Android Security - en spørsmål og svar med Googles Adrian Ludwig

Vi har snakket mye om sikkerhet på Android-enheten din nylig, og etter hvert som samtalen fortsatte var det klart at det var spørsmål som måtte besvares av en person som hadde større autoritet. Ting som om du trenger antivirusprogramvare for telefonen din, identifisere skadelig programvare, og være sikker på at enhetene dine er det generelt trygt gjennom daglig bruk er temaer som har blitt unødvendig gjørmete. Mens vi kan legge noe av skylden for dette på den tilsynelatende endeløse spenningen av artikler som forteller oss om all programvaren der ute blir laget for å utnytte Android-brukere, er det også noen legitime spørsmål om Android-sikkerhet som ikke har enkel, enkel svar.

For å hjelpe til med å løse dette har vi gått rett til kilden. Adrian Ludwig, en ledende ingeniør for Android-sikkerhet hos Google, tok litt tid via e-post for å gi svarene vi har sett etter.

Les mer: Android Security - en spørsmål og svar med Googles Adrian Ludwig

Spørsmål: Hva prøver Google akkurat å beskytte sine Android-brukere mot?

Ludwig: Vi designet Android ved hjelp av flere sikkerhetslag - starter med maskinvarefunksjoner på enheten (Trustzone, NX), gjennom operativsystemet (Søknad Sandkasse, SELinux, ASLR) og opp til applikasjoner og tjenester som Google tilbyr (Google Play, Enhetsbehandling, Bekreft apper osv.). Vi oppfordrer også sikkerhetsinnovasjon ved å gjøre det mulig for tredjeparter å tilby sikkerhetsløsninger.

De mest presserende sikkerhetstruslene mot mobile enheter i disse dager inkluderer: 1. Mistede og stjålne enheter (som vi gir beskyttelse for som låseskjerm, enhetskryptering og Android Enhetsbehandling) 2. Angrep på nettverksnivå (som Android tilbyr kryptografiske tjenester for og utsetter en minimal angrepsoverflate ved å ikke ha noen lyttetjenester som standard) 3. Potensielt skadelige applikasjoner (som Android-applikasjonens sandkasse, Google Play-gjennomgang av applikasjoner og Verify Apps er designet for)

Når vi hører om en ny potensiell trussel, begynner vi å innlemme den i våre fremtidige planer og design.

Spørsmål: Hvor lenge tilbyr Google støtte for ting som sikkerhetsproblemer som oppdages i operativsystemet?

Ludwig: Vår tilnærming til en støttepolicy for Android-sikkerhet er å tilby oppdateringer overalt vi tror de faktisk vil bli levert til brukerne og forbedre sikkerheten. I praksis betyr dette at vi gir flere forskjellige typer støtte for potensielle sikkerhetsproblemer:

1. Hvis et problem kan løses ved å oppdatere Chrome, Gmail, Google Play eller et hvilket som helst antall Google-applikasjoner - vi løser problemet på en måte som går tilbake til alle Android-versjoner som hver applikasjon er på tilgjengelig.
2. Google Nexus enheter og Google Play-utgave enheter mottar regelmessig sikkerhetsoppdateringer i tide.
3. Vi tilbyr oppdateringer for den nåværende grenen av Android i Android Open Source Project (AOSP) og gir Android-partnere direkte oppdateringer for minst de to siste store versjonene av operativsystemet. For øyeblikket tilbyr vi backports for sikkerhetsproblemer som dekker Android 4.3 og nyere. WebKit på Android 4.3 er det eneste unntaket. Den støttes på Android 4.4 og nyere som en binær oppdatering. Likevel, når en OEM ber om hjelp til å utvikle en oppdatering for en enhet som kjører en eldre versjon av plattformen og de forplikter seg til å levere den oppdateringen som en OTA til enheter, vil vi gi dem hjelp.
4. Der det er mulig, oppdaterer vi også Googles sikkerhetstjenester for Android å gi et ekstra beskyttelseslag for alle Android-enheter, uansett om de er det fremdeles støttet av OEM-er. Dette inkluderer å se etter potensielt skadelige applikasjoner og annen sikkerhet oppførsel.
5. Vi gir også applikasjonsutviklere informasjon og verktøy for å sikre at applikasjonene deres er beskyttet mot potensielle sikkerhetsproblemer. Dette inkluderer å tilby APIer i Google Play-tjenester som oppdaterbar sikkerhetsleverandør som kan oppdateres av Google uten OTA-enhet. Vi tilbyr også beste praksis som kan hjelpe utviklere med å sørge for at applikasjonene deres fungerer trygt på alle Android-enheter, uansett om de fremdeles støttes av OEM-er. Nylig har vi begynt å skanne applikasjoner i Google Play for potensielle sikkerhetsproblemer og varsle utviklere når disse sikkerhetsproblemene er oppdaget.
6. Sist, men ikke minst, deler vi informasjon om sikkerhetsproblemer (inkludert informasjon vi har om reparasjoner og all kjent utnyttelse) med Android-partnere for å sikre at de forstår problemet, inkludert risikoen forbundet med at enheter ikke mottar en oppdatering for utgave. Dette inkluderer å legge til tester for potensielle sikkerhetsproblemer i Kompatibilitetstest Suite for å redusere sjansen for at en OEM utilsiktet sender en enhet med et kjent sikkerhetsproblem.

