OS Android je sigurniji nego što mislite, prema šefu sigurnosti

Ideja da je Android platforma nesigurna popularna je i uporna. I vrlo vjerojatno pogrešno.

Prođe jedva tjedan dana bez novog naslova o novootkrivenoj ranjivosti ili novom zlonamjernom softveru koji utječe na milijune uređaja.

Ovi problemi su pogoršani činjenicom da Android ekosustav je kompliciran. Fragmentacija nevjerojatno otežava ažuriranje platforme. Mnoštvo različitih proizvođača uređaja izrađuje tisuće različitih telefona i tableta s različitim verzijama Androida. Kao rezultat toga, ažuriranjima sa sigurnosnim popravcima potrebni su mjeseci da se uvedu - ili još gore, nikad se ne uvedu. Previše proizvođača ažurira samo svoje vodeće uređaje, ostavljajući poznate ranjivosti u starijim i slabijim uređajima koji bi mogli dovesti korisnike u opasnost.

Razmotrite ranjivost kao što je 

Trema, koji bi hakerima mogao dati kontrolu nad Android uređajem putem zlonamjernog koda u audio ili video datoteci. Izvješća pokazuju da je do 95 posto uređaja ranjivo. Ali koliko ih je zapravo pogođeno?

“Prošlo je godinu i pol, skoro dvije godine otkako smo prvi put saznali za to, a mi još uvijek ne znam je li itko zapravo pogođen", rekao je Adrian Ludwig, direktor sigurnosti Androida, za Digital Trendovi.

Zabrinutost je bila u tome što je Google razradio popravke relativno brzo i odmah ih uveo u Googleovu liniju uređaja Nexus. Zakrpe za druge uređaje izašle su prema nahođenju proizvođača.

To znači, ako imate Google Pixel s najnovijim Androidom 7.0 Nougat, imate koristi od najnovije sigurnosti, ali netko s telefonom koji pokreće KitKat (20 posto Android uređaji) koji nisu ažurirani godinu ili više mogli su biti ugroženi.

To je težak problem koji nije lako riješiti, ali tim za sigurnost Androida naporno je radio kako bi smanjio rizik za korisnike. Zastrašujuće statistike stvaraju dobre naslove, ali da Android zaslužuje reputaciju koju ima zbog nesigurnosti?

"Mislim da imamo mali problem s percepcijom, ali on se jako razlikuje od stvarnog rizika korisnika", objasnio je Ludwig. "Kriptografski posao koji smo radili, sandboxing koji smo radili i puno rada na otežavanju iskorištavanja sve se lijepo slaže."

Digital Trends je razgovarao s Ludwigom o Google Hangoutsu kako bi saznali trenutno stanje sigurnosti Androida, pitali bi li ljudi stvarno trebali budite zabrinuti zbog glavnih ranjivosti i zlonamjernog softvera i saznajte što Google radi u vezi s fragmentacijom kako bi omogućio širu sigurnost nadopune.

Digitalni trendovi: Je li Android doista nesiguran?

Adrian Ludwig: Ne, nije nesigurno. Puno je stvari koje smo učinili i koje su pomakle očekivanja u posljednjih nekoliko godina.

Za Mac ili Windows morali ste imati antivirusnu zaštitu treće strane, ali rekli smo da ćemo to učiniti za sve i to besplatno.

Sandboxing aplikacija je relativno novi koncept u svijetu sigurnosti Androida – ideja da aplikacije nemaju pristup svim vašim korisničkih podataka, ali samo imati pristup njihovim podacima potpuno je novo, to nije nešto što postoji na Macu, to nije nešto što postoji na Windows.

Zatim postoji enkripcija uređaja. Većina poduzeća ga nema stalno uključenog. U mobilnom prostoru postavljeno je očekivanje da bi sve trebalo biti šifrirano cijelo vrijeme, a postoji čak i očekivanje da je bit će tako dobro šifrirani da će čak i sofisticiranom napadu biti teško pristupiti tim podacima bez korisnika ovlaštenje.

