Samsung Knox
# Samsung Knox

Samsung Knox es un marco de administración y seguridad patentado preinstalado en la mayoría de los dispositivos móviles de Samsung. Su objetivo principal es proporcionar a las organizaciones un conjunto de herramientas para administrar los dispositivos de trabajo, como los teléfonos móviles de los empleados o los quioscos interactivos. Knox brinda un control más granular sobre el perfil de trabajo estándar para administrar las capacidades que solo se encuentran en los dispositivos Samsung.

Las funciones de Knox se dividen en tres categorías: seguridad de datos, capacidad de administración de dispositivos y capacidad de VPN. Knox también proporciona servicios basados en web para que las organizaciones administren sus dispositivos. Las organizaciones pueden personalizar sus dispositivos móviles administrados configurando varias funciones, incluidas aplicaciones precargadas, configuraciones, animaciones de inicio, pantallas de inicio y pantallas de bloqueo.

A partir de diciembre de 2020, las organizaciones pueden usar cámaras específicas de dispositivos móviles de Samsung como lectores de códigos de barras, usando los servicios de Knox para capturar y analizar los datos.

## Descripción general

Samsung Knox proporciona funciones de seguridad de hardware y software que permiten que el contenido comercial y personal coexista en el mismo dispositivo. Knox integra servicios web para ayudar a las organizaciones a administrar flotas de dispositivos móviles, lo que permite a los administradores de TI registrar nuevos dispositivos, identificar un sistema de administración unificada de puntos finales (UEM), definir las reglas organizacionales que rigen el uso de dispositivos y actualizar el firmware de los dispositivos. Los desarrolladores pueden integrar estas funciones con sus aplicaciones utilizando Knox SDK y REST API.

### Servicios

Samsung Knox proporciona los siguientes servicios basados en web para organizaciones:

* Para administrar dispositivos móviles: Knox Suite, Knox Platform for Enterprise, Knox Mobile Enrollment, Knox Manage y Knox E-FOTA.
* Para personalizar y cambiar la marca de los dispositivos: Knox Configure.
* Para capturar y analizar datos: Knox Capture, Knox Peripheral Management, Knox Asset Intelligence.

La mayoría de los servicios se registran y se accede a ellos a través de las consolas web de Samsung Knox, y se accede a algunos a través del SDK de Samsung Knox.

**Knox Capture**

Knox Capture utiliza la cámara de un dispositivo móvil Samsung para capturar todas las simbologías de códigos de barras principales, como UPC, Código 39, EAN y QR. A través de una consola web, los administradores de TI pueden administrar la configuración de entrada, formato y salida de datos de códigos de barras escaneados y asociar una aplicación de dispositivo (por ejemplo, un navegador de Internet para datos QR).

**Knox Asset Intelligence**

Knox Asset Intelligence ayuda a las organizaciones a mejorar la gestión, la productividad y el ciclo de vida de los dispositivos móviles. A través de una consola web, los administradores de TI pueden monitorear la administración de la batería del dispositivo, la información sobre el uso de la aplicación, el seguimiento integral del dispositivo y el análisis detallado de Wi-Fi.

### Software

**Contenedlr**

Cuando Samsung Knox debutó con el Galaxy S3 en 2013, incluía una función de contenedor patentada que almacenaba aplicaciones y datos sensibles a la seguridad dentro de un entorno de ejecución protegido. Los usuarios de dispositivos pueden cambiar entre aplicaciones personales y comerciales tocando un icono de Knox en la esquina inferior izquierda de la pantalla del dispositivo. El contenedor propietario, más tarde llamado Knox Workspace, fue administrado por organizaciones a través de un sistema UEM.

Luego, Samsung escindió las versiones para el consumidor de la función de contenedor, que no requería un sistema UEM para administrar. Estas versiones para el consumidor incluían Personal Knox, más tarde llamado My Knox a partir de 2014. My Knox fue reemplazado por Secure Folder en 2017.

En 2018, Samsung se asoció con Google para usar su perfil de trabajo de Android para proteger aplicaciones y datos, y en 2019 dejó de usar el contenedor Knox Workspace. Samsung continúa preinstalando Secure Folder en la mayoría de los dispositivos móviles estrella, pero los consumidores deben habilitarla para su uso.

**Protección del núcleo en tiempo real de Samsung (RKP)**

La función Samsung RKP rastrea los cambios del kernel en tiempo real y evita que el teléfono se inicie, además de mostrar un mensaje de advertencia sobre el uso de dispositivos Samsung "no seguros". Esta característica es análoga a Android dm-verity/AVB y requiere un gestor de arranque firmado.

