10.1 Concepto de Play en sandbox: sin privilegios de sistema

Definición y propósito

En GrapheneOS, el concepto de “Play en sandbox” hace referencia a la ejecución de la
infraestructura de Google Play Services y la tienda de aplicaciones (Google Play Store)
dentro de un perfil completamente aislado del sistema principal. A diferencia de las
implementaciones clásicas en Android, esta aproximación carece de privilegios de sistema,
garantizando un nivel de restricción y contención muy superior.

Motivaciones de seguridad y privacidad

• Aislamiento estricto: Al no disponer de permisos de sistema,
  todos los componentes de Play Services operan en un contenedor independiente que
  impide el acceso directo a recursos sensibles del dispositivo.
• Minimización de la superficie de ataque: Cualquier vulnerabilidad
  dentro de Google Play Services no podrá propagarse fuera del sandbox, reduciendo
  significativamente el riesgo de compromisos a nivel de sistema.
• Protección de datos personales: Las aplicaciones instaladas a través
  de este perfil no comparten automáticamente datos, contactos o registros de llamadas
  con el sistema principal, fortaleciendo la privacidad del usuario avanzado.

Arquitectura de aislamiento

1. Perfil de trabajo aislado:

   Se crea un perfil dedicado (Work Profile) gestionado por un administrador de políticas de
   Android Enterprise. Este perfil actúa como un dominio separado, con su propio UID range y
   espacio de almacenamiento.

2. Contenedor SELinux independiente:

   Cada componente de Play Services y de Play Store se etiqueta con dominio SELinux específico,
   evitando que realice llamadas o acceda a ficheros ajenos al perfil.

3. UIDs únicos y permisos manufacturados:

   En lugar de compartir el UID de sistema, cada servicio obtiene un UID único asignado,
   al que se le conceden únicamente los permisos estrictamente necesarios para su funcionamiento.

Componentes principales

• Play Store (com.android.vending):

  Interfaz de catálogo, descarga y actualización de aplicaciones. Opera sin
  privilegios elevados y se comunica vía Binder con Play Services, pero siempre
  dentro del mismo sandbox.

• Play Services Framework (com.google.android.gms):

  Biblioteca central para autenticación, notificaciones push y métricas. Su alcance
  se limita al perfil de trabajo.

• Google Account Manager:

  Manejador de credenciales de usuario. En el entorno sandbox, no tiene visibilidad
  de cuentas del sistema principal y almacena tokens cifrados en el contenedor aislado.

Ventajas de la aproximación sandbox

• Segregación de datos: Los datos de aplicaciones instaladas mediante Play
  no se mezclan con las del usuario principal, reduciendo posibles fugas de información.
• Facilidad de desactivación: Si el usuario decide retirar el perfil
  sandbox, basta con deshabilitar el perfil de trabajo no quedan huellas en la
  partición del sistema principal.
• Actualizaciones seguras: Las actualizaciones de Play Services se
  envían de forma incremental y cifrada, sin necesidad de flashear la imagen del sistema.
• Control granular de permisos: Cada app dentro del perfil solo recibe
  los permisos que explícitamente autorice el usuario, sin privilegios ocultos.

Limitaciones y consideraciones

1. Rendimiento:

   La capa adicional de aislamiento puede introducir un ligero sobrecoste de CPU y
   latencia en la comunicación inter-proceso.

2. Compatibilidad:

   Algunas aplicaciones que dependen de APIs de sistema o de integración profunda
   con el framework Android podrían no funcionar correctamente dentro del sandbox.

3. Gestión de almacenamiento:

   Cada perfil dispone de su propio espacio. El usuario debe supervisar el consumo
   para evitar duplicar datos en la partición de usuario y en el perfil de trabajo.

Flujo de instalación y autorización

1. Creación del perfil:

   El sistema, mediante un comando ADB o la interfaz de configuración de GrapheneOS,
   genera un perfil laboral aislado.

2. Instalación de Play Services:

   Se despliega el paquete microG o la imagen oficial de Google Play, según preferencia
   del usuario avanzado, directamente dentro del perfil.

3. Sincronización de cuenta:

   El usuario añade su cuenta de Google al perfil, que queda cifrada y aislada del
   sistema principal.

4. Despliegue de apps:

   Todas las descargas y actualizaciones se gestionan desde el Play Store sandboxeado,
   respetando las políticas de seguridad de GrapheneOS.

Mejores prácticas para usuarios avanzados

• Mantener actualizado el perfil de trabajo con parches de seguridad.
• Revisar periódicamente los permisos de cada aplicación instalada en el sandbox.
• Emplear herramientas de monitorización para analizar tráfico y detectar comportamientos
  anómalos.
• Utilizar perfiles separados para tareas de alto riesgo y así evitar la contaminación
  cruzada de datos.