Android наистина ли е несигурен? Попитахме експертите

Android е най-широко използваната мобилна платформа на планетата. Повече от 1,4 милиарда души използват смартфон или таблет с Android всеки ден и фактът, че е с отворен код и е безплатен за използване от производители, е голяма част от тази популярност. Но откритостта е нож с две остриета: тя доведе до ситуация, при която много телефони с Android не се актуализират редовно с най-новите пачове за сигурност.

Призракът на зловреден софтуер е надвиснал Android за последните няколко години, като изследователите разкриха много големи уязвимости, като Сценична треска. Негативните новини идват толкова плътно и бързо, че може да бъде трудно да се погледнат в перспектива. Само миналата седмица докладвахме за Зловреден софтуер FalseGuide, което може да е засегнало до 1,8 милиона Android потребители.

Ако отидете само в заглавията, ще ви бъде простено, че имате опасения Android сигурност, но къде е границата между хипербола и истински риск? Платформата наистина ли е несигурна?

„Не, не е несигурно. Мисля, че имаме малък проблем с възприятието, но той е много различен от реалния потребителски риск“, Адриан Лудвиг, директор на Android Сигурност, каза Digital Trends в скорошно интервю. „Криптографската работа, която вършим, пясъчната среда, която вършим, и много от работата, за да направим експлоатацията по-трудна, всичко това се съчетава добре.“

Няма съмнение, че най-новите версии на Android са по-сигурни от своите предшественици, но проблемът е, че мн Android потребителите никога не усещат ползата. Поглеждайки назад към 2016 г. в a блог пост, на Android екипът по сигурността призна, че приблизително половината от устройствата, използвани в края на 2016 г., не са получавали актуализация от поне 12 месеца.

„Актуални версии на Google Android може да се счита за сигурно“, каза Майк Моргенщерн, главен изпълнителен директор на организацията за оценка на антивирусни програми AV-Test, пред Digital Trends. „Но особено при много по-възрастни Android версии, се появяват все повече и повече уязвимости и много доставчици не предоставят актуализации за своите устройства. В момента са известни над 800 уязвимости.

Ако погледнем към официални данни за разпространение за Android към април откриваме, че само 4,9 процента от Android устройствата работят с най-новите версии, Nougat 7.0 или 7.1. Това е разочароващо малка част от общия брой. Поглеждайки по-назад, Android 6.0 Marshmallow работи на 31,2 процента от устройствата, Android 5.0 или 5.1, Lollipop, е на 31 процента от устройствата и една пета от Android устройства все още работят Android 4.4 KitKat. Повечето от тези устройства работят с по-стари версии на Android е малко вероятно някога да бъдат актуализирани.

„Осемдесет и четири процента от телефоните не са надстроени, което означава, че повечето мобилни устройства все още са изложени на риск“, Джошуа Дж. Дрейк, вицепрезидент на Platform Research and Exploitation в Zimperium, каза пред Digital Trends.

Zimperium е компания за мобилна сигурност; Дрейк разкри уязвимостта на Stagefright още през 2015 г. Имаше потенциала да даде на хакерите контрол върху Android устройство чрез злонамерен код в аудио или видео файл - и до 95 процента от устройствата са били уязвими към него, според докладите по това време. Дрейк ни каза, че някои устройства са все още уязвими днес.

Въпреки че потенциалните щети бяха плашещи, не е ясно какво е въздействието върху Android потребители беше.

„Изминаха година и половина, почти две години, откакто разбрахме за това, и все още не знаем дали някой наистина е засегнат“, каза Лудвиг.

Но Дрейк не е съгласен.

„Знаем, че е имало целенасочени атаки, използващи уязвимости в libstagefright и mediaserver“, каза той. „Знаем, че е трудно да се докаже отрицателно като цяло и уважаваме усилията на Google да защити по-добре своята платформа, но без сензор на устройството, няма начин някой да разбере състоянието на риска или заплахата на всяко устройство - особено a мобилен."

Проблемът е, че не е лесно да разберете дали сте били успешно атакувани. След откриването на Stagefright охранителната фирма основава Zimperium Handset Alliance за засилване на комуникацията между изследователи, оператори на мобилни мрежи, разработчици на мобилни приложения и доставчици на устройства.

