Команда Android Red Team Google в партнерстве с Arm провела анализ безопасности графического процессора Mali, компонента, используемого в миллиардах устройств Android по всему миру. Целью этого сотрудничества было выявление и исправление уязвимостей в программном обеспечении и прошивке графического процессора. Графический процессор Mali стал критической целью для злоумышленников из-за его сложности и привилегированного доступа к системе, при этом большинство эксплойтов на основе драйверов ядра Android с 2021 года нацелены на графический процессор. Для повышения безопасности команда сосредоточилась на уменьшении поверхности атаки драйвера путем ограничения доступа к определенным GPU IOCTL. Команда использовала SELinux для защиты графического процессора, блокируя доступ к устаревшим и отладочным IOCTL в рабочей среде, в то время как доступ к инструментальным IOCTL разрешался только для инструментов отладки. Подход был развернут поэтапно, начиная с политики "добровольного участия" и переходя к политике "отказа", чтобы минимизировать влияние на разработчиков. Команда также предоставила пошаговые инструкции по реализации надежной политики SELinux для фильтрации GPU ioctl. Основной принцип заключается в создании гибкого макроса на уровне платформы, который позволяет каждому устройству определять свои собственные конкретные списки команд GPU ioctl, подлежащих ограничению. Команда безопасности Android стремится к сотрудничеству с партнерами по экосистеме для более широкого внедрения этого подхода, чтобы помочь защитить графический процессор. За счет уменьшения поверхности атаки этот подход обеспечивает надежную защиту от существующих и будущих уязвимостей, и команда работает над повышением уровня безопасности графического процессора, чтобы обеспечить высокую устойчивость драйвера и прошивки графического процессора Mali к потенциальным угрозам. Партнерство с Arm и использование SELinux сыграли решающую роль в достижении этой цели, и команда намерена продолжать эти усилия по повышению безопасности устройств Android.