Si la partición /system no se cifra nunca (ni siquiera en el cifrado de "disco completo"), ¿cómo se protege?

/boot , /system , /vendor , /vbmeta y ODM Particiones están protegidos por Arranque verificado de Android (AVB). No están encriptadas pero su integridad se verifica durante el arranque. Cualquier modificación de estas particiones detendrá el flujo de arranque y brickear el dispositivo. En este punto, sin el modo EDL, no será capaz de flashear el sistema operativo original para desbloquearlo.

El AVB verifica la imagen de la partición vbmeta utilizando la clave pública del OEM que está codificada en el cargador de arranque de Android (ABL). Entonces se calcula el hash de la imagen de arranque y se compara con el hash almacenado en vbmeta. Una vez verificada la imagen de arranque, el kernel construye el hashtree de cada partición y compara su hash de root con los que están almacenados en vbmeta. De esta manera, sólo protegiendo vbmeta, todas las demás particiones pueden ser verificadas en el arranque.

Para proteger el ABL de la manipulación (por ejemplo, sustituyendo la clave pública del OEM por la propia y renunciando al vbmeta con su clave privada, rompiendo así la cadena de confianza), los fabricantes de chips implementan el arranque seguro. En los dispositivos de Qcom, el cargador de arranque primario (PBL), que se graba en la matriz de la CPU, verifica el cargador de arranque extendido (XBL) utilizando la clave pública de Qcom que se almacena en eFuse. A continuación, el Xtended Bootloader verifica el ABL y el ABL aplica el AVB.

Cuando se desbloquea el bootloader (unlock y unlock_critical), el AVB no se aplica, pero el arranque seguro sigue siendo aplicado por el SoC. Esta cadena de confianza llega hasta el nivel de hardware haciendo inútil cualquier modificación. No hay razón para encriptar las particiones del sistema ya que esas imágenes ya son públicas. Lo que importa es la protección de su integridad.

Una rápida comprobación en la tablet Samsung Galaxy Tab S3 SM-T820 con Android 9 Pie oficial indica que /sistema está cifrado con FDE

:/ $ df -ah
Filesystem                            Size  Used Avail Use% Mounted on
rootfs                                1.5G  9.4M  1.5G   1% /
tmpfs                                 1.7G  1.1M  1.7G   1% /dev
devpts                                   0     0     0   0% /dev/pts
none                                     0     0     0   0% /dev/cpuctl
none                                     0     0     0   0% /dev/cpuset
proc                                     0     0     0   0% /proc
sysfs                                    0     0     0   0% /sys
selinuxfs                                0     0     0   0% /sys/fs/selinux
debugfs                                  0     0     0   0% /sys/kernel/debug
tracefs                                  0     0     0   0% /sys/kernel/debug/tracing
pstore                                   0     0     0   0% /sys/fs/pstore
tmpfs                                 1.7G     0  1.7G   0% /mnt
tmpfs                                 1.7G     0  1.7G   0% /mnt/secure
/dev/block/dm-0                       3.7G  3.5G  245M  94% /system
/dev/block/bootdevice/by-name/apnhlos    0     0     0   0% /system/vendor/firmware_mnt
/dev/block/bootdevice/by-name/modem      0     0     0   0% /system/vendor/firmware-modem
/dev/block/bootdevice/by-name/dsp      12M  4.1M  7.6M  36% /system/vendor/dsp
none                                     0     0     0   0% /acct
none                                     0     0     0   0% /config
/dev/block/bootdevice/by-name/cache   193M  8.8M  184M   5% /cache
/dev/block/bootdevice/by-name/efs      16M  720K   15M   5% /efs
/dev/block/dm-1                        24G   13G   11G  56% /data
/data/knox/secure_fs/enc_user          24G   13G   11G  56% /data/enc_user
/data/knox/secure_fs/enc_media         24G   13G   11G  56% /data/knox/secure_fs/enc_media
tmpfs                                 1.7G     0  1.7G   0% /storage
/data/media                            24G   13G   11G  57% /storage/emulated
/mnt/media_rw/4280-3E71                60G  4.8G   55G   9% /storage/4280-3E71
tmpfs                                 1.7G     0  1.7G   0% /storage/self
:/ $