Comment fonctionne Samsung Knox Vault

Samsung Knox est préinstallé sur presque tous les smartphones Samsung Galaxy et existe en tant que solution de sécurité permettant aux propriétaires d'appareils de garantir la sécurité de leurs smartphones et de leurs données. Il utilise à la fois une sécurité matérielle et logicielle, étendant ce que TrustZone, un environnement d'exécution sécurisé (TEE) que Samsung implémente sur ses smartphones, proposait auparavant. Knox Vault fonctionne entièrement séparément du processeur principal sur un smartphone Android et est disponible sur les nouveaux smartphones phares de Samsung.

Knox Vault, comme TrustZone, protège vos mots de passe, vos données biométriques et vos clés cryptographiques. La différence est que TrustZone exécute un système d'exploitation distinct en même temps qu'Android, mais toujours sur l'application principale. processeur, et lorsque vous déverrouillez votre téléphone, Android demande à une applet TrustZone de vérifier l'empreinte digitale ou le mot de passe de votre au nom de. Il est conçu pour que même si votre installation Android est compromise, vos données biométriques et vos mots de passe ne puissent pas être exfiltrés. Knox Vault va encore plus loin et remplace TrustZone.

TrustZone contre Knox Vault, quelle est la différence?

Un TEE est une région sécurisée sur le SoC qui est utilisée pour gérer les données critiques. TEE est obligatoire sur les appareils lancés avec Android 8 Oreo et supérieur, ce qui signifie que tout smartphone récent en est équipé. Tout ce qui ne se trouve pas dans le TEE est considéré comme « non fiable » et ne peut voir que le contenu crypté. Par exemple, le contenu protégé par DRM est chiffré avec des clés accessibles uniquement par les logiciels exécutés sur le TEE. Le processeur principal ne peut voir qu'un flux de contenu crypté, tandis que le contenu peut être déchiffré par le TEE puis affiché à l'utilisateur. Knox Vault est également un TEE.

Dans le cas de Knox Vault, Samsung affirme qu'il « étend » la protection offerte par TrustZone. Knox Vault remplace TrustZone selon Samsung, et la société décrit la différence de la manière suivante dans un article de blog:

À mon avis, TrustZone était un excellent coffre-fort au milieu de la succursale de votre banque. Il y a beaucoup de personnes en qui vous n’avez pas nécessairement confiance lorsqu’elles passent devant le coffre-fort et effectuent un travail quotidien qui ne nécessite pas d’accès physique au coffre-fort. Le processeur sécurisé de Samsung Knox Vault ressemble davantage à Fort Knox: un coffre-fort placé en toute sécurité loin de la banque, isolé de quiconque entre dans la succursale.

Comment fonctionne le Knox Vault de Samsung

Knox Vault étend la sécurité déjà offerte par TrustZone, et les téléphones Samsung du Galaxie S21 et surtout l'avoir. Knox Vault peut :

• Stockez des données sensibles telles que les clés Android Keystore sauvegardées sur le matériel, la clé d'attestation Samsung (SAK), les données biométriques et les informations d'identification blockchain.
• Exécutez du code critique pour la sécurité qui authentifie les utilisateurs avec des délais d'attente croissants entre les échecs et contrôle l'accès aux clés en fonction de l'authentification.

Knox Vault n'est pas seulement une isolation logicielle, c'est un physique isolation du chipset de votre smartphone. Il s'agit d'un processeur indépendant sur le SoC avec un stockage physiquement séparé du reste du SoC. Grâce à cette isolation physique, Knox Vault est même protégé contre les attaques par canal secondaire qui ciblent d'autres logiciels exécutés sur le processeur principal.

L'architecture de Knox Vault

Knox Vault est composé des éléments suivants :

• Sous-système Knox Vault: implémenté dans le cadre du SoC
• Knox Vault Storage: un circuit intégré physiquement extérieur au SoC

Comment Knox Vault se protège des attaques

Si quelqu'un a un accès physique à votre appareil, vous devez agir et vous préparer comme si ce n'était qu'une question de temps avant qu'il n'accède aux données protégées qui y sont stockées. Samsung dit qu'avec Knox Vault, ce n'est pas nécessairement le cas. Il résiste aux attaques matérielles telles que les suivantes :

• Sondage physique pour divulguer des données
• Manipulation physique des circuits pour désactiver les mécanismes de sécurité
• Fuite forcée d’informations
• Attaques matérielles par canal secondaire telles que l'analyse de puissance différentielle pour divulguer des données
• Injection de fautes pour contourner les mécanismes de sécurité.

De plus, le processeur Knox Vault communique avec Knox Vault Storage via un bus I2C (Inter-Integrated Circuit) dédié. Le trafic sur ce bus est crypté et transmis avec un code d'authentification pour empêcher toute écoute clandestine des communications, et ces communications sont également protégées contre les attaques par relecture.

Sous-système Knox Vault

Le sous-système Knox Vault est conçu pour fonctionner séparément des autres composants SoC. Il dispose de son propre environnement de traitement sécurisé composé du processeur Knox Vault, de la SRAM et de la ROM. Il offre également une sécurité et une protection des données améliorées contre diverses attaques matérielles en surveiller l'état du matériel et son environnement à l'aide d'une série de capteurs ou de détecteurs de sécurité y compris:

• Détecteurs de haute et basse température
• Détecteurs de tension d'alimentation haute et basse
• Détecteur de problème de tension d'alimentation
• Détecteur laser

Lorsque le processeur Knox Vault démarre, le code ROM est chargé dans la SRAM. Pendant ce temps, le code ROM charge le firmware du processeur Knox Vault, à l'aide des modules exécutés sur le processeur principal du SoC. La pile logicielle du processeur Knox Vault possède sa propre chaîne de démarrage sécurisée.

Le sous-système Knox Vault comprend également un générateur de nombres aléatoires dédié et son propre moteur Crypto. Le processeur Knox Vault peut accéder à la DRAM système via le gestionnaire de mémoire externe. Cette surveillance ne peut être affectée ou contournée par aucune application sur le processeur Knox Vault, et une intrusion physique lancera une séquence de verrouillage de l'appareil.

Le moteur de chiffrement fournit les fonctions cryptographiques suivantes :

• Cryptage/déchiffrement AES
• Génération de nombres aléatoires DRBG
• Hachage SHA
• Hachage à clé HMAC pour le code d'authentification du message
• Génération et services de clés RSA et ECC

Stockage du coffre-fort Knox

Le Knox Vault Storage est un périphérique de mémoire non volatile dédié qui stocke des données sensibles telles que les suivantes :

• Clés cryptographiques telles que les clés Blockchain et les clés d'appareil
• Données biométriques
• Informations d'authentification hachées

Tout comme le processeur Knox Vault, le stockage est également protégé contre les attaques physiques et par canal secondaire. Il dispose d'un noyau sécurisé pour effectuer les opérations suivantes :

• Exécutez le code ROM
• Fournir des opérations cryptographiques pour les algorithmes à clé publique (RSA, ECC) et l'algorithme SHA avec des bibliothèques de logiciels
• Stockez les données en toute sécurité dans une SRAM et une ROM dédiées

Téléphones Samsung prenant en charge Knox Vault

Knox Vault est pris en charge par certains smartphones et tablettes Samsung Galaxy tels que le Samsung Galaxy S21 et les appareils sortis plus tard dans la série S et la Série pliée. Le niveau de sécurité proposé est conçu pour vous donner une totale confiance dans votre smartphone dans le logement données personnelles, en particulier pour les personnes qui peuvent compter sur leur téléphone pour le stockage de données sensibles ou autres utilisations par l’entreprise.