Bezpieczeństwo Androida - pytania i odpowiedzi z Adrianem Ludwigiem z Google

Ostatnio dużo rozmawialiśmy o bezpieczeństwie na twoim urządzeniu z Androidem, a gdy rozmowa trwała, stało się jasne, że istnieją pytania, na które osoba z wyższym autorytetem musi odpowiedzieć. Rzeczy, takie jak to, czy potrzebujesz oprogramowania antywirusowego do telefonu, identyfikacja złośliwego oprogramowania i pewność, że Twoje urządzenia są ogólnie bezpieczne podczas codziennego użytku, to tematy, które stały się niepotrzebnie mętne. Chociaż możemy za to winić nieskończoną ilość artykułów mówiących o całym oprogramowaniu służącym do wykorzystywania użytkowników Androida, istnieją również uzasadnione pytania dotyczące bezpieczeństwa Androida, które nie mają jednoznacznego, prostego odpowiedzi

Aby temu zaradzić, poszliśmy prosto do źródła. Adrian Ludwig, główny inżynier ds. Bezpieczeństwa Androida w Google, poświęcił trochę czasu pocztą elektroniczną, aby udzielić odpowiedzi, których szukaliśmy.

: Android Security - pytania i odpowiedzi z Adrianem Ludwigiem z Google

Rola Google

P: Przed czym dokładnie Google stara się chronić użytkowników Androida?

Ludwig: Zaprojektowaliśmy Androida z wykorzystaniem wielu warstw zabezpieczeń - od funkcji sprzętowych urządzenia (Trustzone, NX), poprzez system operacyjny (Application Sandbox, SELinux, ASLR), aż po aplikacje i usługi oferowane przez Google (Google Play, Menedżer urządzeń, Sprawdź aplikacje itp.). Zachęcamy również do innowacji w zakresie bezpieczeństwa, umożliwiając stronom trzecim dostarczanie rozwiązań bezpieczeństwa.

Najbardziej palące zagrożenia bezpieczeństwa, na jakie narażone są obecnie urządzenia mobilne, to: 1. Zgubione i skradzione urządzenia (dla których zapewniamy zabezpieczenia takie jak ekran blokady, szyfrowanie urządzeń i Menedżer urządzeń Android) 2. Ataki na poziomie sieci (dla których Android zapewnia usługi kryptograficzne i udostępnia minimalna powierzchnia ataku, ponieważ domyślnie nie ma usług nasłuchiwania) 3. Potencjalnie szkodliwe aplikacje (dla których zaprojektowane są piaskownica aplikacji na Androida, przegląd aplikacji w Google Play i weryfikacja aplikacji)

Kiedy słyszymy o nowym potencjalnym zagrożeniu, zaczynamy uwzględniać to w naszych przyszłych planach i projektach.

Polityka wsparcia

P: Jak długo Google oferuje obsługę wykrytych w systemie operacyjnym luk w zabezpieczeniach?

Ludwig: Nasze podejście do polityki wsparcia dla bezpieczeństwa Androida polega na dostarczaniu aktualizacji wszędzie tam, gdzie uważamy, że zostaną one faktycznie dostarczone użytkownikom i poprawi bezpieczeństwo. W praktyce oznacza to, że zapewniamy wiele różnych rodzajów wsparcia dla potencjalnych problemów bezpieczeństwa:

