Είναι το Android πραγματικά ανασφαλές; Ρωτήσαμε τους ειδικούς

Το Android είναι η πιο ευρέως χρησιμοποιούμενη πλατφόρμα για κινητά στον πλανήτη. Περισσότεροι από 1,4 δισεκατομμύρια άνθρωποι χρησιμοποιούν ένα smartphone ή tablet Android κάθε μέρα και το γεγονός ότι είναι ανοιχτού κώδικα και δωρεάν για χρήση από τους κατασκευαστές είναι ένα μεγάλο μέρος αυτής της δημοτικότητας. Αλλά η διαφάνεια είναι ένα δίκοπο μαχαίρι: οδήγησε σε μια κατάσταση όπου πολλά τηλέφωνα Android δεν ενημερώνονται τακτικά με τις πιο πρόσφατες ενημερώσεις κώδικα ασφαλείας.

Το φάντασμα του κακόβουλου λογισμικού έχει διαφανεί Android τα τελευταία χρόνια, με τους ερευνητές να αποκαλύπτουν ευπάθειες πολύ υψηλού προφίλ, όπως Τρακ. Τα αρνητικά νέα έρχονται τόσο πυκνά και γρήγορα που μπορεί να είναι δύσκολο να τεθούν σε προοπτική. Μόλις την περασμένη εβδομάδα αναφέραμε Κακόβουλο λογισμικό FalseGuide, το οποίο μπορεί να έχει επηρεάσει έως και 1,8 εκατομμύρια Android χρήστες.

Πηγαίνοντας μόνοι στα πρωτοσέλιδα, θα σας συγχωρούσαν οι αμφιβολίες Android ασφάλεια, αλλά πού είναι η γραμμή μεταξύ υπερβολής και πραγματικού κινδύνου; Είναι πραγματικά ανασφαλής η πλατφόρμα;

«Όχι, δεν είναι ανασφαλές. Νομίζω ότι έχουμε λίγο πρόβλημα αντίληψης, αλλά είναι πολύ διαφορετικό από τον πραγματικό κίνδυνο χρήστη», είπε ο Adrian Ludwig, διευθυντής του Android Ασφάλεια, είπε στο Digital Trends σε πρόσφατη συνέντευξη. «Η κρυπτογραφική δουλειά που κάναμε, το sandboxing που κάναμε και πολλή δουλειά για να γίνει πιο δύσκολη η εκμετάλλευση συνδυάζονται όμορφα».

Δεν υπάρχει αμφιβολία ότι οι πιο πρόσφατες εκδόσεις του Android είναι πιο ασφαλείς από τους προκατόχους τους, αλλά το πρόβλημα είναι ότι πολλοί Android Οι χρήστες δεν αισθάνονται ποτέ το όφελος. Αναπολώντας το 2016 σε ένα ανάρτηση, ο Android Η ομάδα ασφαλείας παραδέχτηκε ότι περίπου οι μισές συσκευές που χρησιμοποιήθηκαν στα τέλη του 2016 δεν είχαν λάβει ενημέρωση για τουλάχιστον 12 μήνες.

«Ενημερωμένες εκδόσεις της Google Android μπορεί να θεωρηθεί ασφαλής», δήλωσε στο Digital Trends ο Maik Morgenstern, Διευθύνων Σύμβουλος του οργανισμού αξιολόγησης προστασίας από ιούς AV-Test. «Αλλά ειδικά σε πολλά μεγαλύτερα Android εκδόσεις, όλο και περισσότερες ευπάθειες εμφανίζονται στην επιφάνεια και πολλοί προμηθευτές δεν παρέχουν ενημερώσεις για τις συσκευές τους. Επί του παρόντος, είναι γνωστές πάνω από 800 ευπάθειες».

Αν κοιτάξουμε το επίσημα στοιχεία διανομής για Android από τον Απρίλιο, διαπιστώνουμε ότι μόνο το 4,9 τοις εκατό των Android συσκευές τρέχουν τις πιο πρόσφατες εκδόσεις, Nougat 7.0 ή 7.1. Αυτό είναι ένα απογοητευτικά μικρό κομμάτι του συνόλου. Κοιτάζοντας πιο πίσω, Android Το 6.0 Marshmallow εκτελείται σε 31,2 τοις εκατό των συσκευών, Android 5.0 ή 5.1, Lollipop, βρίσκεται στο 31 τοις εκατό των συσκευών και το ένα πέμπτο του Android οι συσκευές εξακολουθούν να λειτουργούν Android 4.4 KitKat. Οι περισσότερες από αυτές τις συσκευές διαθέτουν παλαιότερες εκδόσεις Android είναι απίθανο να ενημερωθούν ποτέ.

«Το ογδόντα τέσσερα τοις εκατό των τηλεφώνων δεν έχουν αναβαθμιστεί, πράγμα που σημαίνει ότι οι περισσότερες κινητές συσκευές εξακολουθούν να κινδυνεύουν», δήλωσε ο Joshua J. Ο Drake, αντιπρόεδρος του Platform Research and Exploitation στο Zimperium, δήλωσε στο Digital Trends.

