Tentokrát se podíváme na zub velmi specifickému telefonu. IntactPhone R2 od izraelské bezpečnostní společnosti Communitake cílí na skupinu zákazníků, kteří si nade vše cení ochrany soukromí a zabezpečení dat. Typickými kupci IntactPhone R2 jsou armádní složky a státní subjekty z nejvyšších pater, ale také užší vedení soukromých společností podnikajících v rizikových sektorech, nebo celebrity všeho druhu.
Bezpečnosti a odolnosti je u tohoto telefonu podřízeno všechno od designu po unikátní uzavřený operační systém. Communitake přebírá výrobu telefonu od prvotního oživení hardwaru, nahrání zabezpečeného boot-loaderu a prvních ovladačů. Poté přichází instalace vlastního IntactOS, zabezpečujícího přístup do zabezpečeného ekosystému IntactPhone. Díky tomu je telefon od počátku chráněn proti vytvoření backdooru a neautorizovaným změnám OS.
Je pochopitelné, že extrémní míra zabezpečení s sebou nutně přináší určitá omezení uživatelského komfortu. Jak se tedy žije s takovým telefonem? Lze vůbec takzvaný „hardened phone“ používat jako hlavní zařízení? Nebo jde skutečně o kanón na vrabce, který majitel vytáhne jednou za měsíc, když je opravdu třeba udržet komunikaci chráněnou?
Design
Od telefonu s krytím IP68 (1 metr pod vodou po dobu 30 minut) a armádním standardem by asi nikdo nečekal bezrámečkový displej nebo prosklená záda, jako je to dnes módní v hlavním smartphonovém proudu. Přesto se dá říct, že patří IntactPhone R2 v rámci své třídy mezi designově povedené telefony. V ostře řezaných plochách, které se roztahují skutečně daleko od okrajů 5" displeje, najdou zalíbení třeba fandové ikonického HMMWV „Humvee“.
Ale vážně – zpracování telefonu je na skvělé úrovni. Kvůli odolnosti je tělo IntactPhone R2 celokovové, absorbovat nárazy a udržet telefon v ruce pomáhají pogumované plochy s povrchovou texturou. Displej chrání Corning Gorilla Glass 3, široké nárazové plochy okolo mu dávají solidní šanci přežít bez úhony i divočejší pády.
Ochranným sklem displeje jsou překryta také tři senzorová tlačítka s podsvícením. Na horní hraně displeje si našla místo přední 8Mpx kamera, která umožňuje odemykání zařízení rozpoznáním obličeje. Nechybí ani senzor okolního světla či přiblížení a notifikační dioda.
Boky telefonu jsou kvůli jeho nezanedbatelné tloušťce skutečně masivní, což dovolilo výrobci integrovat do toho pravého i čtečku otisků prstů. Ta se o prostor dělí s vypínačem a tlačítkem spouště fotoaparátu. Ovládání hlasitosti a multifunkční tlačítko, o němž si povíme více v kapitole Software, našly místo na levém boku přístroje.
Žádný obr (na poměry obrněnců)
Záda telefonu jsou pro zaručení pevného úchopu pogumovaná po celé ploše s výjimkou kovového kříže v horní části. V tom se skrývá 16MPx kamera s jednou přisvěcovací diodou. Čtveřice přiznaných šroubků v kovovém kříži není samoúčelná. Kvůli zajištění krytí IP68 bylo nutné utěsnit všechny uživatelsky přístupné otvory, kovový plát s gumovým těsněním tudíž zpřístupňuje sloty pro karty.
IntactPhone R2 je plnohodnotný DualSIM telefon, pod krytem proto najdete dva sloty pro nanoSIM karty a samostatný slot na microSD kartu. Telefon se obejde bez otravných gumových krytek pro 3,5mm jack.
