Biztonsági főnöke szerint az Android operációs rendszer biztonságosabb, mint gondolná

Népszerű és tartós az az elképzelés, hogy az Android platform nem biztonságos. És nagyon valószínű, hogy rosszul.

Alig telik el egy hét anélkül, hogy új címszó ne lenne egy frissen feltárt sebezhetőségről vagy új kártevőkről, amelyek több millió eszközt érintenek.

Ezeket a problémákat súlyosbítja az a tény, hogy a Android az ökoszisztéma bonyolult. Töredezettség hihetetlenül megnehezíti a platform frissítését. Különböző eszközgyártók sok ezer különféle telefont és táblagépet készítenek, amelyek az Android különböző verzióit futtatják. Ennek eredményeként a biztonsági javításokat tartalmazó frissítések bevezetése hónapokig tart – vagy ami még rosszabb, soha nem. Túl sok gyártó csak a zászlóshajóit frissíti, így a régebbi és kisebb eszközökön ismert sebezhetőségek maradnak, amelyek veszélybe sodorhatják a felhasználókat.

Vegyünk egy sebezhetőséget, mint pl Lámpaláz, amely egy hang- vagy videofájlban található rosszindulatú kódon keresztül irányíthatja a hackereket egy Android-eszköz felett. A jelentések szerint az eszközök 95 százaléka volt sebezhető. De valójában hányan érintettek?

„Itt vagyunk másfél év múlva, majdnem két éve, hogy először értesültünk róla, és még mindig nem tudom, hogy bárkit is érintett” – mondta Adrian Ludwig, az Android biztonsági igazgatója a Digitalnak Trendek.

A gond az volt, hogy a Google viszonylag gyorsan kidolgozta a javításokat, és azonnal bevezette azokat a Google Nexus termékcsaládjába. A többi készülékhez a javítások a gyártók döntése alapján jelentek meg.

Ez azt jelenti, hogy ha van a Google Pixel a legújabb Android 7.0 Nougat segítségével Ön élvezheti a legújabb biztonság előnyeit, de valakinek a telefonja a KitKat rendszert futtatja (20 százaléka Android eszközök), amelyek egy éve vagy még tovább nem láttak frissítést, veszélybe kerülhettek.

Ez egy kényes probléma, amelyet nem lehet könnyen megoldani, de az Android biztonsági csapata keményen dolgozott, hogy csökkentse a felhasználók kockázatát. Az ijesztő statisztikák jó címeket adnak, de igen Android megérdemli a bizonytalanság miatti hírnevét?

„Azt hiszem, van némi észlelési problémánk, de ez nagyon különbözik a tényleges felhasználói kockázattól” – magyarázta Ludwig. „A kriptográfiai munka, amit végzünk, a homokozó, amit végzünk, és sok a kizsákmányolás megnehezítésére irányuló munka, mind szépen összejönnek.”

A Digital Trends beszélgetett Ludwiggal a Google Hangouts szolgáltatásban, hogy megtudja az Android biztonságának jelenlegi állapotát, és megkérdezze, vajon valóban érdemes-e aggódjon a főoldalon megjelenő sebezhetőségek és rosszindulatú programok miatt, és ismerje meg, mit tesz a Google a töredezettség ellen a szélesebb körű biztonság érdekében frissítéseket.

Digitális trendek: Valóban nem biztonságos az Android?

Adrian Ludwig: Nem, ez nem bizonytalan. Sok olyan dolog van, amit tettünk, ami előremozdította a várakozásokat az elmúlt néhány évben.

Mac vagy Windows esetén harmadik féltől származó vírusvédelemre volt szükség, de azt mondtuk, hogy ezt mindenki számára megtesszük, és ingyenesen elkészítjük.

