Android è davvero insicuro? Abbiamo chiesto agli esperti

Android è la piattaforma mobile più utilizzata sul pianeta. Più di 1,4 miliardi di persone utilizzano uno smartphone o un tablet Android ogni giorno e il fatto che sia open source e gratuito per i produttori è una parte importante di questa popolarità. Ma l’apertura è un’arma a doppio taglio: ha portato a una situazione in cui molti telefoni Android non vengono regolarmente aggiornati con le ultime patch di sicurezza.

Lo spettro del malware incombe incombente Androide negli ultimi anni, con i ricercatori che hanno scoperto vulnerabilità di altissimo profilo, come Panico da palcoscenico. Le notizie negative arrivano così fitte e veloci che può essere difficile metterle in prospettiva. Proprio la settimana scorsa ne abbiamo parlato Malware FalseGuide, che potrebbe aver avuto un impatto fino a 1,8 milioni Androide utenti.

Andando solo sui titoli dei giornali, saresti perdonato per avere dubbi a riguardo Androide sicurezza, ma dov’è il confine tra iperbole e rischio reale? La piattaforma è davvero insicura?

“No, non è insicuro. Penso che abbiamo un piccolo problema di percezione, ma è molto diverso dal rischio effettivo per l'utente", Adrian Ludwig, direttore di Androide La sicurezza, racconta Digital Trends in una recente intervista. "Il lavoro crittografico che abbiamo svolto, il sandboxing che abbiamo svolto e gran parte del lavoro per rendere più difficile lo sfruttamento stanno andando tutti bene insieme."

Non c’è dubbio che le versioni più recenti di Androide sono più sicuri dei loro predecessori, ma il problema sono tanti Androide gli utenti non ne sentono mai il beneficio. Guardando indietro al 2016 in a post sul blog, IL Androide Il team di sicurezza ha ammesso che circa la metà dei dispositivi in ​​uso alla fine del 2016 non avevano ricevuto alcun aggiornamento da almeno 12 mesi.

“Versioni aggiornate di Google Androide può essere considerato sicuro”, ha dichiarato a Digital Trends Maik Morgenstern, CEO dell’organizzazione di classificazione antivirus AV-Test. “Ma soprattutto in molti anziani Androide versioni, emergono sempre più vulnerabilità e molti fornitori non forniscono aggiornamenti per i propri dispositivi. Attualmente sono note oltre 800 vulnerabilità”.

Se guardiamo il dati di distribuzione ufficiali per Android ad aprile, troviamo che solo il 4,9% del Androide i dispositivi eseguono le versioni più recenti, Nougat 7.0 o 7.1. Si tratta di una fetta deludentemente piccola del totale. Guardando più indietro, Androide 6.0 Marshmallow è in esecuzione sul 31,2% dei dispositivi, Androide 5.0 o 5.1, Lollipop, è presente sul 31% dei dispositivi e su un quinto Androide i dispositivi sono ancora in funzione Androide 4.4Kit Kat. La maggior parte di questi dispositivi eseguono versioni precedenti di Androide difficilmente verranno mai aggiornati.

"L'84% dei telefoni non viene aggiornato, il che significa che la maggior parte dei dispositivi mobili è ancora a rischio", Joshua J. Drake, vicepresidente di Platform Research and Exploitation presso Zimperium, ha dichiarato a Digital Trends.

Zimperium è una società di sicurezza mobile; Drake scoperto la vulnerabilità Stagefright nel 2015. Aveva il potenziale per dare agli hacker il controllo di un file Androide dispositivo tramite codice dannoso in un file audio o video e, secondo i rapporti dell'epoca, fino al 95% dei dispositivi era vulnerabile. Drake ci ha detto che alcuni dispositivi sono ancora vulnerabili oggi.

Sebbene il danno potenziale fosse spaventoso, non è chiaro quale sarà l’impatto Androide gli utenti erano.

"Eccoci qui a un anno e mezzo, quasi due anni da quando lo abbiamo scoperto per la prima volta, e ancora non sappiamo se qualcuno sia effettivamente colpito", ha detto Ludwig.

Ma Drake non è d'accordo.

"Sappiamo che ci sono stati attacchi mirati che sfruttavano le vulnerabilità di libstagefright e mediaserver", ha affermato. "Sappiamo che è difficile dimostrare un aspetto negativo in generale e rispettiamo gli sforzi di Google per proteggere meglio la propria piattaforma, ma senza un sensore sul dispositivo, non è possibile per nessuno conoscere il rischio o lo stato di minaccia di qualsiasi dispositivo, in particolare a quello mobile."

Il problema è che non è facile capire se sei stato attaccato con successo. In seguito alla scoperta di Stagefright, la società di sicurezza ha fondato la Zimperium Handset Alliance per potenziare la comunicazione tra ricercatori, operatori di rete mobile, sviluppatori di applicazioni mobili e fornitori di dispositivi.

