Saskaņā ar tās drošības priekšnieka teikto, Android OS ir drošāka, nekā jūs domājat

Ideja, ka Android platforma ir nedroša, ir populāra un pastāvīga. Un ļoti iespējams, ka nepareizi.

Paiet gandrīz nedēļa bez jauna virsraksta par tikko atklātu ievainojamību vai jaunu ļaunprātīgu programmatūru, kas ietekmē miljoniem ierīču.

Šīs problēmas saasina fakts, ka Android ekosistēma ir sarežģīta. Sadrumstalotība padara platformas atjaunināšanu neticami sarežģītu. Daudzi dažādu ierīču ražotāji veido tūkstošiem dažādu tālruņu un planšetdatoru, kuros darbojas dažādas Android versijas. Līdz ar to atjauninājumu ar drošības labojumiem ieviešana prasa vairākus mēnešus, vai, vēl ļaunāk, tas netiek darīts vispār. Pārāk daudzi ražotāji atjaunina tikai savus vadošos modeļus, atstājot zināmas ievainojamības vecākās un mazākās ierīcēs, kas var apdraudēt lietotājus.

Apsveriet tādu ievainojamību kā Skatuves bailes, kas var dot hakeriem kontrolēt Android ierīci, izmantojot ļaunprātīgu kodu audio vai video failā. Pārskati liecina, ka līdz 95 procentiem ierīču bija neaizsargātas. Bet cik patiesībā tika ietekmēti?

“Šeit mums ir pagājis pusotrs gads, gandrīz pagājuši divi gadi, kopš mēs pirmo reizi par to uzzinājām, un mēs joprojām Es nezinu, vai tas tiešām ir skarts," intervijā Digital sacīja Android drošības direktors Adrians Ludvigs Tendences.

Bažas radīja tas, ka Google salīdzinoši ātri izstrādāja labojumus un nekavējoties ieviesa tos Google Nexus ierīču sērijā. Citu ierīču ielāpi iznāca pēc ražotāju ieskatiem.

Tas nozīmē, ja jums ir a Google Pixel ar jaunāko Android 7.0 Nougat, jūs gūstat labumu no jaunākās drošības, taču kāds, kuram ir tālrunis, kurā darbojas KitKat (20 procenti Android ierīces), kas nav redzējušas atjauninājumu gadu vai ilgāk, varētu būt apdraudētas.

Tā ir sarežģīta problēma, kuru nav viegli atrisināt, taču Android drošības komanda ir smagi strādājusi, lai samazinātu risku lietotājiem. Biedējoša statistika veido labus virsrakstus, taču tā ir Android ir pelnījis savu reputāciju nedrošības dēļ?

"Es domāju, ka mums ir zināma uztveres problēma, taču tā ļoti atšķiras no faktiskā lietotāja riska," skaidroja Ludvigs. "Kriptogrāfijas darbs, ko mēs esam darījuši, smilškastes, ko esam darījuši, un liela daļa darbu, lai padarītu ekspluatāciju grūtāku, viss ir labi kopā."

Digital Trends sarunājās ar Ludvigu pakalpojumā Google Hangouts, lai noskaidrotu pašreizējo Android drošības stāvokli un jautātu, vai cilvēkiem patiešām vajadzētu uztraucieties par virsrakstu ievainojamību un ļaunprātīgu programmatūru un uzziniet, ko Google dara sadrumstalotības jomā, lai nodrošinātu plašāku drošību atjauninājumus.

Digitālās tendences: vai Android patiešām ir nedrošs?

Adrians Ludvigs: Nē, tas nav nedrošs. Mēs esam paveikuši daudzas lietas, kas pēdējo pāris gadu laikā ir virzījušas cerības uz priekšu.

Operētājsistēmām Mac vai Windows jums bija jābūt trešās puses pretvīrusu aizsardzībai, taču mēs teicām, ka darīsim to visiem un padarīsim to bez maksas.

Lietojumprogrammu smilškaste ir salīdzinoši jauna koncepcija Android drošības pasaulē — ideja, ka lietojumprogrammām nav piekļuves visiem jūsu lietotāja datiem, bet tikai piekļuve viņu datiem ir pilnīgi jauns, tas nav kaut kas tāds, kas pastāv operētājsistēmā Mac, tas nav kaut kas tāds, kas pastāv Windows.

