Android je najbolj razširjena mobilna platforma na planetu. Več kot 1,4 milijarde ljudi vsak dan uporablja pametni telefon ali tablični računalnik Android in dejstvo, da je odprtokoden in brezplačen za proizvajalce, je velik del te priljubljenosti. Toda odprtost je dvorezen meč: pripeljala je do situacije, ko številni telefoni Android niso redno posodobljeni z najnovejšimi varnostnimi popravki.
Spekter zlonamerne programske opreme se je močno razširil Android v zadnjih nekaj letih, ko so raziskovalci odkrili zelo pomembne ranljivosti, kot je npr Trema. Negativne novice prihajajo tako gosto in hitro, da jih je težko predstaviti v perspektivi. Prejšnji teden smo poročali o Zlonamerna programska oprema FalseGuide, kar je lahko vplivalo na do 1,8 milijona Android uporabniki.
Če bi šli samo na naslovnice, bi vam bilo oproščeno pomislekov Android varnosti, toda kje je meja med hiperbolo in resničnim tveganjem? Je platforma res negotova?
Povezano
Kaj je shranjevanje UFS 3.0? O SSD za telefone smo povprašali strokovnjaka
»Ne, ni negotovo. Mislim, da imamo nekoliko težave z zaznavanjem, vendar se to zelo razlikuje od dejanskega tveganja uporabnikov,« Adrian Ludwig, direktor Android Varnost, je povedal Digital Trends v nedavnem intervjuju. "Kriptografsko delo, ki smo ga opravljali, peskovnik, ki smo ga izvajali, in veliko dela, da bi otežili izkoriščanje, se vse lepo združuje."
Ni dvoma, da najnovejše različice Android so varnejši od svojih predhodnikov, a težava je v tem, da jih je veliko Android uporabniki nikoli ne občutijo koristi. Pogled nazaj na leto 2016 v a blog objava, the Android varnostna ekipa je priznala, da približno polovica naprav, ki so bile v uporabi konec leta 2016, ni prejela posodobitve vsaj 12 mesecev.
"Štiriinosemdeset odstotkov telefonov ni nadgrajenih, kar pomeni, da je večina mobilnih naprav še vedno ogrožena."
»Posodobljene različice Googla Android se lahko šteje za varno,« je za Digital Trends povedal Maik Morgenstern, izvršni direktor protivirusne ocenjevalne organizacije AV-Test. »Vendar zlasti pri mnogih starejših Android različic, se pojavlja vedno več ranljivosti in številni prodajalci ne zagotavljajo posodobitev za svoje naprave. Trenutno je znanih več kot 800 ranljivosti.«
Če pogledamo na uradni podatki o distribuciji za Android od aprila ugotovimo, da le 4,9 odstotka Android naprave poganjajo najnovejše različice, Nougat 7.0 ali 7.1. To je razočaranje majhen del vseh. Če pogledam dlje nazaj, Android 6.0 Marshmallow deluje na 31,2 odstotka naprav, Android 5.0 ali 5.1, Lollipop, je na 31 odstotkih naprav in na petini Android naprave še vedno delujejo Android 4.4 KitKat. Večina teh naprav ima starejše različice Android verjetno ne bodo nikoli posodobljeni.
"Štiriinosemdeset odstotkov telefonov ni nadgrajenih, kar pomeni, da je večina mobilnih naprav še vedno ogrožena," je Joshua J. Drake, podpredsednik Platform Research and Exploitation pri Zimperiumu, je povedal za Digital Trends.
Zimperium je podjetje za mobilno varnost; Drake odkrili ranljivost Stagefright že leta 2015. Imel je potencial, da bi hekerjem dal nadzor nad Android napravo prek zlonamerne kode v avdio ali video datoteki – in glede na takratna poročila je bilo zanjo ranljivih do 95 odstotkov naprav. Drake nam je povedal, da so nekatere naprave še danes ranljive.
Čeprav je bila morebitna škoda zastrašujoča, ni jasno, na kaj vpliva Android uporabnikov je bil.
"Pred nami je leto in pol, skoraj dve leti, odkar smo prvič izvedeli za to, in še vedno ne vemo, da je kdo dejansko prizadet," je dejal Ludwig.
Toda Drake se s tem ne strinja.
Maik Morgenstern, izvršni direktor in tehnični direktor AV Test
"Vemo, da je prišlo do ciljanih napadov z uporabo ranljivosti v libstagefright in mediaserver," je dejal. »Zavedamo se, da je na splošno težko dokazati negativno, in spoštujemo Googlova prizadevanja za boljšo zaščito njihove platforme, vendar brez senzorja na napravi nihče ne more vedeti o stanju tveganja ali grožnje katere koli naprave - zlasti a mobilni."
Težava je v tem, da ni enostavno ugotoviti, ali ste bili uspešno napadeni. Po odkritju Stagefright je varnostno podjetje ustanovilo Zimperium Handset Alliance za izboljšanje komunikacije med raziskovalci, operaterji mobilnih omrežij, razvijalci mobilnih aplikacij in prodajalci naprav.
