Android varnost - vprašanja in odgovori z googlovim adrianom ludwigom

Zadnje čase veliko govorimo o varnosti na napravi Android, in ko se je pogovor nadaljeval, je bilo jasno, da obstajajo vprašanja, na katera mora odgovoriti oseba, ki ima večjo avtoriteto. Teme, na primer, ali potrebujete protivirusno programsko opremo za svoj telefon, prepoznavanje zlonamerne programske opreme in prepričanje, da so vaše naprave na splošno varne z vsakodnevno uporabo, so teme, ki so postale po nepotrebnem blatne. Čeprav smo za to krivi za na videz neskončno množico člankov, ki nam pripovedujejo o vsej programski opremi, ki je narejena za izkoriščanje Androidovih uporabnikov, obstaja tudi nekaj upravičenih vprašanj o varnosti Android, ki nimajo navadnega, preprostega odgovori.

Da bi rešili to vprašanje, smo se odpravili naravnost do vira. Adrian Ludwig, vodilni inženir za varnost Android pri Googlu, je vzel nekaj časa po e-pošti, da je odgovoril, kar smo iskali.

: Android Security - vprašanja in vprašanja z Googlovim Adrianom Ludwigom

Googlova vloga

V: Kaj točno Google skuša zaščititi svoje uporabnike Android?

Ludwig: Android smo zasnovali z več varnostnimi plastmi - začenši s strojno opremo naprave (Trustzone, NX), prek operacijskega sistema (Application Sandbox, SELinux, ASLR) in do aplikacij in storitev, ki jih ponuja Google (Google Play, Upravitelj naprav, Preverite aplikacije itd.) Spodbujamo tudi varnostne inovacije tako, da tretjim strankam omogočamo zagotavljanje varnostnih rešitev.

Najbolj pereče varnostne grožnje, s katerimi se danes soočajo mobilne naprave, vključujejo: 1. Izgubljene in ukradene naprave (za katere zagotavljamo zaščito, kot so zaklepni zaslon, šifriranje naprav in upravitelj naprav Android) 2. napadi na omrežni ravni (za katere Android ponuja kriptografske storitve in izpostavlja minimalna napadalna površina, ker privzeto nimajo poslušalskih storitev) 3. Potencialno škodljive aplikacije (za katere so zasnovane peskovnik aplikacije Android, pregled aplikacij Google Play in verificirane aplikacije)

Ko slišimo za novo potencialno grožnjo, jo začnemo vključevati v svoje prihodnje načrte in zasnovo.

Podporna politika

V: Kako dolgo Google ponuja podporo za stvari, kot so varnostne ranljivosti, ki so odkrite v operacijskem sistemu?

Ludwig: Naš pristop k politiki podpore varnosti Android je zagotoviti posodobitve povsod, za katere verjamemo, da bodo dejansko na voljo uporabnikom in izboljšati varnost. V praksi to pomeni, da nudimo več različnih vrst podpore za morebitne varnostne težave:

1. Če je težavo mogoče rešiti s posodobitvijo Chroma, Gmaila, Google Play ali katerega koli števila Googlovih aplikacij - bomo težavo rešili tako, da se vrne na vse različice Android, v katerih je vsaka aplikacija na voljo.
2. Naprave Google Nexus in naprave izdaje Google Play redno pravočasno prejemajo varnostne posodobitve.
3. V trenutnem projektu Android Open Source (AOSP) ponujamo popravke za trenutno vejo Androida in partnerjem Android neposredno nudimo popravke za vsaj zadnji dve glavni različici operacijskega sistema. Trenutno zagotavljamo povratne informacije za varnostne težave, ki zajemajo Android 4.3 in novejše. Izjema je WebKit v Androidu 4.3. V Androidu 4.4 in novejših različicah je podprta kot binarna posodobitev. Ko pa OEM zahteva pomoč pri razvijanju popravka za napravo, ki poganja starejšo različico platforme in se zaveže, da bo ta obliž dostavil kot OTA napravam, mu bomo zagotovili pomoč.
4. Kadar je mogoče, posodabljamo tudi Googlove varnostne storitve za Android, da bi zagotovili dodatno raven zaščite za vse naprave Android, ne glede na to, ali jih proizvajalci še vedno podpirajo. To vključuje preverjanje morebitnih škodljivih aplikacij in drugo varnostno vedenje.
5. Razvijalcem aplikacij nudimo tudi informacije in orodja za zagotovitev, da so njihove aplikacije zaščitene pred morebitnimi varnostnimi težavami. To vključuje zagotavljanje API-jev v storitvah Google Play, kot je posodobljivi ponudnik varnosti, ki jih lahko Google posodobi brez OTA naprave. Ponujamo tudi najboljše prakse, s pomočjo katerih lahko razvijalci poskrbijo, da njihove aplikacije varno delujejo na vseh napravah Android, ne glede na to, ali jih OEM še vedno podpira. Nedavno smo začeli skenirati aplikacije v Googlu Play glede morebitnih varnostnih ranljivosti in obvestiti razvijalce, ko te ranljivosti odkrijejo.
6. Nenazadnje delimo podatke o varnostnih težavah (vključno s podatki o popravkih in kakršnem koli znanem izkoriščanju) s partnerji za Android, da se prepričamo, da razumejo težavo, vključno s tveganji, povezanimi z napravami, ki za to težavo ne dobijo posodobitve. To vključuje dodajanje testov za morebitne varnostne težave v paketu za preizkušanje združljivosti, da se zmanjša možnost, da OEM nehote pošlje napravo z znano varnostno težavo.