Pēc tam ir ierīces šifrēšana. Lielākajai daļai uzņēmumu tas nav ieslēgts visu laiku. Mobilajā telpā ir izvirzītas cerības, ka visam jābūt visu laiku šifrētam, un ir pat cerības, ka tas ir tiks šifrēti tik labi, ka pat sarežģītam uzbrukumam būs grūti piekļūt šiem datiem bez lietotāja autorizācija.

Mēs esam arī daudz uzzinājuši par to, kā sliktie aktieri strādā un ko viņi mēģina darīt, un tagad esam nelielā novirzes punktā. Pirmos gadus mēs mācījāmies, veidojām izpratni un uzlabojām savu tehnoloģiju kopumu. Tagad mēs varam sekot līdzi sliktajiem aktieriem. Piemēram, ļaunprātīgas programmatūras līmenis pēdējo trīs vai četru gadu laikā ir salīdzinoši nemainīgs, taču es domāju, ka šis ir gads, kurā mēs esam redzēsim, ka tās samazināsies, iespējams, ievērojami samazināsies, jo esam sasnieguši punktu, kurā mums ir pietiekami daudz prasmju un pieredze. Tagad mēs spējam pārvietoties ātrāk nekā dalībnieki, ātrāk viņus notvert un rīkoties efektīvāk visā ekosistēmā nekā iepriekš.

Es domāju, ka mēs esam pagrieziena punktā, kurā pat saskaņā ar Android standartiem mēs sāksim redzēt diezgan nozīmīgus uzlabojumus attiecībā uz ļaunprātīgu programmatūru.

Vēl ir daudz darāmā, taču ir viegli aizmirst, cik tālu esam tikuši pēdējo piecu gadu laikā.

Mēs redzam daudz ziņojumu par ievainojamībām ar biedējošu statistiku. Kāds ir reālais risks, ka jūsu Android ierīce tiks izmantota vai nolaupīta? Piemēram, tika teikts, ka kaut kas līdzīgs Stagefright potenciāli ietekmēs 95 procentus no Android ierīces. Vai mums ir nojausma, cik daudzi ir faktiski nolaupīti, izmantojot šo ievainojamību?

Ir pagājis pusotrs gads, gandrīz pagājuši divi gadi, kopš mēs pirmo reizi par to uzzinājām, un mēs joprojām nezinām, ka kāds patiešām ir ietekmēts. Klīst baumas, ka varētu būt ietekmēts neliels skaits ierīču, taču pat tās, par kurām mums nav nekādu pamatotu pierādījumu.

Un ticiet man, ikreiz, kad mēs dzirdam tādas baumas, mēs cenšamies to dzenāt. Mēs runājam ar uzņēmumu, kas sniedz šo paziņojumu. Mēs jautājam, vai ir dati, ko viņi var kopīgot. Mēs nekad neesam spējuši pamatot nevienu no šiem skaitļiem. Noteikti varu teikt, ka netika ietekmēti 900 miljoni ierīču.

Protams, virsraksti un satraukums bija nesamērīgi ar realitāti, un var gadīties, ka tas nevienu neietekmēja. Manuprāt, tas ir neticami, pat atskatoties atpakaļ, vienmēr ir bažas, ka var būt kaut kas tāds, ko jūs neredzat, taču šķiet, ka laiks ir tas, kas atklāj šīs aklās vietas.

Pēdējos sešus gadus esmu strādājis pie Android drošības, un ikreiz, kad paskatās uz apgabalu, kur kāds ir teicis: “Tā ir aklā zona”, mēs neko neatrodam. Tātad, sākumā tas bija "pakalpojumā Google Play ir daudz un tonnas ļaunprātīgas programmatūras", un mēs paskatījāmies, tur bija dažas, mēs to noņēmām. Tad mēs dzirdam “tas ir ārpus Google Play”, mēs skatāmies, ir daži, mēs ieviešam diezgan labus aizsardzības līdzekļus. Tad "nākamgad tas kāps", un arī tas nenotika. Tagad "tiks izmantotas tās ievainojamības", bet mēs to neredzam.