1. Jeśli problem można rozwiązać, aktualizując Chrome, Gmaila, Google Play lub dowolną liczbę aplikacji Google - rozwiążemy problem w sposób, który obejmuje wszystkie wersje Androida, w których każda aplikacja jest dostępna.
2. Urządzenia Google Nexus i urządzenia z edycją Google Play regularnie otrzymują aktualizacje zabezpieczeń w odpowiednim czasie.
3. Dostarczamy łatki dla aktualnej gałęzi Androida w Android Open Source Project (AOSP) i bezpośrednio dostarczamy partnerom Androida łatki dla co najmniej dwóch ostatnich głównych wersji systemu operacyjnego. Obecnie zapewniamy backporty dla problemów bezpieczeństwa, które dotyczą Androida 4.3 i nowszych. WebKit na Androida 4.3 jest jedynym wyjątkiem. Jest obsługiwany na Androidzie 4.4 i nowszych jako aktualizacja binarna. Niemniej jednak, gdy OEM poprosi o pomoc w opracowaniu poprawki dla urządzenia, na którym działa starsza wersja platformy i zobowiązuje się do dostarczenia tej poprawki jako OTA na urządzenia, zapewnimy im pomoc.
4. W miarę możliwości aktualizujemy również usługi bezpieczeństwa Google dla Androida, aby zapewnić dodatkową warstwę ochrony dla wszystkich urządzeń z Androidem, niezależnie od tego, czy są one nadal obsługiwane przez producentów OEM. Obejmuje to sprawdzanie potencjalnie szkodliwych aplikacji i inne zachowania bezpieczeństwa.
5. Zapewniamy również twórcom aplikacji informacje i narzędzia zapewniające ochronę ich aplikacji przed potencjalnymi problemami bezpieczeństwa. Obejmuje to dostarczanie interfejsów API w ramach usług Google Play, takich jak aktualizowalny dostawca zabezpieczeń, który może być aktualizowany przez Google bez OTA urządzenia. Zapewniamy również najlepsze praktyki, które mogą pomóc programistom upewnić się, że ich aplikacje działają bezpiecznie na wszystkich urządzeniach z Androidem, niezależnie od tego, czy nadal są obsługiwane przez producentów OEM. Niedawno zaczęliśmy skanować aplikacje w Google Play pod kątem potencjalnych luk w zabezpieczeniach i powiadamiać programistów o wykryciu tych luk.
6. Wreszcie, dzielimy się informacjami o problemach z bezpieczeństwem (w tym informacje o poprawkach i wszelkim znanym wykorzystaniu) z partnerami z Androidem, aby upewnić się, że rozumieją problem, w tym ryzyko związane z urządzeniami, które nie otrzymują aktualizacji problemu. Obejmuje to dodanie testów pod kątem potencjalnych problemów bezpieczeństwa w pakiecie testów zgodności, aby zmniejszyć ryzyko, że producent OEM przypadkowo wyśle ​​urządzenie o znanym problemie bezpieczeństwa.

Kontrola użytkownika

P: Jeśli aplikacja została uznana za złośliwą, ale niekoniecznie niebezpieczną - na przykład aplikację, która przesyła powiadomienie do niechcianych reklam - jakie narzędzia są dostępne, aby pomóc użytkownikom?

Ludwig: Android zapewnia użytkownikom elementy sterujące, które pozwalają im kontrolować wrażenia na swoim urządzeniu. Obejmuje to takie funkcje, jak przeglądanie uprawnień aplikacji, konfigurowanie ustawień, takich jak zdolność aplikacji do wyświetlania powiadomień lub możliwość wyłączania lub usuwania aplikacji w dowolnym momencie.

Jeśli powiadomienie jest niepożądane, użytkownik może długo nacisnąć powiadomienie, aby zobaczyć, która aplikacja je utworzyła, a następnie zmienić ustawienia powiadomień aplikacji lub odinstalować aplikację.

Kontrole bezpieczeństwa

P: Co się stanie, gdy Google wyśle ​​wiadomość ostrzegającą użytkowników przed złośliwą aplikacją, a użytkownik nie usunie aplikacji, ponieważ nie zdecyduje się lub wiadomość została przypadkowo odrzucona?

Ludwig: Istnieje wiele nadmiarowych kontroli bezpieczeństwa, które mają na celu upewnić się, że aplikacja, o której wiadomo, że jest potencjalnie szkodliwa, nie zostanie przypadkowo zainstalowana. Podczas każdej z tych kontroli większość użytkowników otrzymujących ostrzeżenie o potencjalnie szkodliwej aplikacji decyduje się nie kontynuować.