**Mejoras de seguridad para Android (SE para Android)**

Aunque los teléfonos Android ya están protegidos contra códigos maliciosos o exploits por SE para Android y otras funciones, Samsung Knox brinda actualizaciones periódicas que buscan parches para proteger aún más el sistema.

**Arranque seguro (Secure Boot)**

Durante el Arranque seguro, Samsung ejecuta un entorno de prearranque para comprobar si hay una coincidencia de firma en todos los elementos del sistema operativo (SO) antes de arrancar en el kernel principal. Si se detecta un cambio no autorizado, el fusible electrónico se dispara y el estado del sistema cambia de "Oficial" a "Personalizado".

**Otras características**

Samsung Knox incorpora otras características que facilitan el uso empresarial, incluido Samsung KMS (SKMS) para servicios eSE NFC, administración de dispositivos móviles (MDM), administración de certificados Knox (CEP), inicio de sesión único (SSO), contraseña de un solo uso (OTP), gestión de PIN de SIM, firmware por aire (FOTA) y red privada virtual (VPN).

Samsung ha parcheado el kernel para evitar que se otorgue acceso de root a las aplicaciones, incluso después de que el enrutamiento fuera exitoso desde el lanzamiento de Android Oreo. Este parche evita que las aplicaciones no autorizadas cambien el sistema y disuade el rooting.

### Hardware

Knox incluye funciones de seguridad de hardware integradas ARM TrustZone (una tecnología similar a TPM) y una ROM de cargador de arranque. Knox Verified Boot monitorea y protege el teléfono durante el proceso de arranque, junto con la seguridad de Knox integrada a nivel de hardware (introducida en Knox 3.3).

**e-Fuse**

Los dispositivos Samsung Knox usan un e-fuse para indicar si alguna vez se ejecutó una ruta de arranque "no confiable" (que no es de Samsung). El e-fuse se configurará si el dispositivo arranca con un gestor de arranque, kernel, secuencia de comandos de inicialización del kernel o datos que no sean de Samsung. Cuando se establece, aparece el texto "Establecer bit de garantía: <motivo>". Rootear el dispositivo o flashear una versión de Android que no sea de Samsung también establece el e-fuse. Una vez que se configura el e-fuse, un dispositivo ya no puede crear un contenedor Knox Workspace ni acceder a los datos previamente almacenados en un Knox Workspace existente. En los Estados Unidos, Samsung puede utilizar esta información para denegar el servicio de garantía a los dispositivos que hayan sido modificados de esta manera. La anulación de las garantías del consumidor de esta manera puede estar prohibida por la Ley de Garantía Magnuson-Moss de 1975, al menos en los casos en que el problema del teléfono no sea causado directamente por el rooteo. Además de anular la garantía, activar el e-fuse también evita que se ejecuten algunas aplicaciones específicas de Samsung, como Secure Folder, Samsung Pay, Samsung Health y el modo secreto de Samsung Browser. Para algunas versiones anteriores de Knox, es posible borrar el e-fuse actualizando un firmware personalizado.

**Samsung DeX**

Se agregaron opciones para administrar Samsung DeX en Knox 3.3 para permitir o restringir el acceso mediante la plataforma Knox para mayor control y seguridad.

**Samsung Knox TIMA**

La arquitectura de medición de integridad (TIMA) basada en TrustZone de Knox permite el almacenamiento de claves en el contenedor para la firma de certificados mediante la plataforma de hardware TrustZone.

## Menciones de seguridad notables

En junio de 2014, la lista de productos aprobados para uso sensible pero no clasificado de la Agencia de Sistemas de Información de Defensa (DISA) incluía cinco dispositivos Samsung.

En octubre de 2014, un investigador de seguridad descubrió que Samsung Knox almacena los PIN en texto sin formato en lugar de almacenar PIN salteados y cifrados y procesarlos mediante un código ofuscado.

En octubre de 2014, la Agencia de Seguridad Nacional (NSA) de EE. UU.aprobó los dispositivos Samsung Galaxy para su uso en un programa para implementar rápidamente tecnologías disponibles comercialmente. Los productos aprobados incluyen Galaxy S4, Galaxy S5, Galaxy S6, Galaxy S7, Galaxy Note 3 y Galaxy Note 10.1 2014.

En mayo de 2016, los investigadores israelíes Uri Kanonov y Avishai Wool encontraron tres vulnerabilidades en versiones específicas de Knox.

En diciembre de 2017, Knox recibió calificaciones "fuertes" en 25 de 28 categorías en una publicación de Gartner que comparaba la solidez de la seguridad de los dispositivos de varias plataformas.

