области. Минимальная возможная версия ядра ОС хранится в самом загрузчике. При штатном обновлении системы, минимально допустимые версии загрузчика и ОС повышаются. Вернуться на предыдущую или более раннюю версию невозможно.

Вернуться с Android P на Android O невозможно.

Контроль целостности доверенной среды

После запуска целостность системы нужно регулярно проверять. Для этого в Knox существует несколько механизмов.

Компонент Periodic Kernel Measurement (PKM)

PKM осуществляет периодический мониторинг ОС на предмет модификации её компонентов с момента загрузки. В рамках проверки отслеживаются контрольные суммы ядра и статус подсистемы SE for Android (о ней мы поговорим немного позже). PKM работает в Secure World. Таким образом, любая нештатная модификация ядра ОС будет детектирована.

Компонент Real-time Kernel Protection (RKP)

Trusted Boot защищает от загрузки измененного ядра, но ядро может быть подвергнуто атаке во время работы устройства. Необходим постоянный мониторинг целостности кода и критичных данных. RKP – это мониторинг безопасности, расположенный в изолированной среде – либо в ARM TrustZone Secure World, либо в «тонком» гипервизоре, защищенном аппаратными расширениями виртуализации.

RKP использует специальные методы, чтобы контролировать управление памятью в Normal World, перехватывать критичные запросы и оценить их влияние до того, как произойдёт их выполнение. Механизм защиты ядра в реальном времени дополняет периодические проверки целостности ядра (PKM).

Таким образом, Real-Time Kernel Protection – это гарантия защиты от выполнения вредоносного кода на уровне ядра ОС.

Проверка целостности доверенной среды

Мобильные устройства не работают изолированно, обычно они являются частью какой-то более масштабной системы, например, являются клиентами сервера, вычислительными узлами и пр. И чтобы система могла стабильно и безопасно работать, она должна быть уверена, что все её компоненты «здоровы» и являются теми, за кого себя выдают. Это достаточно непростая задача, в рамках платформы Knox она решается с помощью механизма удалённой аттестации.

Удалённая аттестация устройства (Knox Attestation)

• измерения, собранные в процессе доверенной загрузки Trusted Boot;
• логи нарушений безопасности от механизмов PKM и RKP с момента последней перезагрузки;
• состояние Knox Warranty Bit;
• различные идентификаторы устройства, такие как IMEI.

Аттестационное сообщение формируется в ARM TrustZone Secure World. Оно является корректным, даже если ОС в Normal World скомпрометирована.

Помимо проверки отдельных параметров, аттестация также оценивает состояние системы в целом. Только когда измерения, собранные Trusted Boot соответствуют эталонным значениям, и значение Knox Warranty Bit не изменено, аттестация считается пройденной.

Аттестационное сообщение не может быть подделано, так как оно подписано с использованием ключа аттестации Samsung Attestation Key (SAK), производного от корневого ключа Samsung. Удалённый сервер может проверить целостность сообщения, используя корневой ключ Samsung. Подпись содержит сгенерированную на серверной стороне криптографическую «добавку» (случайное число, используемое только один раз), чтобы не дать атакующему возможность использовать старое корректное аттестационное сообщение на уже скомпрометированном устройстве.

Сторонняя система может принять решение о дальнейших действиях на основе результатов аттестации в зависимости от политик безопасности. Например, можно отключиться от устройства, стереть контент в защищенной рабочей области, запросить местоположение устройства и выполнить многие другие действия.

Защита данных

Данные являются основной ценностью мобильного устройства и требуют отдельных механизмов защиты.

Шифрование внутреннего хранилища

Полное шифрование внутренней памяти является обязательным требованием для всех устройств на базе ОС Android с версии 7. Knox развивает данную концепцию, храня ключ в защищённом аппаратном ключевом хранилище.

Система Security Enhancements (SE) for Android

Samsung Knox использует расширение безопасности для Android (Security Enhancement for Android, SE for Android), которое добавляет механизм принудительного (мандатного) контроля доступа Mandatory Access Control (MAC) в ОС.

SE для Android предоставляет два уровня защиты MAC:

1. Защита на уровне ядра
2. Защита на уровне промежуточного ПО Android

Контейнеризация Knox

Одним из частных случаев применения механизма SE for Android является контейнер Knox.
Контейнер разделяет приложения и данные на два независимых пространства: обычную и защищённую области. Данные защищённой области хранятся во внутренней памяти в зашифрованном виде. Ключи шифрования, в свою очередь, шифруются с помощью DUHK-ключа, т.е. они привязаны к конкретному устройству. В случае компрометации устройства (срабатывание Knox Warranty Bit, Trusted Boot и пр.) доступ к контейнеру блокируется.

Важно отметить, что приложения, установленные в контейнер, работают, по сути, в обычном окружении. Как следствие, приложение, написанное под Android, работает в контейнере без каких-либо адаптаций и изменений исходного кода.

Технология контейнеризации используется в нескольких продуктах Samsung, таких как Secure Folder и Knox Workspace.

Возможности для корпоративных пользователей

Все выше обозначенные механизмы приобретают особое значение при использовании мобильных устройств в корпоративной среде. Этот вопрос заслуживает отдельного рассмотрения, поэтому здесь мы ограничимся картинкой:

Дополнительные источники по теме:

Автор: Владимир Карачаров,
Manager, B2B Pre/Post Sales
Business Development Team
Samsung R&D Institute Russia

Как настроить защищённую папку на смартфоне Samsung Galaxy

Защищенная папка (папка Knox) хранит ваши файлы, изображения и приложения в отдельной области памяти смартфона.
Вы можете перемещать данные в папку Knox, копировать из нее файлы, а также выбирать тип блокировки для доступа к папке (графический рисунок, пароль или биометрические данные).

В операционной системе Android 11/12 данная функция называется Папка Knox, на более старых моделях или версиях Андроид — Защищенная папка.

Защищённая папка/ Папка Knox поддерживается не на всех моделях.
Например, на Galaxy М-серии и на моделях с оболочкой One UI Core не будет Защищённой папки/ Папки Knox.
Информацию о наличии функции можно узнать из руководства пользователя для конкретной модели.

Как создать Папку Knox

• Откройте меню Настройки > Биометрия и безопасность > Папка Knox/ Защищенная папка.

• Дождитесь создания папки и нажмите кнопку Продолжить, чтобы принять разрешения для папки Knox.

• После создания папки появится экран приветствия, снова нажмите Продолжить.

• При первом входе в защищенную папку выберите тип блокировки: графический рисунок, пароль, PIN-код или биометрические данные. Например, выбрав PIN-код, установите его и нажмите Далее .

• Ваша папка Knox создана. Теперь можно перемещать в защищенную папку нужные файлы или приложения с помощью соответствующих кнопок.