Az alkalmazások homokozója egy viszonylag új koncepció az Android biztonság világában – az az elképzelés, hogy az alkalmazások nem férnek hozzá minden a felhasználói adatokhoz való hozzáférés, de csak az adatokhoz való hozzáférés teljesen új, ez nem olyan dolog, ami létezik Mac-en, nem olyan, ami létezik Ablakok.

Aztán ott van az eszköztitkosítás. A legtöbb vállalatnál nincs mindig bekapcsolva. A mobil térben azt az elvárást támasztják, hogy mindent mindig titkosítani kell, és még azt is elvárják, hogy olyan jól lesz titkosítva, hogy még egy kifinomult támadásnak is nehéz lesz hozzáférni az adatokhoz felhasználó nélkül felhatalmazást.

Sokat tanultunk arról is, hogyan dolgoznak a rossz színészek, és mit próbálnak csinálni, és most egy kicsit inflexiós ponton vagyunk. Az első néhány évben tanultunk, építettük a megértésünket, és fejlesztettük technológiai halmazunkat. Most lépést tarthatunk a rossz színészekkel. A rosszindulatú programok aránya például viszonylag változatlan maradt az elmúlt három-négy évben, de azt hiszem, ez az az év, amikor látni fogjuk, hogy csökkennek, esetleg jelentősen csökkennek, mert eljutottunk odáig, hogy van elég ügyességünk és tapasztalat. Mostantól gyorsabban tudunk mozogni, mint a szereplők, hamarabb elkapjuk őket, és hatékonyabban tudunk fellépni az egész ökoszisztémában, mint korábban.

Úgy gondolom, hogy fordulóponthoz érkeztünk, amikor még Android szabványok szerint is jelentős javulást fogunk látni a rosszindulatú programok tekintetében.

Van még tennivaló, de könnyű elfelejteni, mennyit jutottunk el az elmúlt öt évben.

Nagyon sok jelentést látunk a sebezhetőségekről, ijesztő statisztikákkal. Mekkora a reális kockázata annak, hogy Android-eszközét kihasználják vagy eltérítik? Például valami, mint a Stagefright, állítólag potenciálisan hatással lehet a 95 százalékra Android eszközöket. Van fogalmunk arról, hogy valójában hány embert raboltak el ezzel a sebezhető ponttal?

Itt vagyunk másfél év múlva, majdnem két éve, hogy először értesültünk róla, és még mindig nem tudjuk, hogy ez bárkit is érintett volna. Vannak olyan pletykák, hogy néhány eszközt érinthetett, de még azokat is, amelyekre nem kaptunk megalapozott bizonyítékot.

És higgyen nekem, valahányszor egy ilyen pletykát hallunk, megpróbáljuk elűzni azt. Beszélünk azzal a céggel, amely ezt a nyilatkozatot teszi. Megkérdezzük, hogy vannak-e olyan adatok, amelyeket megoszthatnak. Soha nem tudtuk alátámasztani ezeket a számokat. Határozottan állíthatom, hogy nem 900 millió eszköz volt érintett.

Természetesen a futó címek és az izgalom nem volt arányban a valósággal, és lehet, hogy senkit sem érintett. Ami szerintem hihetetlen, még magamra nézve is mindig az aggodalom, hogy lehet, hogy van valami, amit nem látsz, de úgy tűnik, az idő az, ami felfedi ezeket a vakfoltokat.

Az elmúlt hat évben az Android biztonságán dolgozom, és valahányszor olyan területre nézel, ahol valaki azt mondta, hogy „ez egy vakfolt”, nem találunk semmit. Tehát az elején az volt, hogy „sok tonna rosszindulatú program van a Google Playen”, és megnéztük, volt néhány, és eltávolítottuk. Aztán azt halljuk, hogy „a Google Playen kívül van”, megnézzük, van néhány, elég jó védelmet helyeztünk el. Aztán „jövőre mászni fog”, és ez sem történt meg. Nos, „ki fogják használni a sebezhetőségeket”, de ezt nem látjuk.