Također smo naučili mnogo o tome kako loši glumci rade i što pokušavaju učiniti, a sada smo na maloj točki prekretnice. Prvih nekoliko godina učili smo, gradili svoje razumijevanje i poboljšavali našu tehnologiju. Sada možemo držati korak s lošim glumcima. Stope zlonamjernog softvera, na primjer, relativno su iste u posljednje tri ili četiri godine, ali mislim da je ovo godina u kojoj smo vidjet ćemo njihov pad, možda značajan pad, jer smo došli do točke u kojoj imamo dovoljno vještine i iskustvo. Sada se možemo kretati brže od aktera, prije ih uhvatiti i učinkovitije djelovati u cijelom ekosustavu nego što smo mogli prije.

Mislim da smo na prekretnici u kojoj ćemo, čak i prema standardima Androida, početi vidjeti prilično značajna poboljšanja u pogledu zlonamjernog softvera.

Ima još toga za učiniti, ali lako je zaboraviti koliko smo daleko stigli u posljednjih pet godina.

Vidimo puno izvješća o ranjivostima sa zastrašujućom statistikom. Koliki je realni rizik da vaš Android uređaj bude iskorišten ili otet? Na primjer, rečeno je da nešto poput Stagefrighta potencijalno utječe na 95 posto Android uređaja. Imamo li ideju koliko ih je zapravo oteto korištenjem te ranjivosti?

Prošla je godina i pol, skoro dvije godine otkako smo prvi put saznali za to, a još uvijek ne znamo je li itko zapravo pogođen. Postoje glasine da je mali broj uređaja možda pogođen, ali čak ni za one nemamo potkrijepljene dokaze.

I vjerujte mi, kad god čujemo takvu glasinu, pokušavamo je potjerati. Idemo razgovarati s tvrtkom koja daje tu izjavu. Pitamo postoje li podaci koje mogu podijeliti. Nikada nismo uspjeli potkrijepiti nijedan od tih brojeva. Mogu sa sigurnošću reći da nije pogođeno 900 milijuna uređaja.

Svakako, naslovi koji su se pojavili i uzbuđenje bili su nesrazmjerni stvarnosti i moguće je da nitko nije bio pogođen. Što je nevjerojatno, mislim, čak i kad se osvrnem unatrag, uvijek postoji zabrinutost da možda postoji nešto što ne vidite, ali čini se da je vrijeme ono što otkriva te slijepe točke.

Radio sam na sigurnosti Androida zadnjih šest godina i svaki put kad pogledate područje gdje je netko rekao "to je slijepa točka", ne nađemo ništa. Dakle, u početku je bilo "tone i tone zlonamjernog softvera na Google Playu" i pogledali smo, bilo ga je, uklonili smo ga. Zatim čujemo "to je izvan Google Playa", gledamo, ima nešto, postavljamo prilično dobre zaštite. Onda se "penje sljedeće godine", a ni to se nije dogodilo. Sada, "to će se ranjivosti iskoristiti", ali mi to ne vidimo.

Uvijek iznova idemo naprijed prema onome što tražimo i provjerama koje provodimo i uslugama koje pružamo u potrazi za lošim akterima, ali jednostavno ne vidimo nikakvu stvarnu štetu.

Ipak, želimo biti što je moguće oprezniji i stoga ulažemo u usluge traženja u svim tim malim mračnim uličicama. Također radimo s partnerima kako bismo bili sigurni da mogu odgovoriti što je brže moguće, tako da smo tu puno uložili sigurnosna ažuriranja, ne zato što vidimo puno stvarnog iskorištavanja, već zato što ne želimo da to bude rizik koji ikada postoji shvatio.

Mnogo toga se odnosi na to da ostanemo naprijed i da nikad ne dođemo do točke u kojoj postoji problem.

Što mislite, zašto i dalje postoji ova priča o tome da je Android "toksični pakao" ranjivosti?

Postoji nekoliko razloga. Jedan je da je složenost često vrlo zastrašujuća i da je priča o Android ekosustavu složena. U ekosustavu postoji mnogo različitih OEM proizvođača [proizvođača telefona i tableta], puno različitih modela uređaja.

Vrlo sažeto opisati što se događa u ekosustavu Androida je teško, otprilike na isti način na koji je vrlo teško opisati ljudsku anatomiju ili populaciju čovječanstva. Ali mi to znamo medicina je sve bolja, a znamo da ljudi žive dulje. Znamo da su ljudi sve zdraviji, ali još uvijek čitamo mnogo priča o ljudima koji umiru, lošim stvarima koje se događaju i bolestima.

