Kas Android on tõesti ebaturvaline? Küsisime ekspertidelt

Android on planeedi kõige laialdasemalt kasutatav mobiiliplatvorm. Rohkem kui 1,4 miljardit inimest kasutab iga päev Androidi nutitelefoni või tahvelarvutit ning selle populaarsuse suur osa on asjaolu, et see on avatud lähtekoodiga ja tootjatele tasuta. Kuid avatus on kahe teraga mõõk: see on viinud olukorrani, kus paljusid Android-telefone ei värskendata regulaarselt uusimate turvapaikadega.

Pahavara tont on tohutult möödas Android viimastel aastatel, kui teadlased on avastanud väga kõrgetasemelisi haavatavusi, nagu Rambipalavik. Negatiivsed uudised tulevad nii tihedalt ja kiiresti, et neid võib olla raske perspektiivi panna. Alles eelmisel nädalal teatasime FalseGuide'i pahavara, mis võis mõjutada kuni 1,8 miljonit Android kasutajad.

Ainuüksi pealkirjadesse minnes antakse teile andeks, kui teil on kahtlusi Android turvalisus, kuid kus on piir hüperbooli ja tõelise riski vahel? Kas platvorm on tõesti ebakindel?

„Ei, see pole ebakindel. Ma arvan, et meil on natuke tajumisprobleem, kuid see erineb oluliselt tegelikust kasutajariskist,“ ütles ettevõtte direktor Adrian Ludwig. Android Turvalisus, ütles Digital Trends hiljutises intervjuus. "Krüptograafiline töö, mida oleme teinud, liivakast, mida oleme teinud, ja suur osa ärakasutamise raskemaks muutmisest, saavad kõik kenasti kokku."

Pole kahtlust, et kõige uuemad versioonid Android on turvalisemad kui nende eelkäijad, kuid probleem on selles, et paljud Android kasutajad ei tunne kunagi kasu. Vaadates tagasi aastal 2016 a ajaveebi postitus, Android Turvameeskond tunnistas, et ligikaudu pooled 2016. aasta lõpus kasutusel olnud seadmetest polnud värskendust saanud vähemalt 12 kuud.

"Google'i ajakohased versioonid Android võib pidada turvaliseks,” ütles viirusetõrje reitinguorganisatsiooni AV-Testi tegevjuht Maik Morgenstern Digital Trendsile. "Kuid eriti paljudel vanematel Android versioonide puhul ilmneb üha rohkem turvaauke ja paljud müüjad ei paku oma seadmetele värskendusi. Praegu on teada üle 800 haavatavuse.

Kui vaatame Androidi ametlikud levitamise andmed aprilli seisuga leiame, et ainult 4,9 protsenti Android seadmed käitavad uusimaid versioone, Nougat 7.0 või 7.1. See on pettumust valmistav väike osa kogusummast. Vaadates kaugemale tagasi, Android 6.0 Marshmallow töötab 31,2 protsendil seadmetest, Android 5.0 või 5.1, Lollipop, on 31 protsendil seadmetest ja viiendik Android seadmed töötavad endiselt Android 4.4 KitKat. Enamik neist seadmetest töötab vanema versiooniga Android tõenäoliselt ei uuendata neid kunagi.

"84 protsenti telefonidest ei ole uuendatud, mis tähendab, et enamik mobiilseadmeid on endiselt ohus," ütles Joshua J. Drake, Zimperiumi platvormide uurimise ja kasutamise asepresident, rääkis Digital Trendsile.

Zimperium on mobiilne turvaettevõte; Drake avastas Stagefrighti haavatavuse tagasi aastal 2015. Sellel oli potentsiaal anda häkkeritele kontroll an Android seadet heli- või videofailis oleva pahatahtliku koodi kaudu – ja toonaste aruannete kohaselt oli kuni 95 protsenti seadmetest selle suhtes haavatavad. Drake ütles meile, et mõned seadmed on tänapäeval endiselt haavatavad.

Kuigi võimalik kahju oli hirmutav, on ebaselge, mida see mõjutab Android kasutajad olid.

"Siin on poolteist aastat möödas, peaaegu kaks aastat sellest ajast, kui me sellest esimest korda teada saime, ja me ei tea ikka veel, et see kedagi tegelikult puudutab," ütles Ludwig.

Aga Drake ei nõustu.

"Me teame, et libstagefrighti ja meediaserveri haavatavusi kasutasid sihitud rünnakud," ütles ta. "Me teame, et üldiselt on raske tõestada negatiivset, ja austame Google'i jõupingutusi oma platvormi paremaks kaitsmiseks, kuid kui seadmel pole andurit, ei saa keegi teada ühegi seadme riski- või ohustaatust – eriti a mobiilne."

Probleem on selles, et pole lihtne öelda, kas teid on edukalt rünnatud. Pärast Stagefrighti avastust asutas turvafirma Zimperiumi mobiiltelefonide liit teadlaste, mobiilsideoperaatorite, mobiilirakenduste arendajate ja seadmemüüjate vahelise suhtluse tõhustamiseks.