Újra és újra haladunk afelé, ahol keresünk, és az általunk végzett ellenőrzések és szolgáltatások terén, amelyeket rossz szereplők után kutatunk, de nem látunk semmilyen tényleges kárt.

Ennek ellenére a lehető legóvatosabbak akarunk lenni, ezért olyan szolgáltatásokba fektetünk be, hogy betekinthessünk ezekbe a kis sötét sikátorokba. Partnereinkkel azon is dolgozunk, hogy a lehető leggyorsabban tudjanak válaszolni, ezért sokat fektettünk biztonsági frissítéseket, nem azért, mert sok tényleges kizsákmányolást látunk, hanem azért, mert nem akarjuk, hogy ez valaha is kockázatot jelentsen. rájött.

Sok minden arról szól, hogy előrébb maradunk, és soha nem jutunk el addig a pontig, ahol probléma adódna.

Miért gondolja, hogy ez a narratíva az Androidról, mint a sebezhetőségek „mérgező pokolpasztája” továbbra is fennmarad?

Van néhány oka. Az egyik az, hogy a bonyolultság gyakran nagyon ijesztő, az Android ökoszisztéma narratívája pedig összetett. Az ökoszisztémában sok különböző OEM [telefon- és táblagépgyártó] található, és sok különböző eszközmodell.

Nehéz nagyon tömören leírni, hogy mi történik az Android ökoszisztémában, ugyanúgy, mint az emberi anatómia vagy az emberiség populációjának leírása. De ezt tudjuk az orvostudomány javul, és tudjuk, hogy az emberek tovább élnek. Tudjuk, hogy az emberek egyre egészségesebbek, de még mindig rengeteg történetet olvasunk emberek haldoklásáról, rossz dolgokról és betegségekről.

Azt hiszem, ez egy tükre annak, ami az Android ökoszisztémában történik. Bonyolult, így nem gyakran van kielégítő, szuper egyszerű válasz, de összességében egyre biztonságosabb és robusztusabb.

Sok rosszindulatú sztorit is látunk, de veszélyben van az átlagos Android-felhasználó, aki soha nem tölt le alkalmazásokat a Play Áruházon kívül?

A Play-nél a rosszindulatú programok száma körülbelül 0,05 százalék, ami 10 000 alkalmazásból 5, tehát ez elég alacsony. Ami azt illeti, hogy az eszközök hány százaléka fertőződik meg, ez abban a tartományban van, ahol ha nem beszélnénk róla, senki sem tudná, hogy megtörtént.

Azért beszélünk róla, hogy megbizonyosodjunk arról, hogy a kockázat szintje átlátható. A platformok gyakran nem akarnak beszélni dolgokról. Behunyják a szemüket. Szeretjük a külső szereplők és politikáink és folyamataink átláthatóságát, hogy bizalmat építsünk. Nem akarjuk, hogy az emberek vakon bízzanak.

Szerintem az Android ökoszisztémában a Play Áruház a legtisztább alkalmazásbolt. Elképzelem, hogy hasonló a többi alkalmazásbolthoz, ahol az ökoszisztémák zártabbak. [Úgy véljük, Adrian az Apple App Store-ra utal.]

Miután sok emberrel megbeszéltük, anekdotikus módon nem ismerünk senkit, akinek volt Android-malware-problémája, de nekem is voltak Windows-problémák. Miért beszél mindenki arról Android Biztonság?

Azt hiszem, meguntuk a Windows rosszindulatú programjait, és ezért nem szórakoztató többet beszélni róla. Az Android egyfajta új, izgalmas dolog volt.

Minden, amit láttam, ezt mutatja az Android-ökoszisztémában. A Google Playről telepített több százmillió eszköz nagyságrenddel tisztább, mint egy felügyelt vállalati Windows-eszközpark. A fertőzési arányunk fél százalékos globálisan, ahol a felügyelt Windows-eszközök esetében magasabb, a fogyasztói háztartások esetében pedig még magasabb a Windows-eszközök fertőzési aránya.