Mislim da je to odraz onoga što se događa u ekosustavu Androida. Komplicirano je, tako da često nema zadovoljavajućeg, super jednostavnog odgovora, ali općenito postaje sve sigurnije i robusnije.

Vidimo i mnogo priča o zlonamjernom softveru, ali je li prosječni korisnik Androida, koji nikada ne preuzima aplikacije izvan Trgovine Play, u opasnosti?

Iz Playa broj zlonamjernog softvera je oko 0,05 posto, što je 5 od 10 000 aplikacija, tako da je to prilično nisko. Što se tiče postotka zaraženih uređaja, to je u rasponu u kojem da ne govorimo o tome, nitko ne bi ni znao da se to događa.

Razgovaramo o tome kako bismo bili sigurni da postoji transparentnost o razini rizika. Često platforme ne žele razgovarati o stvarima. Zažmire na jedno oko. Volimo imati transparentnost u pogledu vanjskih aktera i naših politika i procesa kako bismo mogli izgraditi povjerenje. Ne želimo da ljudi slijepo vjeruju.

Pretpostavljam da je u ekosustavu Androida Trgovina Play najčišća trgovina aplikacijama. Pretpostavljam da se može usporediti slično s drugim trgovinama aplikacija s ekosustavima koji su zatvoreniji. [Vjerujemo da Adrian misli na Apple App Store.]

Nakon što smo o tome razgovarali s mnogo ljudi, anegdotalno, ne poznajemo nikoga tko je imao problema sa zlonamjernim softverom za Android, ali i sam sam imao problema s Windowsima. Zašto svi pričaju o Android sigurnost?

Mislim da nam je zlonamjerni softver Windows dosadio i nije zabavno više o tome razgovarati. Android je bio nova, uzbudljiva stvar.

Sve što sam vidio pokazuje to u cijelom Android ekosustavu. Stotine milijuna uređaja koji se instaliraju s Google Playa za red veličine su čišći od upravljane korporativne flote Windows uređaja. Naša stopa infekcije iznosi pola posto na globalnoj razini, pri čemu je za upravljane Windows uređaje viša, a za potrošačka kućanstva stopa infekcije za Windows uređaje još je viša.

Ali Android je uzbudljiv. To je rastuće tržište. To je rastuće tržište za potrošače, ali mislim da je to također rastuće tržište za sigurnosnu industriju, pa su jako zainteresirani da ljudi budu svjesni i da razmišljaju o tim stvarima. To je oblik komunikacije oko platforme.

Kada pronađete zlonamjerni softver, koja je vrsta najčešća?

Većina onoga što vidimo je komercijalne prirode. Oni obično pokušavaju zaraditi novac, a mehanizam za unovčavanje na mobitelu je instaliranje aplikacija. Vidimo posebne slučajeve aplikacija koje traže bankovne lozinke ili slične stvari, ali najjednostavniji način unovčavanja je instaliranje aplikacije. Vrlo velik postotak povezan je s onim što nazivamo neprijateljskim preuzimateljima.

Zanimljivo je da aplikacije koje instaliraju same po sebi nisu štetne. To može biti igra koja želi dobiti promociju ili bi to mogla biti druga usluga za koju imaju koristi od distribucije na tržištu. Krajnji rezultat nisu stvari o kojima ljudi razmišljaju kada razmišljaju o zlonamjernom softveru. Često netko ne pokušava ukrasti vaše podatke.

Tamo je špijunski softver. Ne želim sugerirati da ne postoji. Ovaj smo tjedan čak objavili post u kojem smo opisali špijunski softver visoke klase koji smo pronašli, ali on je bio na 25 uređaja. To sigurno nije vrsta stvari koja je uobičajena ili najpopularnija u cijelom ekosustavu.

Postoji li išta inherentno manje sigurno kod Androida u usporedbi s drugim mobilnim operativnim sustavima?

Ne mislim da postoji nešto što je inherentno manje sigurno u vezi s platformom. Mislim da složenost otežava davanje izjava na razini platforme.