Η Zimperium είναι μια εταιρεία κινητής ασφάλειας. Ντρέικ αποκάλυψε την ευπάθεια Stagefright πίσω το 2015. Είχε τη δυνατότητα να δώσει στους χάκερ τον έλεγχο ενός Android συσκευή μέσω κακόβουλου κώδικα σε αρχείο ήχου ή βίντεο — και έως και το 95 τοις εκατό των συσκευών ήταν ευάλωτες σε αυτό, σύμφωνα με αναφορές της εποχής. Ο Drake μας είπε ότι ορισμένες συσκευές εξακολουθούν να είναι ευάλωτες σήμερα.

Αν και η πιθανή ζημιά ήταν τρομακτική, δεν είναι σαφές σε ποιον αντίκτυπο Android χρήστες ήταν.

«Εδώ βρισκόμαστε σε ενάμιση χρόνο, σχεδόν δύο χρόνια από τότε που το μάθαμε για πρώτη φορά, και ακόμα δεν γνωρίζουμε ότι κάποιος έχει επηρεαστεί πραγματικά», είπε ο Ludwig.

Αλλά ο Drake διαφωνεί.

«Γνωρίζουμε ότι υπήρξαν στοχευμένες επιθέσεις χρησιμοποιώντας τρωτά σημεία στο libstagefright και στο mediaserver», είπε. «Γνωρίζουμε ότι είναι δύσκολο να αποδειχθεί αρνητικό γενικά, και σεβόμαστε τις προσπάθειες της Google να ασφαλίσει καλύτερα την πλατφόρμα της, αλλά χωρίς αισθητήρα στη συσκευή, δεν υπάρχει τρόπος για κανέναν να γνωρίζει την κατάσταση κινδύνου ή απειλής οποιασδήποτε συσκευής — ειδικά α κινητό."

Το πρόβλημα είναι ότι δεν είναι εύκολο να πεις αν έχεις δεχτεί επιτυχή επίθεση. Στον απόηχο της ανακάλυψης Stagefright, η εταιρεία ασφαλείας ίδρυσε το Zimperium Handset Alliance για την ενίσχυση της επικοινωνίας μεταξύ ερευνητών, φορέων εκμετάλλευσης δικτύων κινητής τηλεφωνίας, προγραμματιστών εφαρμογών για κινητά και προμηθευτών συσκευών.

«Οι ερευνητές πρέπει να ενθαρρύνονται να εξετάζουν τις μηνιαίες ενημερώσεις ασφαλείας και να προσπαθούν να εκμεταλλευτούν αυτές τις ευπάθειες, προκειμένου να προωθήσουν την καλύτερη ενημέρωση κώδικα και έναν συνολικά ασφαλέστερο κόσμο για κινητά», είπε ο Drake.

Η Google έχει λάβει ορισμένα σημαντικά βήματα για τη μείωση των κινδύνων ασφαλείας, δημοσιεύοντας μηνιαίες ενημερώσεις κώδικα και αναλύοντας στοιχεία του Android για να διευκολύνετε την προώθηση ενημερώσεων. Αλλά παλαιότερες εκδόσεις του Android έχουν μείνει πίσω.

ο Πρόβλημα κατακερματισμού Android δεν λύνεται εύκολα. Πείθοντας τους μεταφορείς και τους κατασκευαστές να ενημερώσουν τους Android συσκευές έχει αποδειχθεί πολύ δύσκολο για την Google. Έπαιξε απευθείας στα χέρια της αντιπολίτευσης. Ο Tim Cook της Apple αναφέρθηκε περίφημα α Άρθρο του ZDNet με τίτλο "Android Ο κατακερματισμός μετατρέπει τις συσκευές σε μια τοξική κόλαση τρωτών σημείων» σε μια διαφάνεια στο WWDC το 2014. Αλλά είναι πραγματικά το iOS πολύ καλύτερο; Και αν ναι, γιατί;

«Υπήρξε η εντύπωση ότι η ασφάλεια του iOS είναι ανώτερη Android ασφάλεια, αλλά αυτό δεν συμβαίνει απαραίτητα», είπε ο Drake.

Επειδή Android είναι ανοιχτού κώδικα, είναι πιο εύκολο για τους ερευνητές ασφάλειας να βρουν ελαττώματα και να προτείνουν διορθώσεις. Η κλειστή φύση του iOS καθιστά πιο δύσκολο για τους ερευνητές να δουν τι συμβαίνει, είπε. Η Morgenstern συμφωνεί με αυτήν την αξιολόγηση, αλλά επισημαίνει μια σημαντική διαφορά που καθιστά το κακόβουλο λογισμικό μεγαλύτερο κίνδυνο Android.

"Για Android χρήστες, είναι εύκολο να εγκαταστήσετε εφαρμογές από οποιαδήποτε πηγή», εξηγεί ο Morgenstern. «Αυτό το γεγονός διευκολύνει τη μεταφορά κακόβουλων εφαρμογών στη συσκευή. Ο τρόπος με τον οποίο άλλες πλατφόρμες χειρίζονται αυτό είναι πολύ πιο αυστηρός, επιτρέποντας εγκαταστάσεις μόνο από τις κλειστές αγορές τους».

