Je Android skutočne nezabezpečený? Spýtali sme sa odborníkov

Android je najpoužívanejšia mobilná platforma na planéte. Viac ako 1,4 miliardy ľudí používa smartfón alebo tablet s Androidom každý deň a veľkú časť tejto popularity má na svedomí skutočnosť, že je to open source a pre výrobcov je zadarmo. Otvorenosť je však dvojsečná zbraň: viedla k situácii, keď mnohé telefóny s Androidom nie sú pravidelne aktualizované najnovšími bezpečnostnými záplatami.

Prízrak malvéru sa objavil vo veľkom Android za posledných niekoľko rokov, pričom výskumníci odhaľujú veľmi vysoko profilové zraniteľnosti, ako napr Tréma. Negatívne správy prichádzajú tak silné a rýchle, že môže byť ťažké ich uviesť do perspektívy. Len minulý týždeň sme informovali FalseGuide malvér, čo mohlo ovplyvniť až 1,8 mil Android používateľov.

Ak budete na titulky sami, bude vám odpustené, že máte pochybnosti Android bezpečnosť, ale kde je hranica medzi hyperbolou a skutočným rizikom? Je platforma skutočne neistá?

„Nie, nie je to neisté. Myslím si, že máme trochu problém s vnímaním, ale je to veľmi odlišné od skutočného používateľského rizika,“ povedal Adrian Ludwig, riaditeľ Android Bezpečnosť, povedal Digital Trends v nedávnom rozhovore. "Kryptografická práca, ktorú sme robili, sandboxing, ktorý sme robili, a veľa práce na sťažení využívania, to všetko sa pekne spája."

Niet pochýb o tom, že najnovšie verzie Android sú bezpečnejšie ako ich predchodcovia, ale problémom je, že mnohé Android používatelia nikdy nepocítia výhody. Pohľad späť na rok 2016 v a príspevok v blogu, Android bezpečnostný tím priznal, že zhruba polovica zariadení používaných na konci roka 2016 nedostala aktualizáciu najmenej 12 mesiacov.

„Aktuálne verzie Google Android možno považovať za bezpečný,“ povedal pre Digital Trends Maik Morgenstern, generálny riaditeľ antivírusovej ratingovej organizácie AV-Test. „Ale najmä u mnohých starších Android verzií sa objavuje stále viac a viac zraniteľností a mnohí predajcovia nedodávajú aktualizácie pre svoje zariadenia. V súčasnosti je známych viac ako 800 zraniteľností.“

Ak sa pozrieme na oficiálne údaje o distribúcii pre Android k aprílu zistíme, že iba 4,9 percenta Android zariadenia používajú najnovšie verzie, Nougat 7.0 alebo 7.1. To je neuspokojivo malý kúsok z celkového počtu. Pri pohľade ďalej dozadu, Android 6.0 Marshmallow beží na 31,2 percentách zariadení, Android 5.0 alebo 5.1, Lollipop, je na 31 percentách zariadení a na pätine Android zariadenia stále bežia Android 4.4 KitKat. Väčšina týchto zariadení používa staršie verzie Android je nepravdepodobné, že by sa niekedy aktualizovali.

„Osemdesiatštyri percent telefónov nie je inovovaných, čo znamená, že väčšina mobilných zariadení je stále ohrozená,“ povedal Joshua J. Drake, viceprezident Platform Research and Exploitation v Zimperium, povedal pre Digital Trends.

Zimperium je mobilná bezpečnostná spoločnosť; Drake odhalila zraniteľnosť Stagefright ešte v roku 2015. Mal potenciál poskytnúť hackerom kontrolu nad Android zariadenia prostredníctvom škodlivého kódu v audio alebo video súbore – a podľa vtedajších správ bolo voči nemu zraniteľných až 95 percent zariadení. Drake nám povedal, že niektoré zariadenia sú zraniteľné aj dnes.

Hoci potenciálne škody boli desivé, nie je jasné, na čo to bude mať dopad Android používateľov bolo.

„Máme tu rok a pol, takmer dva roky, odkedy sme sa o tom prvýkrát dozvedeli, a stále nevieme, že sa to niekoho skutočne týka,“ povedal Ludwig.

Drake však nesúhlasí.

"Vieme, že došlo k cieleným útokom pomocou zraniteľností v libstagefright a mediaserver," povedal. „Vieme, že je vo všeobecnosti ťažké dokázať negatívum, a rešpektujeme snahu Googlu lepšie zabezpečiť svoju platformu, ale bez senzora na zariadení nikto nemôže poznať stav rizika alebo hrozby akéhokoľvek zariadenia – najmä a mobilný."

Problém je v tom, že nie je ľahké zistiť, či ste boli úspešne napadnutí. V dôsledku objavu Stagefright založila bezpečnostná firma Zimperium Handset Alliance na zlepšenie komunikácie medzi výskumníkmi, operátormi mobilných sietí, vývojármi mobilných aplikácií a predajcami zariadení.

„Výskumníkov treba povzbudiť, aby sa pozreli na mesačné bezpečnostné aktualizácie a pokúsili sa zneužiť tieto zraniteľné miesta s cieľom podporiť lepšie opravy a celkovo bezpečnejší mobilný svet,“ povedal Drake.