"I ricercatori devono essere incoraggiati a esaminare gli aggiornamenti mensili di sicurezza e a provare a sfruttare tali vulnerabilità, al fine di promuovere migliori patch e un mondo mobile complessivamente più sicuro", ha affermato Drake.

Google ha adottato alcune misure importanti per ridurre i rischi per la sicurezza, rilasciando patch mensili e suddividendo elementi di Androide per rendere più semplice l'invio degli aggiornamenti. Ma le versioni precedenti di Androide sono stati lasciati indietro.

IL Problema di frammentazione Android non è facilmente risolvibile. Convincere operatori e produttori ad aggiornare i propri Androide dispositivi si è rivelato molto difficile per Google. Ha fatto il gioco diretto dell’opposizione. Tim Cook di Apple ha fatto notoriamente riferimento a a Articolo di ZDNet intitolato “Androide frammentazione che trasforma i dispositivi in ​​un inferno tossico di vulnerabilità” in una diapositiva alla WWDC del 2014. Ma iOS è davvero molto meglio? E se sì, perché?

“C'è stata l'impressione che la sicurezza di iOS sia superiore Androide sicurezza, ma non è necessariamente così”, ha detto Drake.

Perché Androide è open source, è più facile per i ricercatori della sicurezza trovare difetti e suggerire soluzioni. La natura chiusa di iOS rende più difficile per i ricercatori vedere cosa sta succedendo, ha detto. Morgenstern concorda con questa valutazione, ma sottolinea un'importante differenza che rende il malware un rischio maggiore Androide.

"Per Androide utenti, è facile installare app da qualsiasi fonte”, spiega Morgenstern. “Questo facilita l’inserimento di app dannose sul dispositivo. Il modo in cui le altre piattaforme gestiscono questa situazione è molto più rigoroso, consentendo solo installazioni dai loro mercati chiusi”.

Androide è un grande obiettivo. Con una base utenti così ampia e un codice open source, è una preda attraente per i criminali informatici. AV-Test registra fino a 30.000 nuovi Androide campioni di malware ogni giorno. È un numero spaventoso, ma preoccupante Androide gli utenti possono intervenire ridurre drasticamente i rischi attenendosi a Google Play per le app, aggiornando i dispositivi non appena le patch vengono rese disponibili e utilizzando app di sicurezza Android di terze parti.

Sia Drake che Morgenstern mettono in guardia anche dal connettersi a reti sconosciute e hotspot Wi-Fi, almeno senza utilizzare decent App VPN per Android.

"I nostri dati mostrano che la maggior parte degli attacchi sono di natura di rete e non discriminano tra iOS, Androide, o altro", spiega Drake. “Una volta che un utente malintenzionato ha intercettato e reindirizzato silenziosamente il traffico di rete, qualsiasi dispositivo diventa pericolosamente vulnerabile sorveglianza invasiva, pesca subacquea personalizzata, distribuzione di exploit di piattaforma o qualsiasi altro numero di attacchi successivi.

Androide la sicurezza sta migliorando. Possiamo puntare ad aggiornamenti più rapidi, crittografia dei dispositivi, richieste di autorizzazione, sandboxing delle app per isolare app tra loro, accesso limitato alle risorse e scansione automatica del malware nel Play Negozio. Ma ovviamente c’è ancora del lavoro da fare.

“L’anno scorso abbiamo pagato quasi un milione di dollari ai ricercatori”, ha detto Ludwig di Google, quando gli è stato chiesto dell’importanza della ricerca di terze parti. Ma nonostante questo programma di ricerca, Drake ritiene che sia necessario fare di più.

"Migliorare Androide sicurezza in generale, è fondamentale che Google collabori più strettamente con i fornitori di sicurezza”, ha affermato. “Apple e altri fornitori hanno aumentato la loro cooperazione, ma Google l’ha diminuita. La filosofia di Google è che possono fare tutto da soli, ma questo danneggia solo i loro utenti e sfortunatamente avvantaggia gli autori di malware”.

In definitiva, la questione di Androide la sicurezza potrebbe dipendere dal dispositivo che utilizzi. Se hai un telefono di due o tre anni su cui è installata una versione precedente di Androide e non è stato aggiornato da mesi, hai motivo di preoccuparti. I proprietari dei Pixel di Google, al contrario, ricevono gli ultimi aggiornamenti di sicurezza in modo tempestivo, almeno per i prossimi due anni.

È difficile dire quanto tempo passerà prima della maggior parte Androide i dispositivi eseguono Nougat o una versione successiva di Androide, ma anche in questo caso la lentezza degli aggiornamenti da parte di alcuni produttori e operatori rimarrà un problema.

"Finché ogni aggiornamento non raggiungerà tutti i dispositivi, saremo ancora a rischio", ha affermato Morgenstern.

Puoi trovare consigli più utili su come stare al sicuro sul tuo Androide telefono nel nostro Guida alla sicurezza Android.

Raccomandazioni degli editori

• Le radiazioni dei cellulari sono davvero pericolose? Abbiamo chiesto ad alcuni esperti