Android Security - въпроси и отговори с Адриан Лудвиг от Google

Наскоро говорихме много за сигурността на вашето устройство с Android и докато разговорът продължаваше, беше ясно, че има въпроси, на които трябва да отговори човек, който има по-голяма власт. Неща като това дали имате нужда антивирусен софтуер за вашия телефон, идентифициране на зловреден софтуери да сте сигурни, че вашите устройства са обикновено безопасни при ежедневна употреба са теми, които са станали ненужно кални. Макар че можем да възложим част от вината за това на привидно безкрайния поток от статии, разказващи ни за целия софтуер там създадени да експлоатират потребители на Android, има и някои основателни въпроси относно сигурността на Android, които нямат ясни, прости отговори.

За да помогнем да се справим с това, отидохме направо до източника. Адриан Лудвиг, водещ инженер по сигурността на Android в Google, отдели известно време по имейл, за да даде отговорите, които търсихме.

Прочетете повече: Android Security - въпроси и отговори с Адриан Лудвиг от Google

Въпрос: От какво точно Google се опитва да защити своите потребители на Android?

Лудвиг: Проектирахме Android, използвайки множество слоеве сигурност - започвайки с хардуерни функции на устройството (Trustzone, NX), чрез операционната система (Sandbox за приложения, SELinux, ASLR) и до приложения и услуги, които Google предоставя (Google Play, Диспечер на устройства, Проверка на приложения и др.). Ние също така насърчаваме иновациите в сигурността, като даваме възможност на трети страни да предоставят решения за сигурност.

Най-належащите заплахи за сигурността, пред които са изправени мобилните устройства в наши дни, включват: 1. Изгубени и откраднати устройства (за които осигуряваме защити като заключен екран, криптиране на устройства и Android Device Manager) 2. Атаки на ниво мрежа (за които Android предоставя криптографски услуги и излага минимална повърхност за атака, като по подразбиране няма услуги за слушане) 3. Потенциално вредни приложения (за които са разработени пясъчникът на приложенията за Android, прегледът на приложения в Google Play и приложенията за потвърждение)

Когато чуем за нова потенциална заплаха, започваме да включваме това в бъдещите си планове и дизайн.

В: Колко време Google предлага поддръжка за неща като уязвимости в сигурността, които са открити в операционната система?

Лудвиг: Нашият подход към политиката за поддръжка за защита на Android е да предоставяме актуализации навсякъде, за което вярваме, че те действително ще бъдат доставени на потребителите и да подобрим сигурността. На практика това означава, че предоставяме множество различни видове поддръжка за потенциални проблеми със сигурността:

1. Ако проблем може да бъде разрешен чрез актуализиране на Chrome, Gmail, Google Play или произволен брой приложения на Google - ще разрешим проблема по начин, който се връща към всички версии на Android, на които е всяко приложение на разположение.
2. Google Nexus устройства и Издание на Google Play устройствата получават редовно актуализации на защитата своевременно.
3. Ние предлагаме корекции за текущия клон на Android в Проект с отворен код за Android (AOSP) и директно предоставят на Android партньори кръпки за поне последните две основни версии на операционната система. Понастоящем предоставяме бекпорти за проблеми със сигурността, които покриват Android 4.3 и по-нови версии. WebKit на Android 4.3 е ​​единственото изключение. Поддържа се на Android 4.4 и по-нови версии като двоична актуализация. Независимо от това, когато OEM изисква помощ при разработването на кръпка за устройство, което работи с по-стара версия на платформата и те се ангажират да доставят този пластир като OTA на устройства, ние ще им предоставим помощ.
4. Където е възможно, ние също актуализираме Услугите за сигурност на Google за Android да осигури допълнителен слой защита за всички устройства с Android, независимо дали са все още се поддържа от OEM производители. Това включва проверка за потенциално вредни приложения и друга сигурност поведение.
5. Също така предоставяме на разработчиците на приложения информация и инструменти, за да гарантираме, че техните приложения са защитени срещу потенциални проблеми със сигурността. Това включва предоставяне на API в услугите на Google Play, като например актуализируем доставчик на сигурност които могат да бъдат актуализирани от Google без OTA за устройство. Ние също предоставяме най-добри практики което може да помогне на разработчиците да се уверят, че техните приложения работят безопасно на всички устройства с Android, независимо дали все още се поддържат от OEM производителите. Наскоро започнахме да сканираме приложения в Google Play за потенциални уязвимости в сигурността и да уведомяваме разработчиците, когато тези уязвимости са открити.
6. И накрая, но не на последно място, споделяме информация за проблеми със сигурността (включително информация, която имаме за поправки и всяка известна експлоатация) с партньори за Android, за да сте сигурни, че разбират проблема, включително рисковете, свързани с устройствата, които не получават актуализация за проблем. Това включва добавяне на тестове за потенциални проблеми със сигурността в Пакет за тест за съвместимост за да се намали шансът, че OEM неволно изпраща устройство с известен проблем със сигурността.