Nadzor uporabnika

V: V kolikor je aplikacija ocenjena kot zlonamerna, vendar ni nujno nevarna - na primer aplikacija, ki z nezaželenimi oglasi pošilja pladenj z obvestili - katera orodja so na voljo za pomoč uporabnikom?

Ludwig: Android uporabnikom omogoča nadzor, ki jim omogoča nadzor nad izkušnjo v njihovi napravi. To vključuje zmožnosti, kot so ogled dovoljenj za aplikacije, konfiguriranje nastavitev, kot je sposobnost aplikacije za prikaz obvestil ali zmožnost kadar koli onemogočiti ali odstraniti aplikacije.

Če obvestilo ni zaželeno, lahko uporabnik dolgo pritisne na obvestilo, da si ogleda, katera aplikacija ga je ustvarila, nato pa spremeni nastavitve obvestil o aplikaciji ali odstranite aplikacijo.

Varnostni pregledi

V: Kaj se zgodi, ko Google pošlje sporočilo, v katerem opozori uporabnike na zlonamerno aplikacijo in uporabnik ne odstrani aplikacije, bodisi zato, ker se odločijo, da ne, ali je bilo sporočilo pomotoma zavrnjeno?

Ludwig: Obstaja več odvečnih varnostnih pregledov, katerih namen je zagotoviti, da aplikacija, za katero je znano, da je lahko škodljiva, ne bo pomotoma nameščena. Pri vsakem od teh pregledov se večina uporabnikov, ki prejme opozorilo o potencialno škodljivi aplikaciji, odloči, da ne nadaljuje.

Tu so vsi glavni koraki:

Google je svoj sistem opozarjanja za znane potencialno škodljive aplikacije integriral v ozadje mnogih naših aplikacij. Tako lahko na primer brskalnik Chrome z varnim brskanjem uporabnika, preden celo prenese program s spletnega mesta, opozori, da je videti, kot da je na spletnem mestu, ki gosti potencialno škodljive aplikacije.

Če se vseeno odločijo za prenos in namestitev, bodo ob času namestitve prejeli opozorilo (pa tudi druge informacije, kot so dovoljenja za aplikacije, ki jim pomagajo pri odločitvi, ali jih želijo namestiti).

Če se še vedno odločijo za nadaljevanje, je aplikacija nameščena, vendar še vedno ne more storiti ničesar, dokler se uporabnik dejansko ne odloči za zagon aplikacije. Tako imajo še eno možnost, da izberejo odstranitev aplikacije, preden bi morda povzročila kakršno koli škodo.

Ne glede na to, ali se bodo odločili zagnati aplikacijo ali ne, če je nameščena na njihovi napravi, bo preverjanje ozadja Preveri aplikacije označilo aplikacijo in zagotovilo še eno opozorilo, ki priporoča, da jo odstranite. To opozorilo se običajno pojavi približno enkrat na teden - čeprav ima uporabnik možnost reči "ne spomni me več".

Protivirusne aplikacije

V: Ali me varnostne aplikacije drugih proizvajalcev še bolj varujejo pred potencialno škodljivimi aplikacijami Trgovine Play?

Ludwig: Zaščita vgrajena v Google Play je zelo močna. Uporabnikom, ki namestijo aplikacije zunaj Google Play, toplo priporočamo, da omogočijo Verify Apps, ki je na voljo v napravah Android z operacijskim sistemom Android 2.3 ali novejšim (to je več kot 99 odstotkov naprav Android), na katerih je nameščen Google Play.

Leta 2014 je bilo po podatkih Verify Apps, ki jih je zbral Google, in ignoriranju programov za ukoreninjenje, ki so jih namerno namestili uporabniki, manj kot 0, 15 odstotka aplikacij, nameščenih zunaj Googla Play, na ameriške angleške naprave, uvrščenih med potencialno škodljive aplikacije. Glede na vgrajeno zaščito, ki jo zagotavlja Verify Apps in nizko pogostost namestitve PHA-jev, je potencialna varnostna dodatna varnostna rešitev zelo majhna.

ROM-ji po meri

V: Ali se katera od Googlovih varnostnih funkcij nanaša na uporabnike, ki so namestili zunanje različice Androida (beri: ROM-ov v skupnosti)?

Ludwig: Da, ROM-ovi drugih proizvajalcev so na splošno zgrajeni na AOSP, zato podpirajo Android peskovnik in mnogi od njih uporabljajo Googlove aplikacije, vključno z našimi varnostnimi storitvami.

In tam ga imate. Google naredi neverjetno veliko dela, da bo Android varen, ogromen del tega pa je pripravljen na vse, kar se zgodi naprej. Ampak vedno bo šlo za igro mačk in mišk. Kot že od nekdaj velja, da je varnost vaše naprave pomembna za to, kje se dotaknete, kaj nameščate in da ste čim bolj obveščeni.

Če želite izvedeti več, preverite tudi ostale varnostne serije.