„Изследователите трябва да бъдат насърчавани да разглеждат ежемесечните актуализации на сигурността и да се опитват да използват тези уязвимости, за да насърчат по-добри корекции и като цяло по-безопасен мобилен свят“, каза Дрейк.

Google предприе някои важни стъпки за намаляване на рисковете за сигурността, пускайки месечни корекции и разрушавайки елементи на Android за да улесните изпращането на актуализации. Но по-старите версии на Android са изоставени.

The Проблем с фрагментацията на Android не се решава лесно. Убеждаване на превозвачи и производители да актуализират своите Android устройства се оказа много трудно за Google. Играе директно в ръцете на опозицията. Тим Кук от Apple се позова на a ZDNet статия озаглавен „Android фрагментация, превръщаща устройствата в токсична пекла от уязвимости” на слайд на WWDC през 2014 г. Но наистина ли iOS е толкова по-добър? И ако да защо?

„Има впечатлението, че сигурността на iOS е по-добра от Android сигурност, но това не е непременно така“, каза Дрейк.

защото Android е с отворен код, за изследователите по сигурността е по-лесно да намерят недостатъци и да предложат корекции. Затвореният характер на iOS прави по-трудно за изследователите да видят какво се случва, каза той. Моргенщерн е съгласен с тази оценка, но посочва важна разлика, която прави злонамерения софтуер по-голям риск за Android.

"За Android потребители е лесно да инсталирате приложения от всеки източник“, обяснява Моргенщерн. „Този ​​факт улеснява качването на злонамерени приложения на устройството. Начинът, по който другите платформи се справят с това, е много по-строг, като позволяват инсталации само от техните затворени пазари.

Android е голяма цел. С такава голяма потребителска база и код с отворен код, това е привлекателна плячка за киберпрестъпниците. AV-Test регистрира до 30 000 нови Android проби от зловреден софтуер всеки ден. Това е плашещо число, но тревожно Android потребителите могат да предприемат действия драматично намали рисковете, като се придържате към Google Play за приложения, актуализирате устройства веднага щом се предоставят корекции и използвате приложения за сигурност на Android на трети страни.

И Дрейк, и Моргенщерн също предупреждават да не се свързвате с непознати мрежи и Wi-Fi горещи точки, поне без да използвате прилични VPN приложения за Android.

„Нашите данни показват, че повечето атаки са мрежови по природа и не правят разлика между iOS, Android, или друго“, обяснява Дрейк. „След като нападател тихо е прихванал и пренасочи вашия мрежов трафик, всяко устройство е опасно уязвимо за инвазивно наблюдение, персонализиран подводен риболов, доставка на експлойт на платформа или произволен брой други последващи атаки.

Android сигурността се подобрява. Можем да посочим по-бързи актуализации, криптиране на устройства, заявки за разрешение, тестова среда на приложения за изолиране приложения едно от друго, ограничен достъп до ресурси и автоматично сканиране за зловреден софтуер в Play Магазин. Но очевидно има още работа за вършене.

„Миналата година платихме почти милион долара на изследователи“, каза Лудвиг от Google, попитан за значението на изследванията на трети страни. Но въпреки тази изследователска програма Дрейк смята, че е необходимо повече.

"Да подобря Android сигурността като цяло, за Google е наложително да работи по-тясно с доставчиците на сигурност“, каза той. „Apple и други доставчици увеличиха сътрудничеството си, но Google го намали. Философията на Google е, че те могат да направят всичко сами, но това само вреди на техните потребители и за съжаление облагодетелства авторите на зловреден софтуер.

В крайна сметка въпросът за Android сигурността може да се сведе до устройството, което използвате. Ако имате телефон на две или три години, който работи с по-стара версия на Android и не е актуализиран от месеци, имате причина за безпокойство. Собствениците на Pixel на Google, напротив, получават най-новите актуализации за сигурност навреме, поне за следващите няколко години.

Трудно е да се каже колко време ще мине преди повечето Android устройствата работят с Nougat или по-нова версия на Android, но дори и тогава бавният темп на актуализации от някои производители и оператори ще остане проблем.

„Докато всяка актуализация не достигне до всички устройства, ние все още сме изложени на риск“, каза Моргенщерн.

Можете да намерите още полезни съвети за това как да сте в безопасност на вашия Android телефон в нашия Ръководство за сигурност на Android.

Препоръки на редакторите

• Всъщност опасно ли е излъчването на мобилния телефон? Попитахме някои експерти