Oto wszystkie główne kroki:

Google zintegrował system ostrzegania o znanych potencjalnie szkodliwych aplikacjach z zaplecza wielu naszych aplikacji. Na przykład przeglądarka Chrome z Bezpiecznym przeglądaniem może ostrzec użytkownika, zanim jeszcze pobierze aplikację ze strony internetowej, że wygląda na to, że znajduje się na stronie internetowej, na której znajdują się potencjalnie szkodliwe aplikacje.

Jeśli mimo to zdecydują się pobrać i zainstalować, w czasie instalacji otrzymają ostrzeżenie (a także inne informacje, takie jak uprawnienia aplikacji, które mogą pomóc im zdecydować, czy chcą zainstalować).

Jeśli nadal zdecydują się kontynuować, aplikacja zostanie zainstalowana, ale nadal nie będzie mogła nic zrobić, dopóki użytkownik nie zdecyduje się uruchomić aplikacji. Mają więc jeszcze jedną szansę na usunięcie aplikacji, zanim może to spowodować jakąkolwiek szkodę.

Niezależnie od tego, czy zdecydują się uruchomić aplikację, czy nie, jeśli jest ona zainstalowana na ich urządzeniu, skanowanie w tle aplikacji Verify Apps spowoduje oznaczenie aplikacji i wyświetlenie kolejnego ostrzeżenia z zaleceniem jej usunięcia. To ostrzeżenie zwykle pojawia się mniej więcej raz w tygodniu - chociaż użytkownik może powiedzieć „nie przypominaj mi więcej”.

Aplikacje antywirusowe

P: Czy aplikacje zabezpieczające innych firm zapewniają mi jeszcze większe bezpieczeństwo przed potencjalnie szkodliwymi aplikacjami ze Sklepu Play?

Ludwig: Zabezpieczenia wbudowane w Google Play są bardzo solidne. Użytkownikom instalującym aplikacje spoza Google Play zdecydowanie zalecamy włączenie Verify Apps, które jest dostępne na urządzeniach z Androidem 2.3 lub nowszym (ponad 99 procent urządzeń z Androidem), na których zainstalowano Google Play.

Według danych Verify Apps zebranych przez Google i ignorujących aplikacje rootujące, które zostały celowo zainstalowane przez użytkowników, w 2014 r. Mniej niż 0, 15% aplikacji zainstalowanych spoza Google Play na urządzeniach w języku angielskim w USA zostało sklasyfikowanych jako potencjalnie szkodliwe aplikacje. Biorąc pod uwagę wbudowaną ochronę zapewnianą przez Verify Apps i niską częstotliwość występowania instalacji PHA, potencjalne korzyści z dodatkowego rozwiązania bezpieczeństwa są bardzo niewielkie.

Niestandardowe ROMy

P: Czy którakolwiek z funkcji bezpieczeństwa Google ma zastosowanie do użytkowników, którzy zainstalowali zewnętrzne wersje Androida (czytaj: ROM-y stworzone przez społeczność)?

Ludwig: Tak, ROM-y innych firm są na ogół oparte na AOSP, więc obsługują piaskownicę Androida, a wiele z nich korzysta z aplikacji Google, w tym naszych usług bezpieczeństwa.

I masz to. Google wykonuje niewiarygodną pracę, aby zapewnić bezpieczeństwo Androida, a ogromna część tego jest przygotowywana na to, co stanie się później. Ale zawsze będzie to trochę gra w kotka i myszkę. Jak zawsze, bezpieczeństwo urządzenia polega na tym, abyś był świadomy tego, gdzie stukasz, co instalujesz i jak najbardziej poinformowany.

Jeśli chcesz dowiedzieć się więcej, zapoznaj się z resztą naszej serii zabezpieczeń.