Действительно ли Android небезопасен? Мы спросили экспертов

Android — самая широко используемая мобильная платформа на планете. Более 1,4 миллиарда человек используют Android-смартфоны или планшеты каждый день, и тот факт, что они имеют открытый исходный код и бесплатны для производителей, является большой частью этой популярности. Но открытость — палка о двух концах: она привела к ситуации, когда многие телефоны Android не получают регулярных обновлений с последними обновлениями безопасности.

Призрак вредоносного ПО навис над Андроид в течение последних нескольких лет, когда исследователи обнаружили очень громкие уязвимости, такие как Боязнь сцены. Негативные новости приходят так часто и быстро, что их трудно оценить в перспективе. Буквально на прошлой неделе мы сообщили о Вредоносное ПО FalseGuide, что могло затронуть до 1,8 миллиона Андроид пользователи.

Судя по заголовкам, вам простят опасения по поводу Андроид безопасность, но где грань между преувеличением и реальным риском? Действительно ли платформа небезопасна?

«Нет, это не небезопасно. Я действительно думаю, что у нас есть небольшая проблема с восприятием, но она сильно отличается от реального риска пользователя», — Адриан Людвиг, директор Андроид Безопасность, рассказали Digital Trends в недавнем интервью. «Криптографическая работа, которую мы проделали, создание «песочницы», которую мы выполняли, и большая часть работы по усложнению эксплуатации — все это прекрасно сочетается».

Нет никаких сомнений в том, что самые последние версии Андроид более безопасны, чем их предшественники, но проблема в том, что многие Андроид пользователи никогда не ощутят выгоды. Оглядываясь назад на 2016 год в Сообщение блога, Андроид Команда безопасности признала, что примерно половина устройств, использовавшихся в конце 2016 года, не получали обновлений как минимум 12 месяцев.

«Актуальные версии Google Андроид можно считать безопасным», — сказал Digital Trends Майк Моргенштерн, генеральный директор антивирусной рейтинговой организации AV-Test. «Но особенно во многих пожилых Андроид версии, появляется все больше и больше уязвимостей, и многие производители не предоставляют обновления для своих устройств. На данный момент известно более 800 уязвимостей».

Если мы посмотрим на официальные данные о распространении Android по состоянию на апрель мы обнаруживаем, что только 4,9 процента Андроид устройства работают под управлением последних версий Nougat 7.0 или 7.1. Это удручающе малая часть от общего числа. Оглядываясь назад, Андроид 6.0 Marshmallow работает на 31,2 процентах устройств. Андроид Версия 5.0 или 5.1 Lollipop установлена ​​на 31 проценте устройств и на пятой части Андроид устройства все еще работают Андроид 4.4 КитКат. Большинство этих устройств работают под управлением более старых версий Андроид вряд ли когда-нибудь обновятся.

«Восемьдесят четыре процента телефонов не обновлены, а это означает, что большинство мобильных устройств все еще находятся под угрозой», — сказал Джошуа Дж. Дрейк, вице-президент по исследованиям и эксплуатации платформ в Zimperium, рассказал Digital Trends.

Zimperium — компания по обеспечению мобильной безопасности; Дрейк обнаружил уязвимость Stagefright еще в 2015 году. У него был потенциал, чтобы дать хакерам контроль над Андроид устройство через вредоносный код в аудио- или видеофайле — и, согласно сообщениям того времени, до 95 процентов устройств были уязвимы для него. Дрейк рассказал нам, что некоторые устройства по-прежнему уязвимы.

Хотя потенциальный ущерб был пугающим, неясно, как это повлияет на Андроид пользователи были.

«Прошло уже полтора года, почти два года с тех пор, как мы впервые узнали об этом, и мы до сих пор не знаем, действительно ли кто-то пострадал», — сказал Людвиг.

Но Дрейк не согласен.

«Мы знаем, что были целевые атаки с использованием уязвимостей в libstagefright и mediaserver», — сказал он. «Мы знаем, что в целом трудно доказать обратное, и мы уважаем усилия Google по повышению безопасности своей платформы, но Без датчика на устройстве никто не сможет узнать о статусе риска или угрозы любого устройства, особенно мобильный».

Проблема в том, что нелегко определить, подверглись ли вы успешной атаке. После открытия Stagefright охранная фирма основала Альянс мобильных телефонов Zimperium для улучшения взаимодействия между исследователями, операторами мобильных сетей, разработчиками мобильных приложений и поставщиками устройств.