Въпрос: В случай, че дадено приложение е счетено за злонамерено, но не непременно опасно - например приложение, което разпраща лентата за известия с нежелани реклами - какви инструменти са на разположение, за да помогнат на потребителите?

Лудвиг: Android предоставя на потребителите контроли, които им позволяват да контролират преживяването на своето устройство. Това включва възможности като преглед на разрешенията за приложения, конфигуриране на настройки като способността на приложението да показва известия или възможността да деактивира или премахва приложения на по всяко време.

Ако известието е нежелано, потребителят може дълго да натисне известието, за да види кое приложение го е създало и след това да промени настройките за известяване на приложението или да деинсталира приложението.

Въпрос: Какво се случва, когато Google изпрати съобщение, предупреждаващо потребителите на злонамерено приложение и потребителят не го премахне, или защото те решат да не го направят, или съобщението е случайно отхвърлено?

Лудвиг: Има множество излишни проверки за сигурност, които са предназначени да гарантират, че приложение, за което се знае, че е потенциално вредно, няма да бъде инсталирано случайно. При всяка от тези проверки повечето потребители, които получават предупреждение за потенциално вредно приложение, решават да не продължават.

Ето всички основни стъпки:

Google интегрира своята система за предупреждение за известни потенциално вредни приложения в бекенда на много от нашите приложения. Така например, браузърът Chrome с безопасно сърфиране може да предупреди потребителя, преди дори да изтегли приложение от уебсайт, че изглежда, че е на уебсайт, който хоства потенциално вредни приложения.

Ако все пак решат да изтеглят и инсталират, те ще получат предупреждение по време на инсталирането (както и друга информация като разрешенията за приложение, които могат да им помогнат да решат дали искат Инсталирай).

Ако все пак решат да продължат, приложението е инсталирано, но все още не може да направи нищо, докато потребителят действително не реши да стартира приложението. Така те имат още един шанс да изберат да премахнат приложението, преди то да може да причини вреда.

Независимо дали са избрали да стартират приложението или не, ако е инсталирано на тяхното устройство, след това Проверете приложенията фоновото сканиране ще маркира приложението и ще предостави друго предупреждение, препоръчващо да премахнат ап. Това предупреждение обикновено се появява около веднъж седмично - въпреки че потребителят има опцията да каже „не ми напомняйте отново“.

Въпрос: Приложенията за защита на трети страни ме предпазват ли още по-добре от потенциално вредните приложения на Play Store?

Лудвиг: Защитите, вградени в Google Play, са много здрави. За потребители, които инсталират приложения извън Google Play, силно препоръчваме да активират Проверка на приложения, която е предоставена на Устройства с Android, работещи с Android 2.3 или по-нова (това е повече от 99 процента от устройства с Android), които имат Google Play инсталиран.

През 2014 г., според Verify Apps данните, събрани от Google и игнорирайки приложения за вкореняване, които са били умишлено инсталирани от потребители, по-малко от 0,15% от приложенията, инсталирани извън Google Play на устройства на американски английски, са класифицирани като потенциално вредни Приложения. Като се има предвид вградената защита, осигурена от Verify Apps, и ниската честота на инсталиране на PHA, потенциалната полза за сигурността на допълнително решение за сигурност е много малка.

Въпрос: Прилага ли се някоя от функциите за сигурност на Google за потребители, които са инсталирали версии на Android на трети страни (прочетете: направени от общността ROM)?

Лудвиг: Да, ROM-тата на трети страни обикновено са изградени върху AOSP, така че те поддържат пясъчника на Android и много от тях използват приложенията на Google, включително нашите услуги за сигурност.

И ето го. Google прави невероятно много работа, за да поддържа Android в безопасност и огромна част от това се подготвя за всичко, което се случва по-нататък. Но това винаги ще бъде малко игра на котка и мишка. Както винаги е било, поддържането на вашето устройство в безопасност е свързано с това да сте наясно къде подслушвате, какво инсталирате и да сте възможно най-информирани.

Не забравяйте да проверите останалата част от нашата серия за сигурност, ако искате да научите повече.

Слушали ли сте Android Central Podcast тази седмица?

Всяка седмица Android Central Podcast ви предоставя най-новите технологични новини, анализи и актуални снимки, с познати съ-домакини и специални гости.

• Абонирайте се за Pocket Casts: Аудио
• Абонирайте се в Spotify: Аудио
• Абонирайте се в iTunes: Аудио