Na chvíli se ještě zastavme u velikosti: s rozměry 156 × 79 × 13 mm se nedá mluvit o kompaktním telefonu, zato jej však nikde nezapomenete. Chybějících bezmála 250 gramů v kapse totiž jistě poznáte. Na druhou stranu nejde v kategorii odolných telefonů o žádný úlet. Vše navíc vynahradí masivní 4200 mAh baterie, která hravě strčí do kapsy většinu vlajkových lodí z běžného segmentu.
Displej
Displeji s 5" úhlopříčkou a FullHD rozlišením není co vytknout. Dodavatelem je osvědčený Sharp, takže se není třeba bát o věrnost podání barev, ani o pozorovací úhly a čitelnost na slunci. Svižně reagující senzor okolního světla chytře pracuje s jasem displeje a pomáhá tak šetřit baterii. S rastrem 441 PPI by neměl mít problém ani uživatel s ostřížím zrakem, grafika i písmo vypadají na displeji bezvadně.
Vzhledem k zařazení telefonu není překvapením, že displej dobře reaguje i na vlhké prsty. Bezproblémově jej lze používat za dešťové či sněhové přeháňky – bez toho by ostatně jeho voděodolnost pozbývala smysl.
Hardware
Srdcem telefonu je osmijádrový čipset MediaTek Helio P20, kterému sekunduje solidní porce 6 GB operační paměti, což je slušný základ pro svižný chod telefonu. Jistě pomáhá i fakt, že je operační systém Intact odladěný přímo na míru tomuto hardwaru. Ani při náročnosti aplikací, které neustále v IntactPhone R2 běží, se nám nepodařilo dostat hardware na limit výkonu.
Základní úložiště o velikosti 64 GB je vzhledem k určení telefonu naprosto dostačující. Vzhledem k tomu, že IntactPhone R2 podporuje instalaci pouze autorizovaných a dodatečně zabezpečených aplikací z vlastního Store, dostanete z výroby zcela čistý mobil bez bloatwaru. V případě potřeby je kapacita jednoduše rozšiřitelná microSD kartou.
Ta má v telefonu vyhrazený slot, takže i s ní zůstávají dva volné sloty pro nanoSIM, oba přitom podporují LTE. IntactPhone R2 nechybí nic, co byste od telefonu v dané cenové třídě čekali. Samozřejmostí je Wi-Fi 802.11b/g/n i Bluetooth 4.0, NFC sekunduje Hotknot a GPS zase Glonass.
Už v první kapitole jsme zmiňovali obří 4200mAh baterii, kterou si telefon může dovolit díky nemalé tloušťce. Při rozumném nastavení služeb na pozadí (zejména vzdálené správy a zálohování) není problém přežít s IntactPhone R2 tři dny bez nabíječky. A to je v dnešní době úctyhodný výkon. Z nuly na plnou kapacitu baterie se telefon dostane do 3 hodin, 80 % nabití zvládne pod 2 hodiny.
Software
Nyní se konečně dostáváme k jádru věci. Co (s výjimkou nuly navíc v cenovce) odlišuje IntactPhone R2 od telefonu se srovnatelnou stavbou a hardwarovou výbavou? Je to právě unikátní software od izraelské společnosti Communitake.
Při prvním uchopení telefonu je operační systém IntactOS uživatelsky podobný Androidu, zarazí snad jen netradičním pojetí launcheru s atypickými funkcemi. Z jádra Androidu systém také vychází, je však značně upravený. Pro zajištění požadované míry zabezpečení bylo nutné systém výrazně upravit a zbavit jej všech služeb třetích stran, počínaje sortimentem společnosti Google.
Je nutno říci, že toto řešení jde daleko za hranice běžného Androidu osazeného různými zabezpečovacími prvky, jako jsou aplikace pro šifrovanou komunikaci, antivirový program či různý Mobile Device Management. IntactOS vsází na systém zabezpečení, který začíná ochranou na úrovni firmware a prostupuje až k uživatelské vrstvě. V následujících řádcích se tento systém pokusíme popsat s ohledem na nejdůležitější prvky, neboť komplexní rozbor by vydal na knihu.
