Veelkord, see on Androidi turvalisuse hirmutamise hooaeg. Täna hommikul ilmus turvafirma Check Pointi avastatud ja haarava monikari "QuadRooter" alla koondatud uusim haavatavuste kogu. Nagu tavaliselt, on suurem osa aruannetest keskendunud halvimatele stsenaariumidele ja šokeerivalt suurele arvule potentsiaalselt haavatavatele seadmetele - antud juhul hinnanguliselt 900 miljon.
Me hakkame lagundama täpselt seda, mis toimub, ja seda, kui haavatav sa tõenäoliselt oled. Loe edasi.
1. See on Qualcommi asi
Check Point oli Qualcommile suunatud just tänu oma domineerivale positsioonile Androidi ökosüsteemis. Kuna nii paljud Android-telefonid kasutavad Qualcommi riistvara, panustavad Qualcomm draiverid nende tarkvarasse telefonid on atraktiivne sihtmärk - üks haavatavuste komplekt, mis mõjutab suurt osa Androidist kasutajaskond. (Täpsemalt, vead mõjutavad võrguühendust, graafikat ja mälu eraldamise koodi.)
Kõik neli QuadRooteri moodustavat ärakasutamist mõjutavad Qualcommi draivereid, nii et kui teil on telefon, mis ei kasuta Qualcommi riistvara, kõik - näiteks Galaxy S6 või Note 5 (mis kasutab Samsungi enda Exynose protsessorit ja Shanoni modemit), ei mõjuta teid seda.
Verizon pakub Pixel 4a uutele piiramatutele liinidele vaid 10 dollarit kuus
2. See on tõsine, kuid pole tõendeid selle kasutamiseks looduses
Nagu nimest võib järeldada, on QuadRoot Qualcommi koodis nelja ekspluateerimise kogum, mis võib lubada pahatahtlikul rakendusel saada juurõigusi - st juurdepääsu telefonis põhimõtteliselt kõigele. Sealt saate unistada mis tahes arvu õudusunenägu stsenaariume: ründajad kuulavad telefoni pealt kõned, kaamera kaudu luuramine, finantsteabe vahtimine või andmete lukustamine lunavara.
Keegi ei räägi sellest, et neid ekspluateid looduses kasutatakse, mis on hea. (Kontrollpunkti hinnangul pakuvad pahad poisid kolme või nelja kuu jooksul toimivasse pahavarasse.) Arvestades väljakutseid Mis on seotud miljardi Android-seadme tarkvara värskendamisega, on pahavara loojatel piisavalt aega praktilise rakendus.
Aga...
3. Võimalik, et te pole tegelikult "haavatav"
QuadRooter on üks paljudest Androidi turbeprobleemid mis nõuab rakenduse käsitsi installimist. See tähendab käsitsi minna turvaseadetesse ja lülitada sisse märkeruut "Tundmatud allikad".
Igasugune häbeme, mis nõuab rakenduse käsitsi installimist, satub kahte peamisse takistusse: Play pood ja Androidi sisseehitatud funktsioon „Rakenduste kinnitamine”.
Arvestades, et Check Point avalikustas haavatavused esmakordselt juba aprillis, on Google peaaegu kindlasti juba pikka aega Play poe rakendusi nende ekspluateerimiste jaoks otsinud. See tähendab, et teil on kõik hästi, kui laadite rakendusi alla nagu Play poest, nagu enamik inimesi.
Ja isegi kui te seda ei tee, on Androidi funktsioon „Rakenduste kinnitamine” loodud täiendava kaitsekihina, skannides enne installimist kolmandate osapoolte allikatest pärinevaid rakendusi teadaoleva pahavara suhtes. See funktsioon on vaikimisi lubatud kõigis Androidi versioonides alates 2012. aasta versioonist 4.2 Jelly Bean ja kuna see on osa Google Play teenustest, siis seda värskendatakse alati. Alates uusim statistika saadaval, enam kui 90 protsendil aktiivsetest Android-seadmetest töötab versioon 4.2 või uuem.
Meil pole Google'ilt selgesõnalist kinnitust selle kohta, et "Verify Apps" otsib QuadRooterit, kuid arvestades seda, et Google'it teavitati kuid tagasi, on tõenäoline, et see nii on. Ja kui see nii on, tuvastab Android mis tahes QuadRooteri varjava rakenduse kahjulikuna ja kuvab suure hirmutava hoiatusekraani, enne kui lubate selle installimise lähedale jõuda.
Uuendus: Google on kinnitanud et Verify Apps suudab QuadRooteri tuvastada ja blokeerida.
Kas sellisel juhul olete endiselt "haavatav?" Noh tehniliselt. Mõistetavalt võite minna turvaseadetesse, lubada tundmatud allikad ja ignoreerida siis täisekraanil kuvatavat hoiatust, et kavatsete installida pahavara, ja keelata veel üks turvaseade mujal. Kuid sel hetkel on see suures osas teie enda teha.