Ljudi vole uspoređivati ​​iPhone s Androidom. iPhone je uređaj s operativnim sustavom proizvođača, zapravo radi se o pet različitih uređaja. Ako pogledate jednog proizvođača iz Android — Samsung je najveći — imaju stotine različitih modela uređaja. Samo uspoređujući Samsung s iOS-om, već ste otprilike 20 puta složeniji, u smislu ovog uređaja u odnosu na onaj uređaj. Nije razumna usporedba.

Možda bi usporedba linije Pixel i Nexus s iPhoneom bila pravednija?

Da, vrlo sličan hardverski – slična sigurnosna svojstva. Trgovine aplikacija imaju slična sigurnosna svojstva, provjerene aplikacije, izolaciju aplikacija — vrlo slična sigurnosna svojstva. Obje su posvećene brzim ažuriranjima.

Ono gdje ulazite u diferencijaciju je transparentnost. Android je otvorenog koda. Te informacije su dostupne svima. Potičemo istraživanja trećih strana kroz naš sigurnosni program nagrađivanja, tako da znamo ne samo to tražimo li mi probleme u platformi, ali i drugi ljudi također i to čini veliku ulogu razlika.

Mislim da i usluge čine veliku razliku. Namjerno smo osmislili vidljivost i mogućnost provjere uređaja na terenu, dok to ne postoji ni na jednoj drugoj platformi. To znači da dobivamo povratne informacije o puno malih stvari koje se događaju i možemo odgovoriti na to.

Kako se borite protiv sporog uvođenja sigurnosnih ažuriranja za Android uređaje koji nisu na zalihama? Je li frustrirajuće?

Zaista cijenimo koliko je ljudi usvojilo Android i koliko uređaja ima Android na njima. Stvarnost te čiste raznolikosti ekosustava je da će se neki proizvođači kretati vrlo brzo, a drugi sporije.

Potrošili smo dosta vremena tijekom prošle godine kako bismo pokušali pomoći onima koji se kreću sporije da riješe neke od svojih tehnološke izazove, riješiti neke od svojih inženjerskih izazova, au nekim slučajevima i organizacijske izazove izazovi. Možda im nedostaje osoblje inženjera za pružanje ažuriranja. Možda nisu razmišljali o tome, pa pitamo što možemo učiniti da vas dovedemo do točke kada ste razmišljali o tome i da to ima smisla?

To definitivno čini stvari kompliciranijima, ali je i srž zašto je Android toliko uspješan, jer je mnogo različitih ljudi moglo uskočiti i početi izrađivati ​​uređaje.

Što je Android tim poduzeo kako bi platformu učinio sigurnijom? A koje je sljedeće područje kojim biste se željeli pozabaviti ili poboljšati?

Mislim da se svi dijelovi jako lijepo slažu. Bilo je to višegodišnje putovanje, ali kriptografski posao koji smo radili, sandboxing koji smo radili, puno rad na otežavanju eksploatacije sve se dobro slaže, tako da su to područja na kojima ćemo nastaviti raditi na.

Zašto je sandboxing važan?

Sandboxing na temeljnoj razini je način na koji izolirate jednu aplikaciju od druge. Igra je savršen primjer, gdje ljudi ne razmišljaju o njoj, ali na računalu su igre često umrežene. Oni su jedna od rijetkih stvari na toj vrsti uređaja koja ima uslugu mrežnog priključka, tako da je to jedan od najstrašnijih dijelova softvera koji koristite na većini potrošačkih uređaja. Ako ugrozite igru, autor igre može biti savršeno bezazlen, ali ta igra ima pristup svemu na vašem računalu.

Dok na Androidu to uopće nije slučaj. Zatim također morate kompromitirati jezgru operativnog sustava da biste mogli ići dalje od toga. Za nas je to bilo jako, jako važno kako bismo bili sigurni da uvijek morate kompromitirati Googleov kod, Androidov kod, kako biste došli do točke u kojoj možete učiniti nešto što stvarno šteti korisniku.

Koliko je važan istraživački program treće strane za pronalaženje grešaka i ranjivosti?