"Teadlasi tuleb julgustada uurima igakuiseid turvavärskendusi ja proovima neid turvaauke ära kasutada, et edendada paremat paikamist ja üldist turvalisemat mobiilset maailma," ütles Drake.

Google on astunud mõned olulised sammud turvariskide vähendamiseks, pannes välja igakuiseid plaastreid ja purustades selle elemente Android uuenduste väljasaatmise hõlbustamiseks. Kuid vanemad versioonid Android on maha jäänud.

The Androidi killustatuse probleem ei ole lihtsalt lahendatav. Veenjate ja tootjate veenmist oma versiooni värskendama Android seadmed on osutunud Google'i jaoks väga keeruliseks. See on mänginud otse opositsiooni kätte. Apple'i Tim Cook viitas kuulsalt a ZDNeti artikkel pealkirjaga "Android killustatus, mis muudab seadmed mürgiseks haavatavuste põrguks” 2014. aasta WWDC slaidil. Kuid kas iOS on tõesti nii palju parem? Ja kui jah, siis miks?

"On jäänud mulje, et iOS-i turvalisus on parem Android turvalisus, kuid see ei pruugi nii olla, ”ütles Drake.

Sest Android on avatud lähtekoodiga, on turbeuurijatel lihtsam vigu leida ja parandusi soovitada. Ta ütles, et iOS-i suletud olemus muudab teadlastel raskemaks näha, mis toimub. Morgenstern nõustub selle hinnanguga, kuid viitab olulisele erinevusele, mis muudab pahavara suuremaks riskiks Android.

"Sest Android kasutajate jaoks on rakendusi lihtne installida mis tahes allikast,“ selgitab Morgenstern. "See asjaolu muudab pahatahtlike rakenduste seadmesse hankimise lihtsaks. See, kuidas teised platvormid sellega hakkama saavad, on palju rangem, lubades installida ainult nende suletud turgudelt.

Android on suur sihtmärk. Nii suure kasutajabaasi ja avatud lähtekoodiga on see küberkurjategijate jaoks atraktiivne saak. AV-Test registreerib kuni 30 000 uut Android pahavara näidiseid iga päev. See on hirmutav arv, kuid murelik Android kasutajad saavad midagi ette võtta dramaatiliselt vähendada riskid, kui kasutate rakenduste jaoks Google Play, värskendate seadmeid kohe, kui paigad on saadaval, ja kasutate kolmanda osapoole Androidi turvarakendused.

Nii Drake kui ka Morgenstern hoiatavad ka tundmatute võrkude ja Wi-Fi levialadega ühenduse loomise eest, vähemalt ilma korralikku kasutamata. Androidi VPN-i rakendused.

"Meie andmed näitavad, et enamik rünnakuid on võrgu iseloomuga ega tee vahet iOS-i, Androidvõi muud,” selgitab Drake. "Kui ründaja on teie võrguliikluse vaikselt kinni püüdnud ja ümber suunanud, on iga seade ohtlikult haavatav invasiivne jälgimine, isikupärastatud odapüük, platvormi ärakasutamise kohaletoimetamine või mis tahes muud järelrünnakud.

Android turvalisus paraneb. Saame eraldamiseks osutada kiirematele värskendustele, seadme krüptimisele, loataotlustele ja rakenduste liivakastile rakendused üksteisest, piiratud juurdepääs ressurssidele ja automaatne pahavara skannimine Plays Kauplus. Aga ilmselgelt on veel tööd teha.

"Eelmisel aastal maksime teadlastele peaaegu miljon dollarit," ütles Google'i Ludwig, kui temalt küsiti kolmanda osapoole uuringute tähtsuse kohta. Kuid vaatamata sellele uurimisprogrammile tunneb Drake, et rohkem on vaja.

"Parendama Android Üldiselt peab Google tegema turvamüüjatega tihedamat koostööd," ütles ta. "Apple ja teised müüjad on koostööd suurendanud, kuid Google on seda vähendanud. Google'i filosoofia on see, et nad saavad kõike ise teha, kuid see kahjustab ainult nende kasutajaid ja toob kahjuks kasu pahavara autoritele.

Lõpuks küsimus, Android turvalisus võib taanduda kasutatavale seadmele. Kui teil on kaks või kolm aastat vana telefon, mis töötab vanema versiooniga Android ja seda pole kuude jooksul värskendatud, on teil põhjust muretsemiseks. Seevastu Google'i Pixeli omanikud saavad uusimad turvavärskendused õigeaegselt, vähemalt järgmise paari aasta jooksul.

Raske öelda, kui kaua see enne enamikku aega läheb Android seadmetes töötab Nougat või selle uuem versioon Android, kuid isegi siis jääb probleemiks mõne tootja ja operaatori värskenduste aeglane tempo.

"Kuni iga värskendus jõuab kõikidesse seadmetesse, oleme endiselt ohus, " ütles Morgenstern.

Siit leiate rohkem kasulikke nõuandeid oma turvalisuse tagamiseks Android telefon meie käes Androidi turvajuhend.

Toimetajate soovitused

• Kas mobiiltelefoni kiirgus on tegelikult ohtlik? Küsisime mõnelt asjatundjalt