"Raziskovalce je treba spodbuditi, da pregledajo mesečne varnostne posodobitve in poskušajo izkoristiti te ranljivosti, da bi spodbudili boljše popravke in na splošno varnejši mobilni svet," je dejal Drake.
Google je sprejel nekaj pomembnih korakov za zmanjšanje varnostnih tveganj, izdal je mesečne popravke in razčlenil elemente Android za lažje pošiljanje posodobitev. Toda starejše različice Android so pustili za sabo.
The Težava s fragmentacijo Androida ni enostavno rešljiva. Prepričevanje prevoznikov in proizvajalcev, da posodobijo svoje Android naprav se je izkazalo za zelo težko za Google. Igrala je neposredno na roko opozicije. Appleov Tim Cook je slavno omenil a Članek ZDNet z naslovom “Android fragmentacija spreminja naprave v strupeno peklensko mešanico ranljivosti« na diapozitivu na WWDC leta 2014. Toda ali je iOS res toliko boljši? In če da, zakaj?
»Obstaja vtis, da je varnost iOS boljša od Android varnosti, vendar ni nujno tako,« je dejal Drake.
Ker Android je odprtokoden, varnostni raziskovalci lažje najdejo pomanjkljivosti in predlagajo popravke. Zaradi zaprte narave iOS raziskovalci težje vidijo, kaj se dogaja, je dejal. Morgenstern se strinja s to oceno, vendar opozarja na pomembno razliko, zaradi katere zlonamerna programska oprema predstavlja večje tveganje za Android.
"Dokler vsaka posodobitev ne doseže vseh naprav, smo še vedno ogroženi."
»Za Android Uporabnikom je preprosto namestiti aplikacije iz katerega koli vira,« pojasnjuje Morgenstern. »To dejstvo olajša prenos zlonamernih aplikacij na napravo. Način, kako druge platforme obravnavajo to, je veliko strožji, saj dovoljujejo samo namestitve z njihovih zaprtih trgov.«
Android je velika tarča. S tako veliko uporabniško bazo in odprtokodno kodo je privlačen plen za kibernetske kriminalce. AV-Test registrira do 30.000 novih Android vzorcev zlonamerne programske opreme vsak dan. To je zastrašujoča številka, a zaskrbljujoča Android uporabniki lahko ukrepajo dramatično zmanjšati tveganja tako, da se za aplikacije držite Google Play, posodabljate naprave takoj, ko so na voljo popravki, in uporabljate varnostne aplikacije za Android tretjih oseb.
Tako Drake kot Morgenstern prav tako svarita pred povezovanjem z neznanimi omrežji in dostopnimi točkami Wi-Fi, vsaj brez uporabe spodobnih Aplikacije VPN za Android.
»Naši podatki kažejo, da je večina napadov omrežne narave in ne razlikujejo med iOS, Android, ali drugo,« pojasnjuje Drake. »Ko napadalec tiho prestreže in preusmeri vaš omrežni promet, je katera koli naprava nevarno ranljiva za invazivni nadzor, prilagojen podvodni ribolov, izkoriščanje platforme ali poljubno število drugih napadov, ki sledijo.«
Android varnost se izboljšuje. Opozorimo lahko na hitrejše posodobitve, šifriranje naprave, zahteve za dovoljenja, peskovnik aplikacij za izolacijo aplikacije drug od drugega, omejen dostop do virov in samodejno skeniranje zlonamerne programske opreme v Play Trgovina. Toda očitno je treba še delati.
"Lani smo raziskovalcem plačali skoraj milijon dolarjev," je dejal Ludwig iz Googla, ko so ga vprašali o pomenu raziskav tretjih oseb. Toda kljub temu raziskovalnemu programu Drake meni, da je potrebno več.
"Izboljšati Android varnosti na splošno je nujno, da Google tesneje sodeluje s ponudniki varnosti,« je dejal. »Apple in drugi prodajalci so povečali sodelovanje, Google pa ga je zmanjšal. Googlova filozofija je, da lahko vse naredijo sami, vendar s tem le škodujejo svojim uporabnikom in na žalost koristijo avtorjem zlonamerne programske opreme.«
Navsezadnje je vprašanje Android varnost je lahko odvisna od naprave, ki jo uporabljate. Če imate dve ali tri leta star telefon, ki poganja starejšo različico Android in ni bil posodobljen več mesecev, imate razlog za skrb. Nasprotno pa lastniki Googlovega Pixela pravočasno prejmejo najnovejše varnostne posodobitve, vsaj za naslednjih nekaj let.
Težko je reči, kako dolgo bo minilo pred večino Android naprave uporabljajo Nougat ali novejšo različico Android, vendar bo tudi takrat počasnost posodobitev nekaterih proizvajalcev in operaterjev ostala težava.
"Dokler vsaka posodobitev ne doseže vseh naprav, smo še vedno ogroženi," je dejal Morgenstern.
Več koristnih nasvetov o tem, kako ostati varen, lahko najdete na svojem Android telefon v našem Varnostni vodnik za Android.
Priporočila urednikov
Je sevanje mobilnih telefonov dejansko nevarno? Vprašali smo nekaj strokovnjakov