Zabezpečení hardwaru a dat
Proces výroby začíná dodáním hardware výrobcem do společnosti Communitake. Teprve zde, v zabezpečeném prostředí, je hardware oživen a začíná proces nahrávání ROM. Během toho probíhá validace důvěryhodnosti hardwaru a integrity instalovaného softwaru. Díky tomu je vyloučeno, aby byl během výrobního procesu vytvořen backdoor ze strany subdodavatele. Ve sféře průmyslové (a jiné) špionáže se totiž u běžných smartphonů využívá právě tohoto úseku výrobního procesu ke kompromitaci zařízení.
IntactOS je ve výsledku pevně svázán s hardwarem, na kterém naopak není možné zavést neautorizovaný operační systém. To samé platí pro aplikace – ty podléhají plné kontrole výrobce a prověřené verze těch nejpoužívanějších (WhatsApp, Signal, kancelářské balíky apod.) je možno instalovat pouze z IntactStore. Aktualizace probíhají formou Firmware-over-the-air (FOTA) v rámci ekosystému IntactOS bez možnosti kompromitace třetí stranou či uživatelem samotným. Nad aplikacemi a soubory bdí antimalware od společnosti Sophos (neotravuje se zbytečnými hláškami, při běžném používání jej ani nepostřehnete).
Takto položená první vrstva zabezpečení dovoluje pokročilé ovládání i vzdálenou správu telefonu. Právě pokročilá granulární správa prostředků zařízení je další velkou zbraní IntactOS. Ve zkratce jde o možnost zcela deaktivovat používání prostředků, které mohou sloužit k získání dat ze zařízení. Je tak možné blokovat mikrofon, fotoaparáty, konferenční hovory, přístup k datům v zařízení, pořizování snímků obrazovky, použití USB portu atd.
Vaše data v IntactPhone R2 jsou navíc vynuceně šifrována a chráněna heslem. To je ostatně vyžadováno pro jakékoliv změny v systému (např. instalace aplikací) a volitelně i pro přístup k aplikacím a službám. K samotnému odemčení telefonu pak ale stačí využít komfortního biometrického klíče – otisku prstu. Při běžném používání tak uživatel nijak netrpí.
Zabezpečení komunikace proti odposlechu
Alfu i omegu zabezpečeného telefonu bez debat představuje ochrana komunikace. Ta je zde zajištěna robustní platformou, realizující veškerá spojení přes trvalou VPN do sítě Intact. K telefonování i zasílání zpráv jsou tedy využívány datové linky, nikoliv (snadno odposlouchávatelné) kanály hlasové. Použito je šifrování AES 256/RSA 2048, které v současnosti představuje dostatečnou záruku bezpečnosti i pro armádní a zpravodajské složky po celém světě.
Pokud jde o komunikaci mezi dvěma Intact zařízeními, je zajištěno end-to-end šifrování hovorů i zpráv. To (zjednodušeně řečeno) znamená, že dešifrovací klíč vlastní pouze volaný a volající, zatímco provozovatel sítě nemá k obsahu hovoru či zprávy přístup. Nelze ani zjistit, kdo jsou účastníci hovoru. V případě volání z IntactPhone na běžné číslo je tato komunikace zabezpečena na půl voláním s přesměrováním přes PBX – v případě odposlechu druhého volaného běžného telefonu nelze zjistit identitu účastníka s IntactPhonem.
Z pohledu uživatele ale vše probíhá podobně jako u běžného telefonu. Zajímavé je sledovat chování telefonu v sítích. Měli jsme možnost shlédnout demonstraci připojení IntactPhone do nezabezpečené WiFi sítě, z níž se útočník pokoušel manipulovat pro přesměrování datového toku přes svůj server. Telefon okamžitě upozorňuje uživatele na podezřelou aktivitu (ARP spoofing) a v případě setrvání problému se od sítě odpojí. Bez zásahu uživatele tak dokáže předcházet kompromitaci zabezpečení přenášených dat.