4. Androidi turvalisus on keeruline isegi igakuiste plaastrite korral
QuadRooteri saaga üks huvitav aspekt on see, mida see näitab meile Androidi turvaprobleemide kohta, mis jäävad alles ka igakuiste turvapaikade maailmas. Kolm neljast haavatavusest on fikseeritud viimastes 2016. aasta augustiplaastrites, kuid üks on ilmselt libisenud läbi pragude ja see kinnitatakse alles septembri plaastri jooksul. See on põhjust õigustatud mureks, kuna avalikustamine toimus juba aprillis.
Kuid Qualcommi esindaja ütles ZDNet et kiibitootja oli tootjatele välja andnud omapoolseid plaastreid ajavahemikul aprillist juulini, seega on võimalik, et teatud mudeleid võib värskendada väljaspool Google'i lappimismehhanismi. See ainult rõhutab segadust, mis on seotud Google'i otsese plaastritaseme omamisega, samas kui seadmetootjad ja komponentide tootjad pakuvad ka turvaparandusi.
Praegu on ainus viis teada saada, kas teie telefon on teoreetiliselt haavatav, alla laadida Check Pointi QuadRoot skanneri rakendus Play poest.
Isegi kui plaastrid on välja antud, peavad nad enne telefonidesse tõukamist läbima seadmete tootjad ja kandjad. Ja kuigi mõned ettevõtted, nagu Samsung, BlackBerry ja (loomulikult) Google, on kiiresti veendunud, et uusimad plaastrid on olemas saadaval, ei ole enamik Android-seadmeid tootvatest inimestest enam nii õigeaegsed - eriti kui tegemist on vanemate või madalama hinnaga telefonid.
QuadRooter rõhutab, kuidas Qualcommil põhinevate Android-seadmete kõikjalolu muudab need atraktiivseks sihtmärgiks, samas kui riistvara mitmekesisus muudab nende kõigi värskendamise peaaegu võimatuks.
5. Oleme siin varem olnud
- Meeldiv turundusnimi? Kontrollima.
- Suur "õrnade" seadmete hirmutav arv? Kontrollima.
- Tasuta tuvastamisrakendus, mille turvaettevõte müüb koos müüdava tootega? Kontrollima.
- Puuduvad tõendid kasutamise kohta looduses? Kontrollima.
- Vajutage Play poodi ignoreerides üldiselt ja kontrollige rakendusi kui rakendustepõhiste ekspluateerimiste takistust? Kontrollima.
See on sama tants, mida teeme igal aastal turvakonverentsi aja paiku. 2014. aastal oli Võltsitud isikut tõendav dokument. 2015. aastal oli Rambipalavik. Kahjuks on Androidi turvaküsimuste mõistmine meedias laiemalt jäänud viletsaks, ja see tähendab, et sellised arvud nagu "900 miljonit", põrkavad kajakambri ümber ilma Sisu.
Kui olete installitavate rakenduste suhtes nutikas, pole muretsemiseks eriti põhjust. Isegi kui te seda ei tee, on tõenäoline, et Play teenused ja rakenduste kinnitamine on teie seljas.
ROHKEM: Androidi pahavara - kas peaksite muretsema?
Kas olete kuulanud selle nädala Android Central Podcasti?
Igal nädalal toob Android Central Podcast teile tuttavad kaassaatejuhid ja erikülalised uusimad tehnoloogiauudised, analüüsid ja kuumad võtted.
- Telli taskuülekanded: Heli
- Telli Spotifys: Heli
- Telli iTunes'is: Heli
Võime teenida komisjonitasu ostude eest, kasutades meie linke. Lisateave.
Need on parimad traadita kõrvaklapid, mida saate iga hinnaga osta!
Parimad traadita kõrvaklapid on mugavad, kõlavad suurepäraselt, ei maksa liiga palju ja mahuvad kergesti taskusse.
Kõik, mida peate teadma PS5 kohta: väljaandmise kuupäev, hind ja palju muud
Sony on ametlikult kinnitanud, et töötab PlayStation 5-ga. Siin on kõik, mida me selle kohta siiani teame.
Nokia toob turule kaks uut eelarvelist Android One telefoni, mille hind on alla 200 dollari.
Nokia 2.4 ja Nokia 3.4 on HMD Globali eelarveliste nutitelefonide valiku viimased täiendused. Kuna mõlemad on Android One seadmed, saavad nad kaks peamist OS-i värskendust ja regulaarset turvavärskendust kuni kolmeks aastaks.
Siin on parimad Galaxy S10 juhtumid.
Isegi kui see pole kõige uuem telefon, on Galaxy S10 üks toredaimaid ja libedamaid telefone turul. Varustage see kindlasti ühe sellise juhtumiga.