| 信任根 | 标准 Verified Boot（公钥由谷歌或 OEM 托管） | 额外在 自家 SoC 里烧录 Knox 密钥 + 熔丝位，一旦解锁即触发 Knox 0x1 熔断，永久不可逆 | Samsung 把硬件信任根握在自己手里，且“解锁即丢保”。 |
| 安全启动链 | BootLoader → Kernel → System 逐级校验签名 | Knox Vault + TEEgris 双 TEE，启动链再延伸到 安全元件 SE；启动日志实时回传云端做完整性比对 | Samsung 把启动链拉长到芯片级安全岛，并做云端验证。 |
| 系统级防护 | SELinux + seccomp + 权限沙箱 | 实时内核防护（RKP）：在 TrustZone 里跑一个微型内核，实时拦截 root/调试/注入攻击 | Android 只做静态策略，Samsung 额外做运行时监控。 |
| 数据加密 | FBE（File-Based Encryption）+ CE/DE 密钥分层 | 同 FBE 之上再加 Knox Guard：若设备被标记为丢失，可远程 立即锁死数据分区并强制擦除 | Samsung 把加密与资产管控深度绑定。 |
| 应用隔离 | 标准 Android for Work Profile（沙箱 + 权限） | Knox Workspace：在设备里再开一个 完全独立 的 Android 环境，两套数据、两套策略，企业一键吊销 | Google 的多用户是逻辑隔离，Samsung 是“双系统级”隔离。 |
| 漏洞响应 | 谷歌每月发补丁，OEM 自行推送 | 除谷歌补丁外，Samsung 独立安全策略文件 可 OTA 下发，无需等待完整系统更新 | Samsung 把“策略补丁”与“系统补丁”解耦，响应更快。 |
| 供应链 | 谷歌只认证系统镜像 | Samsung 端到端自研（芯片 → 固件 → OS → 云），工厂环节即写入 Knox 根证书 |
