Android sigurnost - pitanja i odgovori s Googleovim Adrianom Ludwigom

Nedavno smo puno razgovarali o sigurnosti na vašem Android uređaju, a kako se razgovor nastavio bilo je jasno da postoje pitanja na koja treba odgovoriti osoba koja ima veći autoritet. Stvari poput toga trebate li antivirusni softver za vaš telefon, prepoznavanje zlonamjernog softvera, i biti sigurni da su vaši uređaji općenito sigurno svakodnevnom uporabom teme su koje su postale nepotrebno blatne. Iako dio krivnje za to možemo svaliti na naizgled beskrajnu salvu članaka koji nam govore o svom softveru napravljen da iskorištava korisnike Androida, također postoje neka opravdana pitanja o Android sigurnosti koja nemaju jednostavna i jednostavna pitanja odgovori.

Da bismo pomogli riješiti ovo pitanje, prešli smo izravno na izvor. Adrian Ludwig, vodeći inženjer za Androidovu sigurnost u Googleu, potrajao je neko vrijeme putem e-pošte kako bi dao odgovore koje smo tražili.

Pročitajte više: Android sigurnost - pitanja i odgovori s Googleovim Adrianom Ludwigom

P: Od čega, točno, Google pokušava zaštititi svoje Android korisnike?

Ludwig: Android smo dizajnirali koristeći više slojeva sigurnosti - počevši od hardverskih značajki uređaja (Trustzone, NX), preko operativnog sustava (Sandbox aplikacije, SELinux, ASLR) i do aplikacija i usluga koje Google pruža (Google Play, Upravitelj uređaja, Provjera aplikacija itd.). Također potičemo sigurnosne inovacije omogućujući trećim stranama da pružaju sigurnosna rješenja.

Najvažnije sigurnosne prijetnje s kojima se danas suočavaju mobilni uređaji uključuju: 1. Izgubljeni i ukradeni uređaji (za koje pružamo zaštitu poput zaključanog zaslona, ​​enkripcije uređaja i upravitelja Android uređaja) 2. Napadi na mrežnoj razini (za koje Android pruža kriptografske usluge i izlaže minimalnu površinu napada jer prema zadanim postavkama nema usluga slušanja) 3. Potencijalno štetne aplikacije (za koje su dizajnirani sigurnosni okvir Android aplikacija, pregled aplikacija Google Play i Provjera aplikacija)

Kad čujemo o novoj potencijalnoj prijetnji, počinjemo to ugrađivati ​​u svoje buduće planove i dizajn.

P: Koliko dugo Google nudi podršku za stvari poput sigurnosnih ranjivosti koje su otkrivene u operacijskom sustavu?

Ludwig: Naš pristup politici podrške za sigurnost Androida je pružanje ažuriranja svugdje za koje vjerujemo da će se stvarno isporučivati ​​korisnicima i poboljšanje sigurnosti. U praksi to znači da pružamo više različitih vrsta podrške za potencijalne sigurnosne probleme:

1. Ako se problem može riješiti ažuriranjem Chromea, Gmaila, Google Playa ili bilo kojeg broja Googleovih aplikacija - problem ćemo riješiti na način koji seže do svih verzija Androida na kojima je svaka aplikacija dostupno.
2. Google Nexus uređaji i Izdanje Google Play uređaji redovito pravovremeno primaju sigurnosna ažuriranja.
3. Pružamo zakrpe za trenutnu podružnicu Androida u sustavu Android Open Source projekt (AOSP) i izravno pružaju Android partnerima zakrpe za barem posljednje dvije glavne verzije operativnog sustava. Trenutačno pružamo sigurnosne pozadine za sigurnosne probleme koji pokrivaju Android 4.3 i novije verzije. Jedina iznimka je WebKit na Androidu 4.3. Podržana je na Androidu 4.4 i novijim verzijama kao binarno ažuriranje. Ipak, kada OEM zatraži pomoć u razvoju zakrpe za uređaj koji ima stariju verziju platforme i oni se obvežu dostaviti tu zakrpu kao OTA uređajima, pružit ćemo im pomoć.
4. Gdje je moguće, također ažuriramo Googleove sigurnosne usluge za Android pružiti dodatni sloj zaštite za sve Android uređaje, bez obzira jesu li i dalje podržavaju OEM-i. To uključuje provjeru potencijalno štetnih aplikacija i drugu sigurnost ponašanje.
5. Također pružamo programerima aplikacija informacije i alate kako bismo osigurali da su njihove aplikacije zaštićene od potencijalnih sigurnosnih problema. To uključuje pružanje API-ja unutar Google Play usluga kao što je davatelj usluga sigurnosti koji se može ažurirati koje Google može ažurirati bez OTA uređaja. Također pružamo najbolje prakse koja programerima može pomoći da osiguraju da njihove aplikacije rade sigurno na svim Android uređajima, bez obzira podržavaju li ih OEM-ovi. Nedavno smo počeli skenirati aplikacije na Google Playu radi potencijalnih sigurnosnih ranjivosti i obaviještavati programere kada te ranjivosti postoje otkriveni.
6. Posljednje, ali ne najmanje važno, dijelimo informacije o sigurnosnim problemima (uključujući podatke o ispravcima i bilo kojem poznatom iskorištavanju) s Android partnerima kako bi bili sigurni da razumiju problem, uključujući rizike povezane s uređajima koji ne dobivaju ažuriranje za problem. To uključuje dodavanje testova za potencijalne sigurnosne probleme u sustavu Windows Suite za kompatibilnost kako bi se smanjila šansa da OEM nehotice isporuči uređaj s poznatim sigurnosnim problemom.