Atkal un atkal mēs virzāmies uz priekšu tajā, kur mēs meklējam un veicam pārbaudes, un pakalpojumus, ko sniedzam, lai meklētu sliktus dalībniekus, taču mēs vienkārši neredzam nekādu reālu kaitējumu.

Tomēr mēs vēlamies būt tik piesardzīgi, cik vien iespējams, un tāpēc ieguldām pakalpojumos, lai aplūkotu visas šīs mazās tumšās ieliņas. Mēs arī sadarbojamies ar partneriem, lai nodrošinātu, ka viņi spēj reaģēt pēc iespējas ātrāk, tāpēc mēs esam daudz ieguldījuši drošības atjauninājumus, nevis tāpēc, ka mēs redzam daudz reālas ekspluatācijas, bet gan tāpēc, ka nevēlamies, lai tas būtu risks, kas kādreiz kļūst realizēts.

Liela daļa no tā ir saistīta ar noturēšanos priekšā un nekad nenonākšanu līdz vietai, kur rodas problēma.

Kāpēc, jūsuprāt, šis stāstījums par Android ir ievainojamību “toksisks elles sautējums” joprojām pastāv?

Ir daži iemesli. Viens no tiem ir tas, ka sarežģītība bieži ir ļoti biedējoša, un Android ekosistēmas stāstījums ir sarežģīts. Ekosistēmā ir daudz dažādu OEM [tālruņu un planšetdatoru ražotāju], daudz dažādu ierīču modeļu.

Ļoti lakoniski aprakstīt Android ekosistēmā notiekošo ir grūti, tāpat kā cilvēka anatomiju vai cilvēces populāciju ir ļoti grūti aprakstīt. Bet mēs to zinām medicīna kļūst labāka, un mēs zinām, ka cilvēki dzīvo ilgāk. Mēs zinām, ka cilvēki kļūst veselīgāki, taču joprojām lasām daudz stāstu par cilvēku mirstību, sliktām lietām un slimībām.

Es domāju, ka tas ir spogulis tam, kas notiek Android ekosistēmā. Tas ir sarežģīti, tāpēc bieži vien nav apmierinoša, ļoti vienkārša atbilde, taču kopumā tā kļūst arvien drošāka un stabilāka.

Mēs redzam arī daudz stāstu par ļaunprātīgu programmatūru, taču vai vidējam Android lietotājam, kurš nekad nelejupielādē lietotnes ārpus Play veikala, draud briesmas?

No Play ļaunprātīgas programmatūras skaits ir aptuveni 0,05 procenti, kas ir 5 no 10 000 lietotnēm, tāpēc tas ir diezgan zems. Runājot par to, cik procentu ierīču tiek inficētas, tas ir diapazonā, kurā, ja mēs par to nerunātu, neviens nezinātu, ka tas pat notiek.

Mēs par to runājam, lai nodrošinātu pārskatāmību par riska līmeni. Bieži vien platformas nevēlas runāt par lietām. Viņi piever acis. Mums patīk, ka ārējie dalībnieki un mūsu politika un procesi ir pārredzami, lai mēs varētu veidot uzticību. Mēs nevēlamies, lai cilvēki akli uzticētos.

Es domāju, ka Android ekosistēmā Play veikals ir tīrākais lietotņu veikals. Es varētu iedomāties, ka tas ir līdzīgi citiem lietotņu veikaliem ar slēgtākām ekosistēmām. [Mēs uzskatām, ka Adrians atsaucas uz Apple App Store.]

Apsprieduši to ar daudziem cilvēkiem, anekdotiski mēs nezinām nevienu, kam būtu bijusi Android ļaunprātīgas programmatūras problēma, bet man pašam ir bijušas problēmas ar Windows. Kāpēc visi runā par Android drošību?

Es domāju, ka mums ir apnicis Windows ļaunprogrammatūra, un tāpēc vairs nav patīkami par to runāt. Android bija sava veida jauna, aizraujoša lieta.