De az Android izgalmas. Ez egy növekvő piac. Ez egy növekvő piac a fogyasztók számára, de úgy gondolom, hogy ez egy növekvő piac a biztonsági ipar számára is, ezért nagyon érdekli őket, hogy az emberek tisztában legyenek ezekkel a dolgokkal és gondolkodjanak róluk. Ez a kommunikáció formája a platform körül.

Ha rosszindulatú programokat talál, melyik típus a leggyakoribb?

A legtöbb, amit látunk, kereskedelmi jellegű. Általában pénzt próbálnak keresni, és a mobileszközökön való bevételszerzés mechanizmusa az alkalmazások telepítése. Látunk olyan alkalmazásokat, amelyek banki jelszavakat vagy hasonlókat keresnek, de a bevételszerzés legegyszerűbb módja egy alkalmazás telepítése. Nagyon nagy százaléka kapcsolódik az általunk ellenséges letöltőkhöz.

Az érdekes az, hogy az általuk telepített alkalmazások önmagukban nem károsak. Lehet, hogy ez egy játék, amely promóciót szeretne kapni, vagy egy másik szolgáltatás, ahol a piaci elosztásból profitálnak. A végeredmény nem az, amire az emberek gondolnak, amikor a rosszindulatú programokra gondolnak. Gyakran nem valaki próbálja ellopni az adatait.

Ott van spyware. Nem akarom azt sugallni, hogy nem létezik. Ezen a héten még egy bejegyzést is írtunk egy nagyon csúcskategóriás kémprogramról, amelyet találtunk, de ez 25 eszközön volt. Ez természetesen nem az a fajta dolog, ami elterjedt vagy legnépszerűbb az ökoszisztémában.

Van valami eredendően kevésbé biztonságos az Androidban a többi mobil operációs rendszerhez képest?

Nem hiszem, hogy a platformon belül semmi kevésbé biztonságos lenne. Úgy gondolom, hogy a bonyolultság megnehezíti a platformszintű kijelentéseket.

Az emberek szeretik összehasonlítani az iPhone-t az Androiddal. Az iPhone egy gyártó operációs rendszerével rendelkező eszköz, valójában öt különböző eszközről van szó. Ha megnézed az egyik gyártót Android – A Samsung a legnagyobb – több száz különböző eszközmodelljük van. Ha pusztán összehasonlítjuk a Samsungot az iOS-sel, akkor már nagyjából 20-szor bonyolultabb, ami ezt az eszközt illeti. Nem ésszerű összehasonlítás.

Talán igazságosabb lenne a Pixel és a Nexus vonal összehasonlítása az iPhone-nal?

Igen, hardver szempontból nagyon hasonló – hasonló biztonsági tulajdonságok. Az alkalmazásboltok hasonló biztonsági tulajdonságokkal rendelkeznek, ellenőrzött alkalmazások, alkalmazásizoláció – nagyon hasonló biztonsági tulajdonságok. Mindketten elkötelezettek a gyors frissítések iránt.

Ahol a differenciáláshoz jutsz, az az átláthatóság. Az Android nyílt forráskódú. Ez az információ mindenki számára elérhető. Biztonsági jutalomprogramunkon keresztül ösztönözzük a harmadik felek kutatását, így nemcsak ezt tudjuk keresünk-e problémákat a platformon, de mások is ilyenek, és ez nagyot jelent különbség.

Úgy gondolom, hogy a szolgáltatások is óriási különbséget jelentenek. Szándékosan terveztük a láthatóságot és a terepen lévő eszközök ellenőrzésének lehetőségét, míg ez más platformon nem létezik. Ez azt jelenti, hogy sok apró dologról kapunk visszajelzést, ami történik, és reagálni tudunk rá.