Spørsmål: Hvis en app har blitt ansett som skadelig, men ikke nødvendigvis farlig - for eksempel en app som spammer varslingsfeltet med uønskede annonser - hvilke verktøy er tilgjengelige for å hjelpe brukere?

Ludwig: Android gir brukerne kontroller som lar dem kontrollere opplevelsen på enheten sin. Dette inkluderer muligheter som å se applikasjonstillatelser, konfigurere innstillinger som evnen til et program til å vise varsler, eller muligheten til å deaktivere eller fjerne applikasjoner på når som helst.

Hvis et varsel er uønsket, kan brukeren trykke lenge på varselet for å se hvilken app som produserte det, og deretter endre programmets varslingsinnstillinger eller avinstallere applikasjonen.

Spørsmål: Hva skjer når Google sender en melding som advarer brukere om en ondsinnet app og brukeren ikke fjerner appen, enten fordi de velger å ikke eller at meldingen ved et uhell ble avvist?

Ludwig: Det er flere overflødige sikkerhetskontroller som er designet for å sikre at en app som er kjent for å være potensielt skadelig ikke ved et uhell blir installert. Ved hver av disse kontrollene velger de fleste brukere som mottar en advarsel om en potensielt skadelig app, ikke å fortsette.

Her er alle de viktigste trinnene:

Google har integrert sitt varslingssystem for kjente potensielt skadelige apper i bakenden av mange av våre apper. Så for eksempel kan Chrome-nettleseren med Safe Browsing advare brukeren før de til og med laster ned en app fra et nettsted om at det ser ut som om de er på et nettsted som er vert for potensielt skadelige apper.

Hvis de velger å laste ned og installere uansett, vil de motta en advarsel ved installasjonstidspunktet (så vel som annen informasjon, for eksempel applikasjonstillatelser som kan hjelpe dem med å bestemme om de vil installere).

Hvis de fortsatt bestemmer seg for å fortsette, er applikasjonen installert, men den kan fortsatt ikke gjøre noe før brukeren faktisk bestemmer seg for å kjøre appen. Så de har en sjanse til å velge å fjerne applikasjonen før den muligens kan forårsake skade.

Enten de velger å kjøre appen eller ikke, hvis den er installert på enheten deres, så bekreft appene bakgrunnsskanning vil flagge appen og gi en annen advarsel som anbefaler at de fjerner app. Denne advarselen vil vanligvis forekomme omtrent en gang i uken - selv om brukeren har muligheten til å si "ikke minne meg om igjen."

Spørsmål: Beskytter tredjeparts sikkerhetsapper meg enda mer mot potensielt skadelige Play Store-apper?

Ludwig: Beskyttelsen innebygd i Google Play er veldig robust. For brukere som installerer apper utenfor Google Play, anbefaler vi sterkt at de aktiverer Verify Apps, som er gitt på Android-enheter som kjører Android 2.3 eller nyere (det er mer enn 99 prosent av Android-enheter) som har Google Play installert.

I 2014, ifølge Verify Apps-data samlet inn av Google og ignorerer rooting-apper som med vilje ble installert av brukere, færre enn 0,15 prosent av applikasjoner som er installert utenfor Google Play til amerikanske engelske enheter, ble klassifisert som potensielt skadelige Applikasjoner. Gitt den innebygde beskyttelsen som tilbys av Verify Apps og den lave frekvensen av forekomst av installasjon av PHAer, er den potensielle sikkerhetsfordelen med en ekstra sikkerhetsløsning veldig liten.

Spørsmål: Gjelder noen av Googles sikkerhetsfunksjoner for brukere som har installert tredjepartsversjoner av Android (les: fellesskapslagde ROM-er)?

Ludwig: Ja, tredjeparts ROM-er er vanligvis bygget på AOSP, så de støtter Android-sandkassen, og mange av dem bruker Googles applikasjoner, inkludert sikkerhetstjenestene våre.

Og der har du det. Google gjør utrolig mye arbeid for å holde Android trygt, og en stor del av det blir forberedt på hva som skjer videre. Men det kommer alltid til å være litt av et katt-og-mus-spill. Som alltid har vært å holde enheten trygg handler det om å være klar over hvor du tapper, hva du installerer og være så informert som mulig.

Husk å sjekke ut resten av sikkerhetsserien vår hvis du vil lære mer.

Har du lyttet til denne ukens Android Central Podcast?

Hver uke gir Android Central Podcast deg de siste tekniske nyhetene, analysene og hot-takene, med kjente medvert og spesielle gjester.

• Abonner i Pocket Cast: Lyd
• Abonner i Spotify: Lyd
• Abonner i iTunes: Lyd