Шифрование данных в Android: как проверить и настроить защиту

На смартфонах с Android 10 и новее данные во внутренней памяти зашифрованы по умолчанию — пофайловым шифрованием (FBE), которое нельзя отключить. Но надёжность защиты зависит от вас: ключи шифрования привязаны к PIN-коду или паролю экрана блокировки. Ниже — как проверить, что шифрование включено, как настроить блокировку, чтобы оно действительно защищало, и что делать с картой памяти и резервными копиями.

Как устроено шифрование в современном Android

Раньше Android шифровал весь раздел с данными целиком (FDE, Android 5–9): до ввода пароля при загрузке телефон не мог даже показать будильник. С Android 7.0 появилось пофайловое шифрование (FBE), и данные разделились на два хранилища:

• Device Encrypted (DE) — доступно сразу после включения. Здесь живут будильник, входящие звонки и специальные возможности. Этот режим называется Direct Boot.
• Credential Encrypted (CE) — основная часть данных: фото, переписка, данные приложений. Расшифровывается только после первого ввода PIN-кода, графического ключа или пароля.

С Android 9 дополнительно шифруются метаданные файловой системы — размеры файлов, права доступа и другая служебная информация, которую FBE само по себе не скрывает.

Для специалиста. Код экрана блокировки «растягивается» функцией scrypt и через Gatekeeper или Weaver (в защищённой среде) связывается со случайным «синтетическим паролем» пользователя. Из него выводится ключ AES-256-GCM, которым зашифрованы ключи CE-хранилища. Защищённая среда ограничивает число попыток, поэтому перебрать даже короткий PIN-код на отключённом от сети телефоне намного сложнее, чем зашифрованный файл на компьютере.

Что понадобится

• Смартфон или планшет на Android; для полной защиты — Android 10 или новее.
• Несколько минут, чтобы настроить экран блокировки.
• Для проверки через компьютер (необязательно): ADB из пакета Android SDK Platform-Tools и включённая отладка по USB.

Шаг 1. Проверьте, что шифрование включено

В настройках: Настройки → Безопасность → Шифрование и учётные данные (у разных производителей пункт называется по-разному, ищите в поиске по настройкам слово «шифрование»). Должно быть написано «Зашифровано» или «Телефон зашифрован».

Через ADB — точнее, с типом шифрования:

adb shell getprop ro.crypto.state   # encrypted — данные зашифрованы
adb shell getprop ro.crypto.type    # file — пофайловое (FBE), block — старое полнодисковое (FDE)

Если телефон выпущен с Android 9 или раньше и показывает block или «Не зашифровано», включите шифрование в том же разделе настроек (зарядите телефон: процесс займёт до часа) или подумайте о замене устройства — оно не получает обновлений безопасности.

Шаг 2. Настройте экран блокировки

Это главный шаг: от него зависит стойкость шифрования.

1. Откройте Настройки → Безопасность → Блокировка экрана.
2. Выберите пароль (лучший вариант) или PIN-код из 6 цифр и больше. Графический ключ и короткий PIN-код легче подсмотреть.
3. Не используйте даты рождения и простые последовательности вроде 123456.
4. Включите блокировку сразу после выключения экрана: Настройки → Безопасность → Блокировка экрана → значок шестерёнки → Автоблокировка.

Шаг 3. Включите кнопку «Блокировка» и пользуйтесь перезагрузкой

Самое защищённое состояние телефона — сразу после включения, до первого ввода PIN-кода: основные данные ещё не расшифрованы.

• Включите в настройках экрана блокировки параметр «Показывать кнопку блокировки» (Lockdown). Она появится в меню кнопки питания: после нажатия разблокировка по отпечатку и лицу отключается до ввода PIN-кода.
• Если телефон могут забрать (досмотр, оставили без присмотра), выключите его или перезагрузите.
• В 2025 году Google добавил в сервисы Google Play автоматическую перезагрузку телефона, который заблокирован трое суток подряд. Проверьте, есть ли такой параметр в разделе безопасности на вашем устройстве.

Шаг 4. Разберитесь с картой памяти

У SD-карты в Android два режима:

• Внутренняя память (adoptable storage) — карта форматируется и шифруется вместе с устройством; на другом устройстве её не прочитать.
• Портативный носитель — карта не шифруется, файлы читаются на любом компьютере.

Режим выбирается в Настройки → Хранилище → SD-карта → Форматировать как внутреннюю память (пункт есть не у всех производителей). При форматировании все данные с карты удаляются — сначала скопируйте их.

Шаг 5. Защитите резервные копии

• Резервная копия Google с Android 9 шифруется на стороне устройства с использованием кода экрана блокировки — без него восстановить её нельзя. Проверьте, что она включена: Настройки → Google → Резервное копирование.
• Копии, сделанные через сторонние программы на компьютер, обычно не зашифрованы. Храните их на зашифрованном диске.

Проверка результата

• В настройках указано «Зашифровано», ro.crypto.type = file.
• Экран блокировки — пароль или PIN-код от 6 цифр, автоблокировка срабатывает сразу.
• После перезагрузки телефон сначала просит PIN-код, а не отпечаток пальца.
• В меню кнопки питания есть пункт «Блокировка».
• SD-карта либо отформатирована как внутренняя память, либо на ней нет личных данных.

Как защититься от доступа к данным при краже

• Обновляйте систему. Ежемесячные обновления безопасности закрывают уязвимости, через которые обходят блокировку экрана.
• Включите «Найти устройство»: потерянный телефон можно заблокировать или стереть удалённо.
• Не включайте отладку по USB без необходимости и отключайте её после использования.
• Не устанавливайте приложения из неизвестных источников: шифрование не защищает данные от вредоносной программы, работающей на разблокированном телефоне.
• Не оставляйте телефон разблокированным: после первого ввода PIN-кода данные CE-хранилища расшифрованы, пока устройство включено.

Материал подготовлен на основе документации Android Open Source Project и актуален на дату обновления. Названия пунктов настроек различаются у разных производителей и версий Android.

Источник: Android Open Source Project