Hogyan küzdhet le a biztonsági frissítések lassú megjelenése ellen a nem készleten lévő Android-eszközökön? Ez frusztráló?

Nagyon nagyra értékeljük, hogy hányan fogadták el az Androidot, és hány eszközön van Android rajtuk. Az ökoszisztéma e puszta sokfélesége a valóságban az, hogy egyes gyártók nagyon gyorsan, mások pedig lassabban.

Az elmúlt évben sok időt fordítottunk arra, hogy segítsünk azoknak, akik lassabban haladnak, megoldani néhány problémát technológiai kihívásokat, megoldja néhány mérnöki, és bizonyos esetekben a szervezeti kihívásait kihívásokat. Előfordulhat, hogy hiányzik a mérnökökből álló személyzet a frissítések biztosításához. Lehet, hogy nem gondoltak erre, ezért azt kérdezzük, mit tehetünk, hogy eljussunk arra a pontra, amikor elgondolkodtál rajta, és van értelme?

Ez határozottan bonyolultabbá teszi a dolgokat, de ez is az alapja annak, hogy az Android miért olyan sikeres, mert sok különböző ember tudott belevágni és elkezdeni eszközöket építeni.

Milyen lépéseket tett az Android csapata a platform biztonságosabbá tétele érdekében? És mi a következő terület, amellyel foglalkozni vagy javítani szeretne?

Szerintem minden darab nagyon szépen összeáll. Ez egy több éves utazás volt, de a kriptográfiai munka, amit végzünk, a homokozó, amit csináltunk, sok a kizsákmányolás megnehezítésére irányuló munka szépen összejön, tehát ezek azok a területek, amelyeken tovább fogunk dolgozni tovább.

Miért fontos a homokozó?

A homokozó alapvető szinten arról szól, hogyan lehet elkülöníteni az egyik alkalmazást a másiktól. Egy játék tökéletes példa, ahol az emberek nem gondolnak rá, de a PC-n a játékok gyakran hálózatba kapcsolódnak. Ezek egyike azon kevés dolgoknak az ilyen típusú eszközökön, amelyek hálózati port szolgáltatással rendelkeznek, így ez az egyik legfélelmetesebb szoftver, amelyet a legtöbb fogyasztói eszközön futtat. Ha kompromittálsz egy játékot, a játék szerzője teljesen jóindulatú lehet, de a játék mindenhez hozzáfér a számítógépeden.

Míg Androidon ez egyáltalán nem így van. Ezután az alapvető operációs rendszert is kompromisszumot kell kötnie ahhoz, hogy ezen túl tudjon lépni. Számunkra ez nagyon-nagyon fontos volt, hogy megbizonyosodjunk arról, hogy mindig kompromittálni kell a Google kódját, az Android kódját, hogy eljussunk arra a pontra, ahol olyasvalamit tehet, ami valóban bántja a felhasználót.

Mennyire fontos a harmadik fél kutatási programja a hibák és sebezhetőségek feltárása szempontjából?

Valójában nagyon fontos. Tavaly csaknem egymillió dollárt fizettünk a kutatóknak. Azt hiszem, körülbelül 120 különböző kutató talált problémákat, és jelentette azokat nekünk. Havonta több tucatnyian érkeznek, tehát ez nagyon fontos számunkra.

Valójában egy nagyon érdekes dolog történt, hogy egyre több bejelentést kaptunk a problémákról, nem az Androidban, hanem az eszközben található egyéb összetevőkben. Például ezen a héten egy jelentés érkezett a Broadcom Wi-Fi-illesztőprogramjainak problémájáról, amely érintett Android, iOS eszközök és bárki más, aki ilyen típusú illesztőprogramokat használt. Ez az a fajta dolog, amit egyre többször látunk.

Kezd szerepet játszani a gépi tanulás? Van elég adatod ahhoz, hogy hatékony legyen?