Android είναι μεγάλος στόχος. Με τόσο μεγάλη βάση χρηστών και κώδικα ανοιχτού κώδικα, είναι ελκυστική λεία για τους εγκληματίες του κυβερνοχώρου. Το AV-Test καταχωρεί έως και 30.000 νέα Android δείγματα κακόβουλου λογισμικού κάθε μέρα. Αυτός είναι ένας τρομακτικός αριθμός, αλλά ανησυχεί Android οι χρήστες μπορούν να αναλάβουν δράση μειώσει δραματικά τους κινδύνους από την προσκόλληση στο Google Play για εφαρμογές, την ενημέρωση των συσκευών μόλις καταστούν διαθέσιμες ενημερώσεις κώδικα και τη χρήση εφαρμογές ασφαλείας Android τρίτων κατασκευαστών.

Τόσο ο Drake όσο και ο Morgenstern προειδοποιούν επίσης για τη σύνδεση σε άγνωστα δίκτυα και σημεία πρόσβασης Wi-Fi, τουλάχιστον χωρίς τη χρήση αξιοπρεπών Εφαρμογές Android VPN.

«Τα δεδομένα μας δείχνουν ότι οι περισσότερες επιθέσεις είναι δικτυακής φύσης και δεν κάνουν διακρίσεις μεταξύ iOS, Android, ή κάτι άλλο», εξηγεί ο Drake. «Μόλις ένας εισβολέας υποκλέψει και ανακατευθύνει σιωπηλά την κυκλοφορία του δικτύου σας, οποιαδήποτε συσκευή είναι επικίνδυνα ευάλωτη σε επεμβατική επιτήρηση, εξατομικευμένο ψάρεμα με υποβρύχιο, παράδοση εκμετάλλευσης πλατφόρμας ή οποιοσδήποτε αριθμός άλλων επακόλουθων επιθέσεων».

Android η ασφάλεια βελτιώνεται. Μπορούμε να υποδείξουμε ταχύτερες ενημερώσεις, κρυπτογράφηση συσκευής, αιτήματα αδειών, εφαρμογή sandboxing για απομόνωση εφαρμογές μεταξύ τους, περιορισμένη πρόσβαση σε πόρους και αυτόματη σάρωση κακόβουλου λογισμικού στο Play Κατάστημα. Αλλά προφανώς υπάρχει ακόμα δουλειά να γίνει.

«Πέρυσι πληρώσαμε σχεδόν ένα εκατομμύριο δολάρια σε ερευνητές», είπε ο Ludwig της Google, όταν ρωτήθηκε για τη σημασία της έρευνας τρίτων. Όμως, παρά αυτό το ερευνητικό πρόγραμμα, ο Drake αισθάνεται ότι χρειάζονται περισσότερα.

"Να βελτιωθεί Android γενικά για την ασφάλεια, είναι επιτακτική ανάγκη η Google να συνεργαστεί πιο στενά με τους προμηθευτές ασφαλείας», είπε. «Η Apple και άλλοι προμηθευτές έχουν αυξήσει τη συνεργασία τους, αλλά η Google τη μείωσε. Η φιλοσοφία της Google είναι ότι μπορούν να κάνουν τα πάντα μόνοι τους, αλλά αυτό μόνο βλάπτει τους χρήστες τους και δυστυχώς ωφελεί τους δημιουργούς κακόβουλου λογισμικού».

Τελικά, το ερώτημα του Android η ασφάλεια μπορεί να πέσει στη συσκευή που χρησιμοποιείτε. Εάν έχετε ένα τηλέφωνο δύο ή τριών ετών που τρέχει μια παλαιότερη έκδοση Android και δεν έχει ενημερωθεί εδώ και μήνες, έχετε λόγους ανησυχίας. Οι κάτοχοι του Pixel της Google, αντίθετα, λαμβάνουν έγκαιρα τις πιο πρόσφατες ενημερώσεις ασφαλείας, τουλάχιστον για τα επόμενα δύο χρόνια.

Είναι δύσκολο να πούμε πόσο καιρό θα περάσει πριν από τους περισσότερους Android συσκευές εκτελούν Nougat ή νεότερη έκδοση Android, αλλά ακόμα και τότε ο αργός ρυθμός των ενημερώσεων από ορισμένους κατασκευαστές και παρόχους θα παραμείνει πρόβλημα.

«Μέχρι κάθε ενημέρωση να φτάσει σε όλες τις συσκευές, εξακολουθούμε να κινδυνεύουμε», είπε ο Morgenstern.

Μπορείτε να βρείτε πιο χρήσιμες συμβουλές για το πώς να παραμείνετε ασφαλείς στο δικό σας Android τηλέφωνο στο δικό μας Οδηγός ασφαλείας Android.

Συστάσεις των συντακτών

• Είναι πράγματι επικίνδυνη η ακτινοβολία του κινητού τηλεφώνου; Ρωτήσαμε κάποιους ειδικούς