Чи справді Android-пристрої легше зламати? Ми запитали у експертів

Android – найпоширеніша мобільна платформа на планеті. Понад 1,4 мільярда людей користуються смартфоном або планшетом на базі Android щодня, і той факт, що вона має відкритий вихідний код і є безкоштовною для виробників, є великою частиною цієї популярності. Але відкритість – це палиця з двома кінцями: вона призвела до того, що багато телефонів на базі Android не отримують регулярних оновлень з найновішими патчами безпеки.

Привид шкідливого програмного забезпечення нависає над Android протягом останніх кількох років, коли дослідники виявляють дуже відомі вразливості, такі як Stagefright. Негативні новини надходять так швидко і густо, що їх буває важко оцінити в перспективі. Лише минулого тижня ми повідомляли про шкідливе програмне забезпечення FalseGuide, яке могло вплинути на 1,8 мільйона користувачів Android.

Опираючись лише на заголовки, можна було б пробачити побоювання щодо безпеки Android, але де межа між гіперболізацією і реальним ризиком? Чи справді платформа є небезпечною?

• Pixel Feature Drops раніше були вражаючими – тепер вони жахливо посередні
• iOS 17 може бути приголомшливою, якщо Apple зробить ці 7 змін
• Sunbird виглядає як додаток iMessage для Android, який ви так довго чекали

“Ні, це не небезпечно. Я думаю, що у нас є невелика проблема зі сприйняттям, але вона сильно відрізняється від реального ризику для користувачів”, – сказав Адріан Людвіг, директор Android Security, в недавньому інтерв’ю Digital Trends. “Криптографічна робота, яку ми проводили, пісочниця, яку ми робили, і велика частина роботи по ускладненню експлуатації – все це добре поєднується”.

Немає сумнівів, що останні версії Android більш безпечні, ніж їх попередники, але проблема полягає в тому, що багато користувачів Android так і не відчули цієї переваги. Озираючись на 2016 рік у своєму блозі, команда з безпеки Android визнала, що приблизно половина пристроїв, які використовувалися в кінці 2016 року, не отримували оновлень протягом як мінімум 12 місяців.

“Вісімдесят чотири відсотки телефонів не оновлені, а це означає, що більшість мобільних пристроїв все ще знаходяться в зоні ризику”.

“Сучасні версії Google Android можна вважати безпечними, – сказав Майк Моргенштерн, генеральний директор антивірусної рейтингової організації AV-Test, в інтерв’ю Digital Trends. “Але особливо в багатьох старих версіях Android з’являється все більше і більше вразливостей, і багато виробників не постачають оновлення для своїх пристроїв. На даний момент відомо понад 800 уразливостей”.

Якщо ми подивимося на офіційні цифри розповсюдження Android станом на квітень, то виявимо, що лише 4,9 відсотка пристроїв Android працюють на останніх версіях, Nougat 7.0 або 7.1. Це невтішно мала частка від загального числа. Якщо поглянути ще далі, то Android 6.0 Marshmallow працює на 31,2% пристроїв, Android 5.0 або 5.1, Lollipop, – на 31% пристроїв, а п’ята частина пристроїв Android все ще працює під управлінням Android 4.4 KitKat. Більшість з цих пристроїв, що працюють на старіших версіях Android, навряд чи коли-небудь будуть оновлені.

“Вісімдесят чотири відсотки телефонів не оновлені, а це означає, що більшість мобільних пристроїв все ще знаходяться в зоні ризику”, – сказав Джошуа Дрейк (Joshua J. Drake), віце-президент з досліджень і експлуатації платформ в Zimperium, в інтерв’ю Digital Trends.

Zimperium – компанія, що займається мобільною безпекою; Дрейк виявив уразливість Stagefright ще в 2015 році. Вона могла дати хакерам контроль над пристроєм Android за допомогою шкідливого коду в аудіо- або відеофайлі – і до 95 відсотків пристроїв були вразливі до неї, згідно з повідомленнями на той час. Дрейк розповів нам, що деякі пристрої все ще вразливі і сьогодні.

Хоча потенційний збиток був страшним, неясно, який вплив на користувачів Android.

“Минуло вже півтора року, майже два роки з тих пір, як ми вперше дізналися про це, і ми все ще не знаємо, що хтось дійсно постраждав”, – сказав Людвіг.

Але Дрейк не погоджується.

“Ми знаємо, що були цілеспрямовані атаки з використанням уразливостей в libstagefright і mediaserver”, – сказав він. “Ми знаємо, що важко довести негатив в цілому, і ми поважаємо зусилля Google по кращому захисту своєї платформи, але без датчика на пристрої ніхто не може дізнатися про ризик або статус загрози будь-якого пристрою – особливо мобільного”.

Проблема полягає в тому, що нелегко визначити, чи була на вас здійснена успішна атака. Після відкриття Stagefright фірма з безпеки заснувала Zimperium Handset Alliance для посилення комунікації між дослідниками, операторами мобільних мереж, розробниками мобільних додатків і постачальниками пристроїв.