P: U slučaju da se neka aplikacija smatra zlonamjernom, ali ne nužno i opasnom - na primjer, aplikacijom koja neovisnim oglasima preusmjerava ladicu s obavijestima - koji su alati dostupni za pomoć korisnicima?

Ludwig: Android korisnicima pruža kontrole koje im omogućuju upravljanje iskustvom na njihovom uređaju. To uključuje mogućnosti poput pregleda dozvola aplikacije, konfiguriranja postavki poput sposobnost aplikacije za prikaz obavijesti ili mogućnost onemogućavanja ili uklanjanja aplikacija na bilo kad.

Ako je obavijest neželjena, korisnik može dugo pritisnuti obavijest da vidi koja ju je aplikacija proizvela, a zatim promijeniti postavke obavijesti aplikacije ili deinstalirati aplikaciju.

P: Što se događa kada Google pošalje poruku upozoravajući korisnike na zlonamjernu aplikaciju, a korisnik je ne ukloni, bilo zato što su odlučili da to neće učiniti ili je poruka slučajno odbačena?

Ludwig: Postoji više suvišnih sigurnosnih provjera osmišljenih da osiguraju da aplikacija za koju se zna da je potencijalno štetna neće biti slučajno instalirana. Pri svakoj od ovih provjera većina korisnika koji dobiju upozorenje o potencijalno štetnoj aplikaciji odluči ne nastaviti.

Evo svih glavnih koraka:

Google je integrirao svoj sustav upozorenja za poznate potencijalno štetne aplikacije u pozadinu mnogih naših aplikacija. Tako bi, na primjer, preglednik Chrome sa Sigurnim pregledavanjem mogao upozoriti korisnika prije nego što uopće preuzme aplikaciju s web mjesta da izgleda kao da se nalazi na web mjestu koje hostira potencijalno štetne aplikacije.

Ako se ipak odluče preuzeti i instalirati, primit će upozorenje u vrijeme instalacije (kao i druge informacije poput dopuštenja aplikacije koje im mogu pomoći da odluče žele li instalirati).

Ako i dalje odluče nastaviti, aplikacija je instalirana, ali još uvijek ne može učiniti ništa dok korisnik zapravo ne odluči pokrenuti aplikaciju. Dakle, imaju još jednu priliku odabrati uklanjanje aplikacije prije nego što bi mogla prouzročiti štetu.

Bez obzira odluče li pokrenuti aplikaciju ili ne, ako je instalirana na njihovom uređaju, zatim Potvrdi aplikacije pozadinsko skeniranje označit će aplikaciju i pružiti novo upozorenje koje preporučuje da uklone app. Ovo će se upozorenje obično javljati otprilike jednom tjedno - iako korisnik ima mogućnost reći "nemoj me više podsjećati".

P: Čuvaju li me sigurnosne aplikacije treće strane još sigurniju od potencijalno štetnih aplikacija Trgovine Play?

Ludwig: Zaštita ugrađena u Google Play vrlo je robusna. Za korisnike koji instaliraju aplikacije izvan Google Playa, toplo preporučujemo da omoguće Provjeru aplikacija koja je dostupna na Android uređaji sa sustavom Android 2.3 ili novijim (to je više od 99 posto Android uređaja) koji imaju Google Play instaliran.

Prema podacima tvrtke Verify Apps koje je Google prikupio i ignorirajući aplikacije za ukorjenjivanje koje su korisnici namjerno instalirali, 2014. manje od 0,15 posto aplikacija instaliranih izvan Google Playa na uređaje iz američkog engleskog jezika klasificirano je kao potencijalno štetne Prijave. S obzirom na ugrađenu zaštitu koju pruža tvrtka Verify Apps i niska učestalost instalacije PHA-a, potencijalna sigurnosna korist dodatnog sigurnosnog rješenja vrlo je mala.

P: Primjenjuje li se bilo koja Googleova sigurnosna značajka na korisnike koji su instalirali verzije Androida nezavisnih proizvođača (čitaj: ROM-ove izrađene u zajednici)?

Ludwig: Da, ROM-ovi trećih strana uglavnom su izgrađeni na AOSP-u, tako da podržavaju Androidov pješčanik, a mnogi od njih koriste Googleove aplikacije, uključujući naše sigurnosne usluge.

Eto ti ga. Google čini nevjerojatan posao kako bi Android bio siguran, a ogroman dio toga priprema se za sve što se sljedeće dogodi. Ali to će uvijek biti pomalo igra mačke i miša. Kao i uvijek do sada, održavanje uređaja sigurno je da budete svjesni gdje tapkate, što instalirate i da budete što je moguće informiraniji.

Svakako provjerite ostatak naše sigurnosne serije ako želite saznati više.

Jeste li slušali ovotjedni Android Central Podcast?

Svaki tjedan Android Central Podcast donosi vam najnovije tehnološke vijesti, analize i popularne snimke, uz poznate suvoditelje i posebne goste.

• Pretplatite se na Pocket Casts: Audio
• Pretplatite se na Spotify: Audio
• Pretplatite se na iTunes: Audio