
Samsung Knox - це власницький програмний фреймворк, що надає функції безпеки та керування, що попередньо встановлювана на більшості пристроїв Samsung. Використовується для реалізації зашифрованого безпечного простору для захисту особистої та корпоративної інформації. Назва «‎Samsung Knox» походить від назви «Fort Knox», що вважається одним з найбільш захищених військових баз у світі.

Огляд
Samsung Knox має апаратні та програмні функції захисту, які надають можливості співіснувати корпоративному та особистому контенту на одному пристрої. Knox інтегрує вебсервіси, щоб допомоги організаціям в керуванні мобільними пристроями, що дозволяє системним адміністраторам реєструвати нові пристрої, ідентифікувати систему Unified Endpoint Management (UEM), визначати організаційні правила, які регулюють використання пристроїв та оновлювати прошивки пристроїв "по повітрю". Розробники можуть інтегрувати ці функції зі своїми додатками за допомогою Knox SDK і REST API.

Сервіси
Samsung Knox надає наступні вебсервіси для організацій:

* Для керування мобільними пристроями: Knox Suite, Knox Platform for Enterprise, Knox Mobile Enrollment, Knox Manage та Knox E-FOTA
* Для налаштування та ребрендингу пристроїв: Knox Configure
* Для збору та аналізу даних: Knox Capture, Knox Peripheral Management, Knox Asset Intelligence

Більшість служб реєструються та отримують доступ через вебконсолі Samsung Knox, а деякі - через Samsung Knox SDK.

=Knox Capture=
Knox Capture використовує камеру мобільного пристрою Samsung для захоплення всіх основних символів штрих-коду, таких як UPC, Code 39, EAN та QR. За допомогою вебконсолі системні адміністратори можуть керувати введенням, форматуванням і конфігурацією виводу просканованих даних штрих-коду, а також пов'язувати додаток пристрою (наприклад, інтернет-браузер для QR-даних).

=Knox Asset Intelligence=
Knox Asset Intelligence допомагає організаціям покращити керування, продуктивність та життєвий цикл мобільних пристроїв. За допомогою вебконсолі системні адміністратори можуть контролювати стан акумулятора пристрою, інформацію про використання додатків, комплексне відстеження пристроїв та детальну аналітику Wi-Fi.

Програмна частина

Контейнер
Коли Samsung Knox дебютував з Samsung Galaxy S III 2013 року, він включав власну функцію контейнера, яка зберігала чутливі до безпеки програми та дані в захищеному середовищі виконання. Користувачі пристроїв могли перемикатися між особистими та бізнес-додатками, натискаючи піктограму Knox у нижньому лівому куті екрана пристрою. Власний контейнер, пізніше названий Knox Workspace, управлявся організаціями через систему UEM.

Потім Samsung випустила споживчі версії функції контейнера, для управління якими не потрібна система UEM. Ці споживчі версії включали Personal Knox, пізніше названий My Knox, починаючи з 2014 року. My Knox був замінений на Secure Folder 2017 року.

2018 року Samsung співпрацював з Google, щоб використовувати свій робочий профіль Android для захисту програм та даних, а 2019 року застарів контейнер Knox Workspace. Samsung продовжує попередньо встановлювати Secure Folder на більшості флагманських мобільних пристроїв, але користувачі повинні увімкнути її для використання.

Samsung Real-Time Kernel Protection (RKP)
Samsung RKP відстежує зміни ядра в режимі реального часу. Ця функція є аналогом Android dm-verity/AVB і вимагає підписаного завантажувача.

Посилення безпеки для Android
Хоча телефони Android вже захищені від шкідливого коду або експлойтів за допомогою SE для Android та інших функцій, Samsung Knox надає періодичні оновлення, які перевіряють наявність виправлень для подальшого захисту системи.

Захищений запуск
Під час безпечного завантаження Samsung запускає середовище попереднього завантаження, щоб перевірити збіг підписів на всіх елементах операційної системи (ОС) перед завантаженням в основне ядро. При виявленні несанкціонованої зміни спрацьовує електронний запобіжник і статус системи змінюється з "Офіційна" на "Неофіційна".

Інші функції
Деякі інші функції, які полегшують корпоративне використання, включені в Samsung Knox, в тому числі: Samsung KMS (SKMS) для служб eSE NFC,  (MDM), управління сертифікатами Knox (CEP), Single sign-on (SSO), управління PIN-кодом SIM-карти, оновлення прошивки по повітрю (FOTA) і віртуальна приватна мережа (VPN).

Після виходу Android Oreo компанія Samsung виправила ядро, щоб запобігти наданню root-доступу до додатків навіть після успішного вкорінення. Цей патч запобігає зміні системи несанкціонованими програмами та перешкоджає в отримані root-прав.

Апаратна частина
Samsung Galaxy S10e з root правами та eFuse запобіжником, що спрацював.
Knox містить в собі апаратні засоби захисту, такі як ARM TrustZone (технологія, подібна TPM) та . Knox Verified Boot відстежує та захищає телефон під час запуску, а також захищає його на апаратному рівні (введена в Knox 3.3).

eFuse
На пристроях Samsung, Knox використовує eFuse, який фіксує, чи була в системі несанкціоновані зміни. Якщо Knox виявляє, що на пристрій встановлено сторонній завантажувач, ядро або користувач отримав root права, відбувається зміна одноразового програмованого "гарантійного біта", що можна порівняти з перегорілим запобіжником. Після цього вже неможливо сплачувати покупки через Samsung Pay, створювати безпечне середовище або отримувати доступ до даних, раніше збережених у ньому. Цю інформацію може використовувати компанія Samsung для відмови в гарантійному обслуговуванні пристрою. На деяких пристроях можливо деактивувати лічильник, застосувавши до пристрою заводську прошивку.

Samsung DeX
В Knox 3.3 були додані опції для керування , щоб дозволити чи обмежити доступ за допомогою Knox, для додаткового контролю та безпеки.

Samsung Knox TIMA
Архітектура вимірювання цілісності (TIMA) на основі TrustZone від Knox дозволяє зберігати ключі в контейнері для підписання сертифікатів з використанням апаратної платформи TrustZone.

Безпека
У червні 2014 року до переліку схвалених  (DISA) продуктів для чутливого, але несекретного використання увійшли п'ять пристроїв Samsung.

У жовтні 2014 року дослідник безпеки виявив, що Samsung Knox зберігає PIN-коди у вигляді простого тексту, замість того, щоб зберігати солоні та хешовані PIN-коди.

У жовтні 2014 року Агентство національної безпеки США (АНБ) схвалило пристрої Samsung Galaxy для використання в програмі швидкого розгортання комерційно доступних технологій. Схвалені продукти включають Samsung Galaxy S4, Galaxy S5, Galaxy S6, Galaxy S7, Galaxy Note 3 і Galaxy Note 10.1 2014 р..

У травні 2016 року ізраїльські дослідники Урі Канонов та Авішай Вул знайшли три уразливості в певних версіях Knox.

У грудні 2017 року Knox отримав "сильні" рейтинги у 25 з 28 категорій в публікації Gartner, що порівнює захищеність пристроїв на різних платформах.

Військова галузь
Samsung створила спеціальну версію смартфона Samsung Galaxy S20 Tactical Edition для потреб армії. Пристрій має корпус «джаггернаут» та підтримку Samsung Knox.

Примітки



