Ulepszenia Androida producentów telefonów powodują problemy z bezpieczeństwem

Otwarty charakter systemu operacyjnego Android firmy Google oznacza, że ​​producenci mogą dodawać do telefonu własną warstwę oprogramowania, pomagając im wyróżnić się na tle innych dzięki innym wyglądom i funkcjom. Jednak nowe badania pokazują, że takie dopasowanie może być również odpowiedzialne za szereg słabości bezpieczeństwa, które mogą sprawić, że telefony będą bardziej podatne na ataki hakerów.

Według badania przeprowadzonego przez informatyków z North Carolina State University, zmiany wprowadzone przez producentów w standardowym oprogramowaniu Android były odpowiedzialne za ponad 60 procent luk w zabezpieczeniach wykrytych w telefonach różnych producentów telefonów. A papier (pdf) praca ma zostać zaprezentowana w środę o godz Konferencja ACM na temat bezpieczeństwa komputerów i komunikacji w Berlinie.

Zaskoczyła nas ogólna niepewność, mówi jeden z autorów, Xuxian Jiang , profesor nadzwyczajny informatyki na uniwersytecie, który bada mobilne szkodliwe oprogramowanie. Jiang postrzega to jako wskazówkę, że niektórzy dostawcy telefonów nie traktują bezpieczeństwa wystarczająco poważnie i czują stałą presję, by wprowadzać na rynek nowe funkcje oprogramowania.

W swoim badaniu naukowcy przyjrzeli się 10 smartfonom z Androidem; pięć uruchomiło wersje czwartej generacji oprogramowania Android, a pięć korzystało z drugiej generacji (pomiędzy tymi dwoma, Google wypuściło wersję 3.2, znaną również jako Honeycomb, przeznaczoną dla tabletów). Naukowcy przetestowali jeden telefon z każdą z dwóch wersji Androida od Samsunga, HTC, LG i Sony — w tym z popularnym Samsung Galaxy S3 i HTC One X — a także z dwoma telefonami marki Google (Nexus S i Nexus 4, wyprodukowane przez Samsunga i LG), które służyły głównie jako ramy odniesienia, ponieważ nie zawierają tych samych spersonalizowanych skórek oprogramowania, które można znaleźć w wielu innych telefonach z Androidem.

Aby dowiedzieć się, jakie były luki w zabezpieczeniach i skąd pochodziły, badacze najpierw podzielili aplikacje załadowane na smartfony na trzy kategorie, zwracając uwagę, które pochodzą z projektu Google Android Open Source Project, które zostały stworzone lub dostosowane przez producenta smartfonów. i które pochodziły od zewnętrznych programistów.

Następnie przyjrzeli się danym i funkcjom, których aplikacje chcą używać — na przykład możliwości uzyskiwania dostępu do zdjęć lub wybierania numerów telefonów kontaktów — aby dowiedzieć się, które aplikacje zażądały uprawnień, których w rzeczywistości nie używały. Aplikacje z większą liczbą uprawnień niż te, których potrzebują, są problematyczne, ponieważ mogą narażać dane osobowe, takie jak nazwy użytkowników i numery kart kredytowych, na większe ryzyko włamania w przypadku zhakowania tej aplikacji.

Naukowcy odkryli, że 86 procent aplikacji wstępnie załadowanych na te smartfony prosiło o więcej uprawnień niż jest to konieczne, a większość tak zwanych aplikacji nadmiernie uprzywilejowanych została dodana przez producentów smartfonów w ramach ich procesów dostosowywania. Ponieważ są one zintegrowane z systemem operacyjnym na niskim poziomie, aplikacje dodane przez producentów mogą uzyskać większe uprawnienia dostępu niż te, które zapewniają zewnętrzni twórcy aplikacji.

Marc Rogers, główny badacz bezpieczeństwa w firmie Lookout zajmującej się oprogramowaniem do zabezpieczania urządzeń mobilnych, mówi, że problem nadmiernie uprzywilejowanych aplikacji jest powszechny dla twórców aplikacji, a nie tylko dla konkretnych dostawców. Jeśli spojrzysz na rynek, istnieje wiele aplikacji, które mają ten problem, w których twórca aplikacji powiedział: „Poproszę o jak najwięcej uprawnień na wszelki wypadek”, mówi.

Badacze szukali również problemów z bezpieczeństwem, które mogą pozwolić aplikacjom działać tak, jakby miały uprawnienia do robienia rzeczy, do których nie są upoważnione, lub które mogą pozwolić aplikacjom na udostępnianie poufnych danych użytkownika bez pozwolenia.

Ogólnie rzecz biorąc, badacze ustalili, że od 65 do 85 procent ze 177 luk w zabezpieczeniach smartfonów Samsung, HTC i LG pochodzi z dostosowań producenta; 38 procent z 16 słabych punktów napotkanych w smartfonach Sony pochodziło właśnie z tego źródła.

Rogers, który widział, jak dostosowania dostawców powodowały w przeszłości problemy z bezpieczeństwem (takie jak: jeden wynikało to z dostosowania przez Samsunga ekranu blokady Galaxy S3), mówi, że niezależnie od tego, skąd pochodzą problemy, każda zmiana w oprogramowaniu Androida przyczynia się do fragmentacji systemu operacyjnego i może wprowadzić luki, które nie są śledzone przez Google.

Badacze twierdzą, że próbowali skontaktować się z producentami smartfonów, aby poinformować ich o wykrytych problemach z bezpieczeństwem, ale nie wszyscy odpowiedzieli. Producenci smartfonów i Google nie odpowiedzieli na prośby o komentarz do tej historii.

Mimo to Jiang ma nadzieję, że badanie pomoże producentom i użytkownikom rozpoznać takie problemy z bezpieczeństwem. Miejmy nadzieję, że następna generacja telefonów stanie się znacznie bezpieczniejsza, mówi.

ukryć