Viss, ko esmu redzējis, parāda to visā Android ekosistēmā. Simtiem miljonu ierīču, kas tiek instalētas no pakalpojuma Google Play, ir daudz tīrākas nekā pārvaldīta uzņēmuma Windows ierīču flote. Mūsu inficēšanās līmenis ir pusprocents visā pasaulē, kur pārvaldītajām Windows ierīcēm tas ir augstāks, un patērētāju mājsaimniecībās inficēšanās līmenis Windows ierīcēm ir vēl augstāks.

Bet Android ir aizraujošs. Tas ir augošs tirgus. Tas ir augošs tirgus patērētājiem, bet es domāju, ka tas ir arī augošs tirgus drošības nozarei, tāpēc viņi ir ļoti ieinteresēti pārliecināties, ka cilvēki ir informēti par šīm lietām un domā par tām. Tā ir komunikācijas forma platformā.

Kad atrodat ļaunprātīgu programmatūru, kāda veida programmatūra ir visizplatītākā?

Lielākā daļa no tā, ko mēs redzam, ir komerciāla rakstura. Viņi parasti cenšas pelnīt naudu, un monetizācijas mehānisms mobilajās ierīcēs ir lietojumprogrammu instalēšana. Mēs redzam nišas gadījumus, kad lietotnes tiek izmantotas pēc banku parolēm vai tamlīdzīgām lietām, taču vienkāršākais veids, kā gūt peļņu, ir instalēt lietotni. Ļoti liels procents ir saistīts ar naidīgiem lejupielādētājiem.

Interesanti ir tas, ka viņu instalētās lietotnes pašas nav kaitīgas. Tā var būt spēle, kas vēlas saņemt paaugstinājumu, vai tas var būt cits pakalpojums, kurā viņi gūst labumu no tirgus izplatīšanas. Gala rezultāts nav tāds, par ko cilvēki domā, domājot par ļaunprātīgu programmatūru. Bieži vien tas nav kāds, kurš mēģina nozagt jūsu datus.

Tur ir spiegprogrammatūra. Es negribu apgalvot, ka tas neeksistē. Šonedēļ mēs pat publicējām ziņu, aprakstot ļoti augstas klases spiegprogrammatūru, ko atradām, taču tā bija 25 ierīcēs. Tas noteikti nav tas, kas ir izplatīts vai populārākais visā ekosistēmā.

Vai Android ierīcē ir kaut kas mazāk drošs salīdzinājumā ar citām mobilajām operētājsistēmām?

Es nedomāju, ka platformā ir kaut kas mazāk drošs. Es domāju, ka sarežģītība apgrūtina paziņojumu izteikšanu platformas līmenī.

Cilvēkiem patīk salīdzināt iPhone ar Android. IPhone ir ierīce ar ražotāja operētājsistēmu, patiesībā tā ir aptuveni piecas dažādas ierīces. Ja paskatās uz vienu ražotāju no Android — Samsung ir lielākais — viņiem ir simtiem dažādu ierīču modeļu. Salīdzinot Samsung ar iOS, jūs jau esat aptuveni 20 reizes sarežģītāks attiecībā uz šo ierīci salīdzinājumā ar šo ierīci. Tas nav saprātīgs salīdzinājums.

Varbūt taisnīgāk būtu salīdzināt Pixel un Nexus līniju ar iPhone?

Jā, ļoti līdzīgas aparatūras ziņā – līdzīgas drošības īpašības. Lietotņu veikaliem ir līdzīgi drošības rekvizīti, verificētas lietotnes, lietojumprogrammu izolācija — ļoti līdzīgi drošības rekvizīti. Abi ir apņēmušies ātri atjaunināt.

Atšķirība ir pārredzamība. Android ir atvērtā koda. Šī informācija ir pieejama ikvienam. Mēs veicinām trešo pušu izpēti, izmantojot mūsu drošības atlīdzības programmu, tāpēc mēs to zinām ne tikai vai mēs meklējam problēmas platformā, bet arī citi cilvēki, un tas ir liels atšķirība.

Es domāju, ka arī pakalpojumiem ir milzīga atšķirība. Mēs esam apzināti izstrādājuši redzamību un iespēju pārbaudīt ierīces uz vietas, turpretim tas nepastāv nevienā citā platformā. Tas nozīmē, ka mēs saņemam atsauksmes par daudzām sīkām lietām, kas notiek, un varam uz to reaģēt.