Ještě zajímavější je však tato funkcionalita v kontextu klasické mobilní sítě. IntactPhone aktivně sleduje anomálie v síti, jako jsou neautorizované konferenční hovory, příchozí binární SMS, žádosti o sdělení ID či polohy zařízení, a také nedůvěryhodné BTS. Díky tomu dokáže IntactPhone bez zásahu uživatele odvracet útoky využívající zranitelnosti GSM sítě, ale také útoky takzvanými IMSI catchery.
Na samostatný článek by vydal jen nastavení firemních politik a vzdálené správy telefonu (smazání v případě ztráty či ohrožení, nalezení, obnovení či automatické opravy).
Funkcí, které zabezpečují naprostou ochranu soukromí i dat uživatele IntactPhone, je samozřejmě mnohem více. Doufám však, že tento článek posloužil alespoň k nahlédnutí do světa hardened phones a získání představy o tom, čím se liší od běžného telefonu.
IntactPhone R2 ve zkratce
- Rozměry: 156 × 79 × 13,2 mm, 243 g
- Displej: 5'', kapacitní IPS LCD, 1 080 × 1 920, 441 PPI, 16 mil. barev
- Sítě: GSM, WCDMA, GPRS, EDGE, HSPA (42,2|5,76 Mb/s), LTE (300|50 Mb/s)
- Konektivita: USB Type-C, Wi-Fi 802.11 b/g/n, Bluetooth 4, GPS, NFC + HotKnot
- Paměť a baterie: 64 GB, microSDXC (256 GB), RAM: 6 144 MB, baterie: 4 180 mAh
- Procesor: Mediatek MT6757 (Helio P20) (8× Cortex-A53, 2,3 GHz, 16nm)
- OS: IntactOS
- Fotoaparát: 16 MPx (4 640 × 3 480), video (1 920 × 1 080), blesk + 8 MPx přední
- Další údaje: krytí IP68, senzor polohy, gyroskop, senzor okolního světla, senzor přiblížení, snímač otisků prstů, dual SIM
V ceně cifra navíc
Testování IntactPhone R2 bylo rozhodně zajímavou zkušeností. Vzhledem k ceně a třídě odolnosti telefonu jsme se neobávali ani tak hardwarové stránky, jako spíše naprosté nepoužitelnosti operačního systému. Nakonec se však ukázalo, že uživatelské prostředí odpovídá potřebám cílové skupiny.
Tou pochopitelně není člověk, který denně nahraje 20 fotek na Instagram (upřímně, existují lepší fotoaparáty), nebo sjíždí nejnovější mobilní hry. Pokud však chcete s IntactPhone R2 rychle vyřídit svou denní agendu, a především vždy komunikovat bez obav o soukromí, nebude vás IntactOS nijak omezovat. Celý systém pracuje naprosto hladce, což je až zarážející, když vezmeme v potaz, co všechno se odehrává na pozadí.
Navíc není problém do telefonu doinstalovat vše, co je nutné pro pohyb v dnešním digitálním světě – aplikacemi pro instant messaging počínaje a kancelářskými balíky konče. Po troše laborování s prvotním nastavením tak má uživatel v kapse všestranný pracovní nástroj s třídenní výdrží a vysokou odolností proti nástrahám okolního prostředí.
IntactPhone R2 k recenzi zapůjčila společnost EO Security s.r.o., která jej prodává za 69 000 Kč (bez DPH). Společnost se zabývá komplexní ochranou proti odposlechu, vyhledáváním odposlechů a zabezpečením dat proti krádeži a zneužití.
Tento článek je součástí balíčku PREMIUM+
Odemkněte si exkluzivní obsah a videa bez reklam na devíti webech.
Vyzkoušet za 1 Kč
Nebo samostatné Živě Premium