Mára hatalmas mennyiségű adat áll rendelkezésünkre, és elkezdtünk olyan gépi tanulási technikákat találni, amelyek nagyon jól működnek különböző típusú dolgokhoz. Az egyik dolog, amiért a gépi tanulás nagyon jól működik, az az, hogy más olyan alkalmazásokat találunk, amelyek szintén rosszindulatú programok. Ha találunk egy rossz alkalmazást, akár ezer vagy több olyan alkalmazást is eltávolíthatunk ugyanazon a napon, amelyekről tudjuk, hogy a gépi tanulási technikák alapján kapcsolódnak egymáshoz.

És arra számít, hogy ez idővel javulni fog? Nyilvánvalóan tanul, ezért jobbnak kell lennie?

Ez az egyik fő oka annak, hogy a következő pár évben megelőzzük a támadókat. A gépi tanulás lehetővé teszi, hogy sokkal gyorsabban fejlesszük ki a védelmi képességeket, mint ahogyan az ember javítani tudja a rejtőzködését, végső soron ezért maradtak fenn a rosszindulatú programok a múltban – mert még a nagyon kis változtatások is elrejthetik azt hatékonyan. Ez már nem lesz így.

A biztonság szigorítása azt jelenti, hogy elveszítjük a nyitottságot és a testreszabhatóságot, amely hozzájárult ahhoz, hogy az Android a legnépszerűbb mobil operációs rendszer a világon?

Egyáltalán nem. Az Android nyitottsága, testreszabhatósága és biztonsága a legnagyobb erősségei közé tartozik. Úgy gondoljuk, hogy mindhárom területen tovább lehet javítani.

Ha olyan jellemzővel szembesülünk, amely úgy tűnik, hogy ezek az elvek ütköznek egymással, nagy erőfeszítéseket teszünk, hogy megtaláljuk a kiegyensúlyozott megközelítést. Az egyik általános stratégia az, hogy az alapértelmezett beállítás biztonságosabb (a lehető legtöbb felhasználó védelme érdekében), miközben lehetővé teszi a felhasználók számára a választás lehetőségét (a testreszabás érdekében).

Ugyanezt tesszük az OEM-ekkel [eszközgyártókkal], olyan biztonsági modellt határozva meg, amely robusztus, de számtalan lehetőséget kínál az innovációra és a testreszabásra. Az így létrejövő sokféleség önmagában is növeli a biztonságot, mivel a monokultúrákról ismert, hogy érzékenyebbek a rendszerszintű kockázatokra. És bizonyos esetekben ez a testreszabás innovatív biztonsági fejlesztésekhez vezet, ami áldás az ökoszisztéma számára.

Úgy gondolja, hogy szükség van vírusirtókra, kártevőirtókra és más, harmadik féltől származó Android biztonsági alkalmazásokra?

Elkötelezettek vagyunk amellett, hogy a Google Play által biztosított ingyenes védelmet a legjobb védelemmé tegyük a világon. Úgy gondoljuk, hogy ezt már elértük, és továbbra is olyan információkat teszünk közzé, amelyek lehetővé teszik, hogy mások is ellenőrizzék és megerősítsék.

Milyen tanácsot adna egy biztonsági aggályokkal küzdő Android-felhasználónak? Milyen intézkedések veszélyeztethetik őket, és mit tehetnek a biztonságuk érdekében?

Ebben a témában közzétettünk egy súgócikket, itt.

Szerkesztői ajánlások

• A Google One-csomagod két nagy biztonsági frissítést kapott, hogy biztonságban maradhass az interneten
• Mikor lesz a telefonom Android 13? Google, Samsung, OnePlus és még sok más
• A Google történelmi 85 millió dolláros bírságot fizet az Android telefonok illegális nyomon követése miatt
• Megérkezett az Android 13, és már most letöltheti Pixel telefonjára
• Az optimalizált alkalmazásokkal az Android táblagépek végre többek lesznek, mint nagy telefonok