Kā cīnīties pret lēno drošības atjauninājumu izlaišanu Android ierīcēm, kuras nav noliktavā? Vai tas rada vilšanos?

Mēs ļoti novērtējam to, cik daudz cilvēku ir pieņēmuši Android un cik daudz ierīču to ir izmantojuši Android uz viņiem. Šīs milzīgās ekosistēmas daudzveidības realitāte ir tāda, ka daži ražotāji pārvietosies ļoti ātri, bet citi – lēnāk.

Pēdējā gada laikā mēs esam pavadījuši daudz laika, lai palīdzētu tiem, kuri virzās lēnāk, atrisināt dažus no tiem tehnoloģiju izaicinājumiem, atrisināt dažas to inženiertehniskās problēmas un dažos gadījumos tās organizatoriskās problēmas izaicinājumiem. Viņiem var trūkt inženieru, lai nodrošinātu atjauninājumus. Varbūt viņi par to nedomāja, tāpēc mēs jautājam, ko mēs varam darīt, lai jūs nonāktu līdz vietai, kur jūs par to esat domājis, un tam ir jēga?

Tas noteikti padara lietas sarežģītākas, taču tas ir arī pamatā tam, kāpēc Android ir bijis tik veiksmīgs, jo daudzi dažādi cilvēki varēja iesaistīties un sākt veidot ierīces.

Kādus pasākumus Android komanda ir veikusi, lai platformu padarītu drošāku? Un kāda ir nākamā joma, kuru vēlaties risināt vai uzlabot?

Manuprāt, visi gabali ir ļoti skaisti. Tas ir bijis vairāku gadu ceļojums, taču mūsu veiktais kriptogrāfijas darbs, smilšu kastes izveide, ko esam darījuši, darbs, lai padarītu ekspluatāciju grūtāku, viss lieliski apvienojas, tāpēc šīs ir jomas, kurās mēs turpināsim strādāt ieslēgts.

Kāpēc smilškaste ir svarīga?

Smilškastes izmantošana pamatlīmenī ir saistīta ar to, kā jūs nošķirat vienu lietojumprogrammu no citas. Spēle ir lielisks piemērs, kurā cilvēki par to nedomā, bet datorā spēles bieži tiek savienotas tīklā. Tās ir viena no nedaudzajām lietām šāda veida ierīcēs, kurām ir tīkla porta pakalpojums, tāpēc tā ir viena no briesmīgākajām programmatūras daļām, ko izmantojat lielākajā daļā patērētāju ierīču. Ja jūs apdraudat spēli, spēles autors var būt pilnīgi labdabīgs, taču šai spēlei ir piekļuve visam jūsu datora saturam.

Tā kā operētājsistēmā Android tas tā nemaz nav. Pēc tam jums ir jākompromitē arī galvenā operētājsistēma, lai varētu pārsniegt to. Mums tas bija ļoti, ļoti svarīgi, lai nodrošinātu, ka jums vienmēr ir jākompromitē Google kods, Android kods, lai nonāktu līdz vietai, kur jūs varat darīt kaut ko tādu, kas patiešām kaitē lietotājam.

Cik svarīga ir trešo pušu pētniecības programma kļūdu un ievainojamību atrašanai?

Tas patiesībā ir ļoti svarīgi. Pērn pētniekiem samaksājām gandrīz miljonu dolāru. Es domāju, ka bija aptuveni 120 dažādi pētnieki, kas atklāja problēmas un ziņoja par tām mums. Katru mēnesi ierodas vairāki desmiti, tāpēc mums tas ir ļoti svarīgi.

Viena lieta, kas patiesībā ir patiešām interesanta, ir tā, ka mēs sākām saņemt arvien vairāk ziņojumu par problēmām, nevis Android, bet gan citos ierīces komponentos. Piemēram, šonedēļ tika ziņots par problēmu Broadcom Wi-Fi draiveros, kas ietekmēja Android, iOS ierīcēm un visiem citiem, kas izmantoja šāda veida draiverus. Tādas lietas mēs redzam arvien vairāk.

Vai mašīnmācība sāk spēlēt lomu? Vai jums ir pietiekami daudz datu, lai tas būtu efektīvs?

