Apakah Android Benar-Benar Tidak Aman? Kami Bertanya pada Ahlinya

Android adalah platform seluler yang paling banyak digunakan di planet ini. Lebih dari 1,4 miliar orang menggunakan ponsel pintar atau tablet Android setiap harinya, dan fakta bahwa perangkat tersebut bersifat open source dan gratis untuk digunakan oleh produsen adalah salah satu faktor besar dari popularitas tersebut. Namun keterbukaan adalah pedang bermata dua: Hal ini telah menyebabkan banyak ponsel Android tidak diperbarui secara rutin dengan patch keamanan terbaru.

Momok malware telah membayangi Android selama beberapa tahun terakhir, dengan para peneliti menemukan kerentanan yang sangat tinggi, seperti Demam panggung. Berita negatif datang begitu cepat dan padat sehingga sulit untuk melihat ke dalam perspektif. Baru minggu lalu kami melaporkannya Malware FalseGuide, yang mungkin berdampak pada 1,8 juta orang Android pengguna.

Jika menjadi berita utama saja, Anda akan dimaafkan jika merasa was-was Android keamanan, tapi di mana batas antara hiperbola dan risiko sebenarnya? Apakah platform ini benar-benar tidak aman?

“Tidak, ini bukannya tidak aman. Saya pikir kita punya sedikit masalah persepsi, tapi ini sangat berbeda dengan risiko pengguna sebenarnya,” Adrian Ludwig, direktur Android Keamanan, kata Digital Trends dalam wawancara baru-baru ini. “Pekerjaan kriptografi yang telah kami lakukan, sandboxing yang telah kami lakukan, dan banyak upaya untuk mempersulit eksploitasi, semuanya berjalan dengan baik.”

Tidak ada keraguan bahwa versi terbaru dari Android lebih aman dibandingkan pendahulunya, namun masalahnya banyak Android pengguna tidak pernah merasakan manfaatnya. Melihat kembali tahun 2016 di a postingan blog, itu Android tim keamanan mengakui bahwa sekitar setengah dari perangkat yang digunakan pada akhir tahun 2016 belum menerima pembaruan selama setidaknya 12 bulan.

“Versi Google terkini Android dapat dianggap aman,” Maik Morgenstern, CEO organisasi pemeringkat antivirus AV-Test, mengatakan kepada Digital Trends. “Tetapi terutama pada banyak orang yang lebih tua Android versi terbaru, semakin banyak kerentanan yang muncul dan banyak vendor tidak menyediakan pembaruan untuk perangkat mereka. Saat ini, lebih dari 800 kerentanan diketahui.”

Jika kita melihat angka distribusi resmi untuk Android pada bulan April, kami menemukan bahwa hanya 4,9 persen dari Android perangkat menjalankan versi terbaru, Nougat 7.0 atau 7.1. Itu adalah bagian kecil yang mengecewakan dari total keseluruhan. Melihat lebih jauh ke belakang, Android 6.0 Marshmallow berjalan di 31,2 persen perangkat, Android 5.0 atau 5.1, Lollipop, ada di 31 persen perangkat, dan seperlimanya Android perangkat masih berjalan Android 4.4 Kit Kat. Sebagian besar perangkat ini menjalankan versi lama Android sepertinya tidak akan pernah diperbarui.

“Delapan puluh empat persen ponsel tidak diupgrade, yang berarti sebagian besar perangkat seluler masih berisiko,” kata Joshua J. Drake, wakil presiden Riset dan Eksploitasi Platform di Zimperium, mengatakan kepada Digital Trends.

Zimperium adalah perusahaan keamanan seluler; Itik jantan mengungkap kerentanan Stagefright kembali pada tahun 2015. Ini berpotensi memberi peretas kendali atas sebuah Android perangkat melalui kode berbahaya dalam file audio atau video — dan hingga 95 persen perangkat rentan terhadapnya, menurut laporan pada saat itu. Drake memberi tahu kami bahwa beberapa perangkat masih rentan hingga saat ini.

Meskipun potensi kerusakannya sangat menakutkan, tidak jelas apa dampaknya Android pengguna adalah.

“Kita sudah berada di sini selama satu setengah tahun, hampir dua tahun sejak kita pertama kali mengetahuinya, dan kita masih belum tahu apakah ada orang yang benar-benar terkena dampaknya,” kata Ludwig.

Tapi Drake tidak setuju.

“Kami tahu bahwa ada serangan yang ditargetkan menggunakan kerentanan di libstagefright dan server media,” katanya. “Kami tahu sulit untuk membuktikan hal negatif secara umum, dan kami menghormati upaya Google untuk mengamankan platform mereka dengan lebih baik, namun tanpa sensor pada perangkat, tidak ada cara bagi siapa pun untuk mengetahui status risiko atau ancaman perangkat apa pun — terutama a yang seluler.”

Masalahnya adalah tidak mudah untuk mengetahui apakah Anda telah berhasil diserang. Setelah penemuan Stagefright, perusahaan keamanan mendirikan Aliansi Ponsel Zimperium untuk meningkatkan komunikasi antara peneliti, operator jaringan seluler, pengembang aplikasi seluler, dan vendor perangkat.

“Para peneliti perlu didorong untuk melihat pembaruan keamanan bulanan, dan mencoba mengeksploitasi kerentanan tersebut, untuk mempromosikan patching yang lebih baik dan dunia seluler yang lebih aman secara keseluruhan,” kata Drake.