«Необходимо поощрять исследователей следить за ежемесячными обновлениями безопасности и пытаться использовать эти уязвимости, чтобы обеспечить более качественное исправление и сделать мобильный мир в целом более безопасным», — сказал Дрейк.

Google предприняла несколько важных шагов для снижения рисков безопасности, выпуская ежемесячные исправления и устраняя элементы Андроид чтобы было проще выпускать обновления. Но более старые версии Андроид остались позади.

Проблема фрагментации Android не легко решается. Убедить операторов связи и производителей обновить свои Андроид устройства оказались очень трудными для Google. Это сыграло прямо на руку оппозиции. Тим Кук из Apple, как известно, упомянул Статья в ZDNet уполномоченный "Андроид фрагментация превращает устройства в токсичную смесь уязвимостей» на слайде WWDC в 2014 году. Но действительно ли iOS настолько лучше? И если да, то почему?

«Сложилось впечатление, что безопасность iOS превосходит Андроид безопасности, но это не обязательно так», — сказал Дрейк.

Потому что Андроид имеет открытый исходный код, исследователям безопасности легче находить недостатки и предлагать исправления. По его словам, из-за закрытости iOS исследователям сложнее понять, что происходит. Моргенштерн согласен с этой оценкой, но указывает на важную разницу, которая делает вредоносное ПО более рискованным для пользователей. Андроид.

"Для Андроид пользователи могут легко устанавливать приложения из любого источника», — объясняет Моргенштерн. «Этот факт позволяет легко занести на устройство вредоносные приложения. Другие платформы справляются с этим гораздо строже: разрешают установку только со своих закрытых рынков».

Андроид это большая цель. Благодаря такой большой базе пользователей и открытому исходному коду это привлекательная добыча для киберпреступников. AV-Test регистрирует до 30 000 новых Андроид образцы вредоносного ПО каждый день. Это пугающая цифра, но тревожная Андроид пользователи могут принять меры, чтобы резко сократить риски, если придерживаться Google Play для приложений, обновлять устройства, как только патчи становятся доступными, и использовать сторонние приложения безопасности Android.

И Дрейк, и Моргенштерн также предостерегают от подключения к неизвестным сетям и точкам доступа Wi-Fi, по крайней мере, без использования приличных VPN-приложения для Android.

«Наши данные показывают, что большинство атак носят сетевой характер, и они не делают различий между iOS, Андроидили что-то еще», — объясняет Дрейк. «Как только злоумышленник незаметно перехватил и перенаправил ваш сетевой трафик, любое устройство становится опасно уязвимым для инвазивное наблюдение, персонализированная подводная охота, доставка эксплойтов платформы или любое количество других последующих атак».

Андроид безопасность улучшается. Мы можем указать на более быстрые обновления, шифрование устройств, запросы разрешений, изолированную программную среду приложений для изоляции. приложений друг от друга, ограничение доступа к ресурсам и автоматическое сканирование на наличие вредоносных программ в Play Магазин. Но очевидно, что еще есть над чем работать.

«В прошлом году мы заплатили исследователям почти миллион долларов», — сказал Людвиг из Google, когда его спросили о важности сторонних исследований. Но, несмотря на эту исследовательскую программу, Дрейк считает, что необходимо нечто большее.

"Улучшить Андроид безопасности в целом, Google необходимо более тесно сотрудничать с поставщиками средств безопасности», — сказал он. «Apple и другие поставщики расширили свое сотрудничество, но Google сократил его. Философия Google заключается в том, что они могут делать все самостоятельно, но это только вредит их пользователям и, к сожалению, приносит пользу авторам вредоносных программ».

В конечном итоге вопрос о Андроид безопасность может зависеть от используемого вами устройства. Если у вас есть телефон двух- или трехлетней давности, на котором установлена ​​более старая версия Андроид и не обновлялся несколько месяцев, у вас есть повод для беспокойства. Владельцы Google Pixel, напротив, своевременно получают последние обновления безопасности. по крайней мере, на ближайшие пару лет.

Трудно сказать, сколько времени пройдет, прежде чем большинство Андроид устройства работают под управлением Nougat или более поздней версии Андроид, но даже в этом случае медленные темпы обновления от некоторых производителей и операторов связи останутся проблемой.

«Пока каждое обновление не достигнет всех устройств, мы все еще находимся в опасности», — сказал Моргенштерн.

Вы можете найти больше полезных советов о том, как оставаться в безопасности на вашем Андроид телефон в нашем Руководство по безопасности Android.

Рекомендации редакции

• Действительно ли излучение сотового телефона опасно? Мы опросили некоторых экспертов