Tagad mums ir milzīgs datu apjoms, un mēs esam sākuši atrast dažas mašīnmācīšanās metodes, kas ļoti labi darbojas dažāda veida lietām. Viena lieta, kur mašīnmācība patiešām darbojas, ir atrast citas lietojumprogrammas, kas arī ir ļaunprātīga programmatūra. Kad mēs atrodam vienu sliktu lietotni, tajā pašā dienā, iespējams, varēsim noņemt tūkstoš vai vairāk lietojumprogrammu, par kurām mēs zinām, ka tās ir saistītas, pamatojoties uz mašīnmācīšanās metodēm.

Un jūs domājat, ka laika gaitā tas uzlabosies? Acīmredzot tas mācās, tāpēc tam vajadzētu kļūt labākam?

Tas ir viens no galvenajiem iemesliem, kāpēc tuvāko pāris gadu laikā mēs apsteigsim uzbrucējus. Mašīnmācīšanās ļauj mums attīstīt aizsardzības iespējas daudz ātrāk, nekā cilvēks var uzlabot savu slēpšanos, galu galā tāpēc ļaunprogrammatūra pagātnē ir bijusi noturīga, jo pat ļoti nelielas izmaiņas var to paslēpt efektīvi. Tā tas vairs nebūs.

Vai drošības pastiprināšana nozīmē, ka tiek zaudēta daļa atvērtības un pielāgojamības, kas ir palīdzējušas padarīt Android par populārāko mobilo operētājsistēmu pasaulē?

Nepavisam. Android atvērtība, pielāgojamība un drošība ir viena no tās lielākajām priekšrocībām. Mēs uzskatām, ka ir iespējams turpināt uzlabot visus trīs.

Kad mēs saskaramies ar funkciju, kas, šķiet, rada pretrunīgus šos principus, mēs darīsim daudz pūļu, lai atrastu līdzsvarotu pieeju. Viena izplatīta stratēģija ir nodrošināt, lai noklusējuma iestatījumi būtu drošāki (lai aizsargātu pēc iespējas vairāk lietotāju), vienlaikus ļaujot lietotājiem izvēlēties (lai nodrošinātu pielāgošanu).

Mēs darām to pašu ar oriģinālā aprīkojuma ražotājiem [ierīču ražotājiem], definējot drošu drošības modeli, kas ir izturīgs, bet arī sniedz neskaitāmas iespējas jauninājumiem un pielāgošanai. Iegūtā daudzveidība pati par sevi ir drošības uzlabojums, jo ir zināms, ka monokultūras ir jutīgākas pret sistēmisku risku. Un dažos gadījumos šī pielāgošana rada novatoriskus drošības uzlabojumus, kas ir ekosistēmas svētība.

Vai, jūsuprāt, ir nepieciešamas pretvīrusu, ļaunprātīgas programmatūras un citu trešo pušu Android drošības lietotņu programmas?

Mēs esam apņēmušies padarīt Google Play nodrošinātos bezmaksas aizsardzību par labāko aizsardzību pasaulē. Mēs jau domājam, ka esam to paveikuši, un mēs turpināsim publicēt informāciju, kas ļauj citiem to vēlreiz pārbaudīt un pašiem apstiprināt.

Kādu padomu jūs sniegtu Android lietotājam, kuram ir bažas par drošību? Kādas darbības viņus var apdraudēt un ko viņi var darīt, lai saglabātu drošību?

Mēs esam publicējuši palīdzības centra rakstu par šo tēmu, šeit.

Redaktoru ieteikumi

• Jūsu Google One plānam tikko tika pievienoti divi lieli drošības atjauninājumi, lai nodrošinātu jūsu drošību tiešsaistē
• Kad manā tālrunī tiks instalēta operētājsistēma Android 13? Google, Samsung, OnePlus un citi
• Google maksā vēsturisku 85 miljonu dolāru sodu pēc Android tālruņu nelikumīgas izsekošanas
• Ir pieejama operētājsistēma Android 13, un jūs to varat lejupielādēt savā Pixel tālrunī
• Ar optimizētām lietotnēm Android planšetdatori beidzot būs vairāk nekā lieli tālruņi