“Необхідно заохочувати дослідників вивчати щомісячні оновлення безпеки і намагатися використовувати ці вразливості, щоб сприяти кращому виправленню і загальній безпеці мобільного світу”, – сказав Дрейк.

Компанія Google зробила кілька важливих кроків для зниження ризиків безпеки, випускаючи щомісячні патчі і розбиваючи елементи Android на частини, щоб полегшити випуск оновлень. Але старі версії Android залишилися позаду.

Проблему фрагментації Android вирішити непросто. Переконати операторів і виробників оновити свої пристрої Android виявилося дуже складно для Google. Це зіграло прямо на руку опозиції. Тім Кук з Apple знаменито посилався на статтю ZDNet під назвою “Фрагментація Android перетворює пристрої в токсичне пекло вразливостей” на слайді на WWDC в 2014 році. Але чи дійсно iOS настільки краще? І якщо так, то чому?

“Склалося враження, що безпека iOS перевершує безпеку Android, але це не обов’язково так, – сказав Дрейк.

Оскільки Android має відкритий вихідний код, дослідникам безпеки легше знаходити недоліки і пропонувати виправлення. Закрита природа iOS ускладнює дослідникам розуміння того, що відбувається, сказав він. Моргенштерн згоден з такою оцінкою, але вказує на важливу відмінність, яка робить шкідливе програмне забезпечення більшим ризиком для Android .

“Поки кожне оновлення не досягне всіх пристроїв, ми все ще перебуваємо в зоні ризику”.

“Для користувачів Android легко встановлювати додатки з будь-якого джерела”, – пояснює Моргенштерн. “Цей факт полегшує потрапляння шкідливих програм на пристрій. Інші платформи справляються з цим набагато суворіше, дозволяючи встановлення лише з їхніх закритих ринків”.

Android є великою мішенню. З такою великою базою користувачів і відкритим вихідним кодом вона є привабливою здобиччю для кіберзлочинців. Щодня AV-Test реєструє до 30 000 нових зразків шкідливого програмного забезпечення для Android. Це страшна цифра, але стурбовані користувачі Android можуть вжити заходів, щоб значно знизити ризики, використовуючи Google Play для додатків, оновлюючи пристрої, як тільки стають доступними виправлення, і використовуючи сторонні програми для захисту Android.

І Дрейк, і Моргенштерн також застерігають від підключення до невідомих мереж і точок доступу Wi-Fi, принаймні, без використання гідних додатків VPN для Android.

“Наші дані показують, що більшість атак є мережевими за своєю природою, і вони не роблять різниці між iOS, Android або іншими”, – пояснює Дрейк. “Після того, як зловмисник безшумно перехопив і перенаправив ваш мережевий трафік, будь-який пристрій стає небезпечно вразливим для інвазивного спостереження, персоналізованого підводного полювання, доставки експлойтів платформи або будь-якої кількості інших подальших атак”.

Безпека Android покращується. Ми можемо вказати на більш швидкі оновлення, шифрування пристроїв, запити дозволів, ізоляцію додатків один від одного, обмежений доступ до ресурсів і автоматичне сканування шкідливого програмного забезпечення в Play Store. Але, очевидно, ще є над чим працювати.

“Минулого року ми заплатили майже мільйон доларів дослідникам”, – сказав Людвіг з Google, відповідаючи на питання про важливість сторонніх досліджень. Але, незважаючи на цю дослідницьку програму, Дрейк вважає, що потрібно більше.

“Щоб поліпшити безпеку Android в цілому, Google необхідно тісніше співпрацювати з постачальниками систем безпеки”, – сказав він. “Apple та інші виробники збільшили свою співпрацю, але Google зменшила її. Філософія Google полягає в тому, що вони можуть робити все самостійно, але це тільки шкодить їх користувачам і, на жаль, приносить користь авторам шкідливого програмного забезпечення”.

Зрештою, питання безпеки Android може звестися до того, яким пристроєм ви користуєтеся. Якщо у вас є телефон дво- або трирічної давності, який працює на старій версії Android і не оновлювався місяцями, у вас є привід для занепокоєння. Власники Google Pixel, навпаки, своєчасно отримують останні оновлення безпеки, принаймні на найближчі пару років.

Важко сказати, скільки часу пройде, перш ніж більшість Android-пристроїв будуть працювати під управлінням Nougat, або більш пізньої версії Android, але навіть тоді повільний темп оновлень від деяких виробників і операторів залишиться проблемою.

“Поки кожне оновлення не дійде до всіх пристроїв, ми все ще перебуваємо в зоні ризику”, – сказав Моргенштерн.

Ви можете знайти більше корисних порад про те, як залишатися в безпеці на своєму телефоні Android в нашому керівництві з безпеки Android.

Рекомендації редакції

• Щойно придбали новий iPhone? Ось 12 порад і підказок, як його освоїти
• Секрет, як допомогти літнім людям вийти в Інтернет, прямо перед нами
• Цей безкоштовний додаток для Android надав моєму телефону надздібності клонування
• Не слухайте мільярдерів, таких як Ілон Маск – магазини додатків просто фантастичні
• Нова політика оновлення Android від OnePlus відповідає Samsung, ганьбить Google

Source: digitaltrends.com