Spoločnosť Google podnikla niekoľko dôležitých krokov na zníženie bezpečnostných rizík, pričom vydáva mesačné opravy a odstraňuje prvky Android aby sa uľahčilo vydávanie aktualizácií. Ale staršie verzie Android zostali pozadu.

The Problém s fragmentáciou systému Android nie je ľahké vyriešiť. Presviedčanie dopravcov a výrobcov, aby aktualizovali svoje Android zariadení sa ukázalo byť pre Google veľmi náročné. Hralo to priamo do rúk opozície. Tim Cook z Apple sa preslávil odkazom na a Článok ZDNet oprávnený "Android fragmentácia premieňajúca zariadenia na toxický pekelný vývar zraniteľností“ na snímke na WWDC v roku 2014. Je však iOS skutočne o toľko lepší? A ak áno, prečo?

„Existuje dojem, že bezpečnosť iOS je lepšia Android bezpečnosť, ale nemusí to tak byť, “povedal Drake.

Pretože Android je open source, pre výskumníkov v oblasti bezpečnosti je jednoduchšie nájsť chyby a navrhnúť opravy. Uzavretá povaha iOS sťažuje výskumníkom, aby videli, čo sa deje, povedal. Morgenstern súhlasí s týmto hodnotením, ale poukazuje na dôležitý rozdiel, pre ktorý je malvér väčším rizikom Android.

„Pre Android pre používateľov je jednoduché inštalovať aplikácie z akéhokoľvek zdroja,“ vysvetľuje Morgenstern. „Táto skutočnosť uľahčuje získanie škodlivých aplikácií do zariadenia. Spôsob, akým to ostatné platformy riešia, je oveľa prísnejší, pretože povoľujú inštalácie iba z ich uzavretých trhov.“

Android je veľký cieľ. S takou veľkou používateľskou základňou a otvoreným zdrojovým kódom je atraktívnou korisťou pre kyberzločincov. AV-Test zaregistruje až 30 000 nových Android vzorky malvéru každý deň. To je desivé číslo, ale znepokojujúce Android používatelia môžu podniknúť kroky dramaticky znížiť riziká tým, že sa budete držať Google Play pre aplikácie, aktualizovať zariadenia hneď po sprístupnení opráv a používať bezpečnostné aplikácie pre Android tretích strán.

Drake aj Morgenstern tiež varujú pred pripájaním sa k neznámym sieťam a Wi-Fi hotspotom, aspoň bez použitia slušného Aplikácie VPN pre Android.

„Naše údaje ukazujú, že väčšina útokov má sieťový charakter a nerozlišujú medzi iOS, Androidalebo iné,“ vysvetľuje Drake. „Akonáhle útočník ticho zachytí a presmeruje vašu sieťovú prevádzku, každé zariadenie je nebezpečne zraniteľné invazívny dohľad, personalizovaný lov oštepom, doručovanie prostredníctvom platformy exploitu alebo akýkoľvek počet ďalších následných útokov.“

Android bezpečnosť sa zlepšuje. Môžeme poukázať na rýchlejšie aktualizácie, šifrovanie zariadení, žiadosti o povolenia, karanténu aplikácií na izoláciu aplikácie od seba navzájom, obmedzený prístup k zdrojom a automatické skenovanie škodlivého softvéru v službe Play Obchod. Je však zrejmé, že stále je na čom pracovať.

„Minulý rok sme výskumníkom zaplatili takmer milión dolárov,“ odpovedal Ludwig zo spoločnosti Google na otázku o dôležitosti výskumu tretích strán. Ale napriek tomuto výskumnému programu Drake cíti, že je potrebné viac.

"Vylepšiť Android Vzhľadom na celkovú bezpečnosť je nevyhnutné, aby Google užšie spolupracoval s dodávateľmi zabezpečenia,“ povedal. „Apple a ďalší dodávatelia zintenzívnili spoluprácu, ale Google ju znížil. Filozofiou spoločnosti Google je, že môžu robiť všetko sami, ale to len poškodzuje ich používateľov a nanešťastie z toho profitujú aj autori malvéru.“

V konečnom dôsledku otázka Android bezpečnosť sa môže týkať zariadenia, ktoré používate. Ak máte dva alebo tri roky starý telefón so staršou verziou Android a nebol aktualizovaný niekoľko mesiacov, máte dôvod na obavy. Majitelia zariadení Pixel od Googlu naopak dostávajú najnovšie bezpečnostné aktualizácie včas, aspoň na najbližších pár rokov.

Ťažko povedať, ako dlho to bude trvať pred väčšinou Android zariadenia používajú Nougat alebo jeho novšiu verziu Android, no aj tak zostane problémom pomalé tempo aktualizácií od niektorých výrobcov a operátorov.

„Kým sa každá aktualizácia nedostane na všetky zariadenia, stále sme v ohrození,“ povedal Morgenstern.

Ďalšie užitočné rady, ako zostať v bezpečí, nájdete na svojom Android telefón v našom Sprievodca zabezpečením systému Android.

Odporúčania redaktorov

• Je žiarenie mobilného telefónu skutočne nebezpečné? Spýtali sme sa niekoľkých odborníkov