Google telah mengambil beberapa langkah penting untuk mengurangi risiko keamanan, dengan mengeluarkan patch bulanan dan menghancurkan elemen-elemen Android untuk membuatnya lebih mudah untuk mendorong pembaruan. Tapi versi yang lebih lama Android telah tertinggal.

Itu Masalah fragmentasi Android tidak mudah dipecahkan. Membujuk operator dan produsen untuk memperbaruinya Android perangkat telah terbukti sangat sulit bagi Google. Hal ini langsung menguntungkan pihak oposisi. Tim Cook dari Apple terkenal mereferensikan a artikel ZDNet berhak "Android fragmentasi mengubah perangkat menjadi sumber kerentanan yang sangat beracun” pada slide di WWDC pada tahun 2014. Namun apakah iOS jauh lebih baik? Dan jika ya, mengapa?

“Ada kesan bahwa keamanan iOS lebih unggul Android keamanan, tapi belum tentu demikian,” kata Drake.

Karena Android bersifat open-source, sehingga lebih mudah bagi peneliti keamanan untuk menemukan kelemahan dan menyarankan perbaikan. Sifat iOS yang tertutup mempersulit peneliti untuk melihat apa yang terjadi, katanya. Morgenstern setuju dengan penilaian ini, namun menunjukkan perbedaan penting yang membuat malware memiliki risiko lebih besar Android.

"Untuk Android pengguna, mudah untuk menginstal aplikasi dari sumber mana pun,” jelas Morgenstern. “Fakta ini memudahkan aplikasi jahat masuk ke perangkat. Cara platform lain menangani hal ini jauh lebih ketat, dengan hanya mengizinkan instalasi dari pasar tertutup mereka.”

Android adalah target yang besar. Dengan basis pengguna yang besar dan kode sumber terbuka, ini merupakan mangsa yang menarik bagi penjahat dunia maya. AV-Test mendaftarkan hingga 30.000 yang baru Android sampel malware setiap hari. Itu angka yang menakutkan, namun mengkhawatirkan Android pengguna dapat mengambil tindakan untuk itu berkurang secara drastis risikonya dengan tetap menggunakan Google Play untuk aplikasi, memperbarui perangkat segera setelah patch tersedia, dan menggunakan aplikasi keamanan Android pihak ketiga.

Baik Drake dan Morgenstern juga memperingatkan agar tidak terhubung ke jaringan yang tidak dikenal dan hotspot Wi-Fi, setidaknya tanpa menggunakan yang layak Aplikasi VPN Android.

“Data kami menunjukkan bahwa sebagian besar serangan bersifat jaringan, dan tidak membeda-bedakan iOS, Android, atau lainnya,” jelas Drake. “Setelah penyerang diam-diam mencegat dan mengalihkan lalu lintas jaringan Anda, perangkat apa pun akan sangat rentan terhadapnya pengawasan invasif, penangkapan ikan dengan tombak yang dipersonalisasi, pengiriman eksploitasi platform, atau sejumlah serangan lanjutan lainnya.”

Android keamanan membaik. Kami dapat menunjukkan pembaruan yang lebih cepat, enkripsi perangkat, permintaan izin, kotak pasir aplikasi untuk diisolasi aplikasi satu sama lain, akses terbatas ke sumber daya, dan pemindaian malware otomatis di Play Toko. Namun jelas masih ada pekerjaan yang harus diselesaikan.

“Tahun lalu kami membayar hampir satu juta dolar kepada para peneliti,” kata Ludwig dari Google, ketika ditanya tentang pentingnya penelitian pihak ketiga. Namun terlepas dari program penelitian ini, Drake merasa masih dibutuhkan lebih banyak hal.

"Meningkatkan Android keamanan secara keseluruhan, sangat penting bagi Google untuk bekerja lebih dekat dengan vendor keamanan,” katanya. “Apple dan vendor lain sudah meningkatkan kerjasamanya, namun Google justru menurunkannya. Filosofi Google adalah mereka dapat melakukan semuanya sendiri, namun hal itu hanya merugikan penggunanya dan sayangnya menguntungkan pembuat malware.”

Pada akhirnya, pertanyaan tentang Android keamanan mungkin turun ke perangkat yang Anda gunakan. Jika Anda memiliki ponsel berusia dua atau tiga tahun yang menjalankan versi lama Android dan belum diperbarui selama berbulan-bulan, Anda perlu khawatir. Sebaliknya, pemilik Google Pixel menerima pembaruan keamanan terkini secara tepat waktu, setidaknya untuk beberapa tahun ke depan.

Sulit untuk mengatakan berapa lama waktu yang dibutuhkan sebelum sebagian besar waktu Android perangkat menjalankan Nougat, atau versi yang lebih baru Android, namun lambatnya pembaruan dari beberapa produsen dan operator akan tetap menjadi masalah.

“Sampai setiap pembaruan menjangkau semua perangkat, kita masih dalam risiko,” kata Morgenstern.

Anda dapat menemukan saran yang lebih berguna tentang cara agar tetap aman Android telepon di kami Panduan keamanan Android.

Rekomendasi Editor

• Apakah radiasi ponsel sebenarnya berbahaya? Kami bertanya kepada beberapa ahli