¿Está el FDE de Android seguro frente a los ataques sin conexión?

Lo importante a tener en cuenta es que las claves de cifrado reales para el volumen se almacenan en el chip del Entorno de Ejecución Confiable (TEE), que está diseñado para proporcionar un almacenamiento de claves seguro. El objetivo del dispositivo es actuar como un oráculo de encriptación: le das algunos datos, los encripta o desencripta, luego te da el resultado. Esto significa que si saca el chip flash y trata de leerlo directamente, solo obtendrá datos encriptados.

De forma predeterminada, no hay una autenticación directa del usuario al TEE que protege contra un atacante simplemente solicitando que los datos se descifren. Aquí es donde le ayuda agregar un PIN o una frase de contraseña a su teléfono: actúa como un mecanismo de autenticación para el TEE para garantizar que no pueda simplemente pedir que se descifren los datos sin "demostrar" quién es usted.

La frase clave alrededor de la limitación de velocidad es esta:

  

La firma resultante se convierte luego en una clave de longitud adecuada por una aplicación más de scrypt.

El KDF scrypt está diseñado para ser lento y lo suficientemente duro como para que sea difícil de poner en paralelo en plataformas de cómputo comunes (por ejemplo, CUDA). Observe también que dijeron "una aplicación más de scrypt"; el DEK ya se ha transformado a través de scrypt, por lo que no es factible intentar "descifrar" el DEK derivándolo repetidamente contra contraseñas candidatas.

El pasaje que cita explica cómo la clave FDE está protegida contra ataques sin conexión: se deriva de un componente secreto (la clave de firma) que se almacena en un TEE. Un TEE (Trusted Execution Environment) ¹ es un coprocesador seguro (generalmente uno virtual, pero sin embargo está protegido del acceso por el normal Sistema operativo) que tiene acceso exclusivo a algunas claves secretas. Si bien el almacenamiento de Android se puede clonar copiando la memoria flash, las claves TEE se almacenan en una memoria separada dentro del chip que no se puede copiar fuera del dispositivo (al menos no sin ataques físicos en el procesador).

Por lo tanto, en una instalación de Android donde la clave de cifrado está respaldada por TEE (¡muchos no lo están!), no puede descifrar los datos incluso si conoce el PIN, a menos que tenga acceso al dispositivo original (o de alguna manera he logrado extraer las claves del TEE).

contra en línea es un asunto diferente. Con un PIN de 4 dígitos, incluso la regulación no es suficiente; debe bloquear el dispositivo (y normalmente requiere un código de seguridad más largo para desbloquearlo). Esto es lo que sucede con las tarjetas de crédito (basadas en chip) y las SIM de los teléfonos, por ejemplo. Por lo que sé, Android no requiere ningún mecanismo específico de bloqueo o bloqueo, por lo que depende de las implementaciones individuales de TEE (cada fabricante tiene su propia) si la clave de cifrado sigue siendo vulnerable a los ataques en línea.

¹ _{Que, por cierto, no es lo mismo que un TPM.}