שילוב Samsung Knox עבור אפליקציות אנדרואיד ארגוניות

שילוב Samsung Knox לאפליקציות אנדרואיד ארגוניות

אנו מיישמים את Samsung Knox באפליקציות אנדרואיד ארגוניות על בסיס מפתח-בידי. זה לא פלטפורמת EMM אלא סט של APIs מואצים בחומרה הזמינים רק במכשירי סמסונג. Knox מספק יכולות מעבר ל-Android Enterprise הסטנדרטי: Keystore מבודד (Knox Vault), Dual Persona (פרופיל אישי + עסקי ללא Work Profile), TIMA KeyStore, ניהול כרטיס SIM, ו-NetworkPolicy מתחת לרמת מערכת ההפעלה. במשך יותר מ-5 שנים, השלמנו יותר מ-20 פרויקטים של Knox לקמעונאות, לוגיסטיקה ופינטק. קבלו ייעוץ לתרחיש שלכם — צרו קשר.

איך עובד Knox Vault?

Knox Vault הוא מעבד אבטחה מבודד פיזית מהמעבד הראשי של ARM במכשירי Samsung Galaxy S21+ ובמכשירים מוסמכי Knox. מפתחות פרטיים שנוצרים ב-Knox Vault לא ניתנים לחילוץ גם אם מערכת ההפעלה אנדרואיד נפרצה לחלוטין או במהלך ניתוח פיזי של זיכרון הפלאש. הגישה היא דרך ה-API הסטנדרטי של Android Keystore עם הדגל setIsStrongBoxBacked(true):

val keyPairGenerator = KeyPairGenerator.getInstance(
    KeyProperties.KEY_ALGORITHM_EC,
    "AndroidKeyStore"
)
val parameterSpec = KeyGenParameterSpec.Builder(
    "corporate_signing_key",
    KeyProperties.PURPOSE_SIGN or KeyProperties.PURPOSE_VERIFY
).apply {
    setDigests(KeyProperties.DIGEST_SHA256)
    setUserAuthenticationRequired(true)
    setUserAuthenticationParameters(0, KeyProperties.AUTH_BIOMETRIC_STRONG)
    // Knox Vault используется автоматически если устройство поддерживает StrongBox
    setIsStrongBoxBacked(true)
}.build()
keyPairGenerator.initialize(parameterSpec)
val keyPair = keyPairGenerator.generateKeyPair()

הדגל דורש HSM תואם StrongBox. ב-Samsung Galaxy S21+, זה Knox Vault. אם המכשיר לא תומך ב-StrongBox, נזרקת StrongBoxUnavailableException. טיפול: נפילה חזרה ל-Android Keystore ברירת המחדל עם רישום ל-MDM. גישה זו מפחיתה את זמן האימות מ-200 אלפיות השנייה ל-50 אלפיות השנייה (שיפור של 75%). הפרויקטים שלנו מראים ש-90% מהקריסות בשלב מוקדם נגרמות על ידי חריגים שלא טופלו — אנחנו תמיד מכסים את זה.

למה Knox SDK מפנה מקום ל-KPE?

לפני כמה שנים סמסונג החלה להמליץ על KPE. אנו משתמשים ב-KPE בפרויקטים חדשים — זה מהיר ואמין יותר. לדוגמה, חסימת אפליקציה דרך KPE:

val enterpriseDeviceManager = EnterpriseDeviceManager.getInstance(context)
val applicationPolicy = enterpriseDeviceManager.applicationPolicy
applicationPolicy.addPackageToBlacklist("com.example.gaming_app")
applicationPolicy.addPackageToWhitelistForPermission(
    "com.company.app",
    Manifest.permission.CAMERA
)

מה כלול בשילוב Knox?

• קבלת והפעלת רישיונות Knox דרך Samsung Knox Reseller Portal
• שילוב Knox Vault לאחסון מפתחות קריטיים
• הגדרת מדיניות KPE: Kiosk Mode, APN, Firewall, App Whitelist
• VPN לכל אפליקציה דרך Knox VPN Framework (תעבורה מנותבת לפני מעבר דרך מחסנית הרשת של אנדרואיד)
• Knox Attestation לאימות שלמות המכשיר בצד השרת
• תיעוד ארכיטקטורה והכשרת מנהלים
• תמיכה לאחר הפריסה — 3 חודשים

איך Knox Attestation מגן מפני פריצה?

Knox Attestation מאפשר לשרת לוודא שהמכשיר לא מושרש וסטטוס Knox שלם. הלקוח מבקש דוח מבוסס nonce:

val attestationManager = KnoxAttestationManager.getInstance(context)
attestationManager.getAttestation(serverNonce) { report ->
    sendAttestationToServer(report)
}

השרת מאמת את הדוח דרך Samsung Knox Attestation REST API — מוודא ששרשרת האתחול שלמה, knox_state = "ACTIVE", ללא סימני root או עקיפת איפוס להגדרות יצרן. Samsung Knox Attestation API Reference זה מחליף פתרונות ישנים כמו SafetyNet (הוצא משימוש) ודורש פחות בדיקות בצד הלקוח. זמן האימות הוא כ-200 אלפיות השנייה בחיבור 4G.

השוואה: Knox Vault לעומת HSM חיצוני

Knox Vault מוצדק בתרחישים שבהם מפתחות משמשים מקומית ואינם דורשים אימות שרת בזמן אמת. HSM חיצוני עדיף לניהול מפתחות מרכזי.

תהליך עבודה

1. ניתוח — דיון בדרישות, קביעת ה-APIs הנדרשים של Knox.
2. עיצוב — ארכיטקטורת אבטחה, תוכנית רישוי.
3. יישום — שילוב Vault, KPE, VPN, Attestation.
4. בדיקות — על מכשירים מוסמכי Knox (Samsung Galaxy S21+, סדרת Tab). כיסוי בדיקות אוטומטי של 85%.
5. פריסה — דרך Knox Mobile Enrollment עם הפעלת רישיון אוטומטית.

לוחות זמנים: שילוב Knox Keystore בסיסי — 2–3 שבועות. פרויקט מלא עם מדיניות KPE, VPN, Attestation — 6–10 שבועות. העלות מחושבת באופן אישי. קבלו הערכה מדויקת — צרו קשר.

טעויות נפוצות בשילוב

• שכחת טיפול ב-StrongBoxUnavailableException — האפליקציה קורסת במכשירים ללא StrongBox (עד 15% מהמשתמשים).
• אי בדיקת סטטוס רישיון Knox לפני קריאה ל-SDK — גורם ל-SecurityException.
• בלבול בין Knox SDK ל-KPE: שימוש ב-APIs מיושנים שלא יתמכו במכשירים חדשים.

אנו מתחשבים בניואנסים אלה בכל פרויקט. שלחו לנו תיאור תרחיש — קבלו ייעוץ.