Zapravo je jako važno. Prošle smo godine istraživačima platili gotovo milijun dolara. Mislim da je bilo oko 120 različitih istraživača koji su pronašli probleme i prijavili nam ih. Deseci dolaze svaki mjesec, tako da nam je to jako važno.

Jedna stvar koja se zapravo dogodila i koja je stvarno zanimljiva je da smo počeli dobivati ​​sve više i više izvješća o problemima, ne u Androidu, već u drugim komponentama koje se nalaze u uređaju. Na primjer, ovaj tjedan pojavilo se izvješće o problemu u Broadcomovim Wi-Fi upravljačkim programima koji je utjecao Android, iOS uređaji i svi drugi koji su koristili te vrste upravljačkih programa. To je vrsta stvari koju vidimo sve više i više.

Počinje li strojno učenje igrati ulogu? Imate li dovoljno podataka da bi bio učinkovit?

Sada imamo ogromnu količinu podataka i počeli smo pronalaziti neke tehnike strojnog učenja koje stvarno dobro funkcioniraju za različite vrste stvari. Jedna stvar za koju strojno učenje jako dobro funkcionira jest pronalaženje drugih aplikacija koje su također zlonamjerni softver. Kad pronađemo jednu lošu aplikaciju, mogli bismo isti dan ukloniti tisuću ili više aplikacija za koje znamo da su povezane na temelju tehnika strojnog učenja.

I očekujete da će se to poboljšati s vremenom? Očito, uči pa bi trebalo biti bolje?

To je jedan od glavnih razloga što ćemo u sljedećih nekoliko godina prestići napadače. Strojno učenje omogućuje nam da razvijemo sposobnosti zaštite mnogo brže nego što čovjek može poboljšati svoje skrivanje, što je u konačnici razlog zašto je zlonamjerni softver u prošlosti bio uporan — jer ga čak i vrlo male promjene mogu sakriti učinkovito. To više neće biti slučaj.

Znači li pooštravanje sigurnosti gubitak dijela otvorenosti i prilagodljivosti koje su pomogle da Android postane najpopularniji mobilni OS na svijetu?

Nikako. Otvorenost, prilagodljivost i sigurnost Androida među njegovim su najvećim prednostima. Mislimo da je moguće nastaviti poboljšavati sva tri.

Kada se suočimo sa značajkom za koju se čini da ova načela dovodi u sukob, jako ćemo se potruditi pronaći pristup koji je uravnotežen. Jedna uobičajena strategija je da zadana vrijednost bude sigurnija (kako bi se zaštitio što je više moguće korisnika), a da se korisnicima omogući izbor (kako bi se omogućila prilagodba).

Istu stvar radimo s proizvođačima originalne opreme [proizvođačima uređaja], definirajući sigurnosni model koji je robustan, ali također pruža bezbroj mogućnosti za inovacije i prilagodbe. Rezultirajuća raznolikost je sama po sebi sigurnosno poboljšanje, budući da je poznato da su monokulture osjetljivije na sistemski rizik. A u nekim slučajevima ta prilagodba dovodi do inovativnih sigurnosnih poboljšanja, što je blagodat za ekosustav.

Mislite li da su potrebne antivirusne aplikacije, anti-malware i druge sigurnosne aplikacije za Android trećih strana?

Predani smo tome da besplatne zaštite koje pruža Google Play budu najbolja zaštita na svijetu. Već mislimo da smo to uspjeli i nastavit ćemo objavljivati ​​informacije koje drugima omogućuju da ih sami provjere i potvrde.

Što biste savjetovali korisniku Androida koji je zabrinut za sigurnost? Koje ih radnje mogu dovesti u opasnost i što mogu učiniti da ostanu sigurni?

Objavili smo članak centra za pomoć o ovoj temi, ovdje.

Preporuke urednika

• Vaš plan za Google One upravo je dobio 2 velika sigurnosna ažuriranja kako biste bili sigurni na internetu
• Kada će moj telefon dobiti Android 13? Google, Samsung, OnePlus i drugi
• Google plaća povijesnu kaznu od 85 milijuna dolara nakon ilegalnog praćenja Android telefona
• Android 13 je ovdje i možete ga odmah preuzeti na svoj Pixel telefon
• S optimiziranim aplikacijama, Android tableti konačno će biti više od velikih telefona