Bảo mật Android - một q & a với ludwig adrian của google

Gần đây chúng ta đã nói rất nhiều về bảo mật trên thiết bị Android của bạn và khi cuộc trò chuyện tiếp tục, rõ ràng có những câu hỏi cần được trả lời bởi một người có thẩm quyền cao hơn. Những thứ như liệu bạn có cần phần mềm chống vi-rút cho điện thoại, xác định phần mềm độc hại hay không và chắc chắn rằng thiết bị của bạn thường an toàn thông qua việc sử dụng hàng ngày là những chủ đề trở nên lầy lội không cần thiết. Mặc dù chúng ta có thể đổ lỗi cho điều này trên hàng loạt bài báo dường như vô tận cho chúng ta biết về tất cả các phần mềm được tạo ra để khai thác người dùng Android, nhưng cũng có một số câu hỏi chính đáng về bảo mật Android không đơn giản, đơn giản câu trả lời.

Để giúp giải quyết vấn đề này, chúng tôi đã đi thẳng vào nguồn. Adrian Ludwig, một kỹ sư trưởng về bảo mật Android tại Google, đã dành thời gian qua email để đưa ra câu trả lời mà chúng tôi đang tìm kiếm.

: Bảo mật Android - một câu hỏi và trả lời với Adrian Ludwig của Google

Vai trò của Google

Q: Chính xác thì Google đang cố bảo vệ người dùng Android của mình khỏi cái gì?

Ludwig: Chúng tôi đã thiết kế Android bằng nhiều lớp bảo mật - Bắt đầu với các tính năng phần cứng của thiết bị (Trustzone, NX), thông qua hệ điều hành (Application Sandbox, SELinux, ASLR) và cho đến các ứng dụng và dịch vụ mà Google cung cấp (Google Play, Trình quản lý thiết bị, Xác minh ứng dụng, v.v.). Chúng tôi cũng khuyến khích đổi mới bảo mật bằng cách cho phép các bên thứ ba cung cấp các giải pháp bảo mật.

Những mối đe dọa bảo mật cấp bách nhất đối với các thiết bị di động hiện nay bao gồm: 1. Các thiết bị bị mất và bị đánh cắp (chúng tôi cung cấp các biện pháp bảo vệ như màn hình khóa, mã hóa thiết bị và Trình quản lý thiết bị Android) 2. Các cuộc tấn công ở cấp độ mạng (mà Android cung cấp dịch vụ mã hóa và phơi bày bề mặt tấn công tối thiểu bằng cách không có dịch vụ nghe theo mặc định) 3. Các ứng dụng có thể gây hại (trong đó hộp cát Ứng dụng Android, đánh giá ứng dụng Google Play và Xác minh ứng dụng đều được thiết kế)

Khi chúng tôi nghe về một mối đe dọa tiềm năng mới, chúng tôi bắt đầu kết hợp nó vào các kế hoạch và thiết kế trong tương lai của chúng tôi.

Chính sách hỗ trợ

H: Google cung cấp hỗ trợ trong bao lâu cho những thứ như lỗ hổng bảo mật được phát hiện trong hệ điều hành?

Ludwig: Cách tiếp cận của chúng tôi đối với chính sách hỗ trợ cho bảo mật Android là cung cấp các bản cập nhật ở mọi nơi mà chúng tôi tin rằng chúng sẽ thực sự được gửi đến người dùng và cải thiện bảo mật. Trong thực tế, điều này có nghĩa là chúng tôi cung cấp nhiều loại hỗ trợ khác nhau cho các vấn đề bảo mật tiềm ẩn:

1. Nếu sự cố có thể được giải quyết bằng cách cập nhật Chrome, Gmail, Google Play hoặc bất kỳ số lượng ứng dụng Google nào - chúng tôi sẽ giải quyết vấn đề theo cách quay trở lại tất cả các phiên bản Android có mỗi ứng dụng.
2. Các thiết bị Google Nexus và các thiết bị Google Play phiên bản thường xuyên nhận được cập nhật bảo mật một cách kịp thời.
3. Chúng tôi cung cấp các bản vá cho chi nhánh Android hiện tại trong Dự án nguồn mở Android (AOSP) và trực tiếp cung cấp cho các đối tác Android các bản vá cho ít nhất hai phiên bản chính của hệ điều hành. Hiện tại, chúng tôi đang cung cấp các bản sao lưu cho các vấn đề bảo mật bao gồm Android 4.3 trở lên. WebKit trên Android 4.3 là một ngoại lệ. Nó được hỗ trợ trên Android 4.4 trở lên dưới dạng cập nhật nhị phân. Tuy nhiên, khi OEM yêu cầu hỗ trợ phát triển bản vá cho thiết bị đang chạy phiên bản cũ hơn của nền tảng và họ cam kết cung cấp bản vá đó dưới dạng OTA cho thiết bị, chúng tôi sẽ hỗ trợ họ.
4. Nếu có thể, chúng tôi cũng cập nhật các dịch vụ bảo mật của Google cho Android để cung cấp lớp bảo vệ bổ sung cho tất cả các thiết bị Android, bất kể chúng có được các OEM hỗ trợ hay không. Điều này bao gồm kiểm tra các ứng dụng có khả năng gây hại và hành vi bảo mật khác.
5. Chúng tôi cũng cung cấp cho các nhà phát triển ứng dụng thông tin và công cụ để đảm bảo các ứng dụng của họ được bảo vệ trước các vấn đề bảo mật tiềm ẩn. Điều này bao gồm việc cung cấp API trong Dịch vụ Google Play như Nhà cung cấp bảo mật có thể cập nhật có thể được Google cập nhật mà không cần OTA thiết bị. Chúng tôi cũng cung cấp các thực tiễn tốt nhất có thể giúp các nhà phát triển đảm bảo các ứng dụng của họ hoạt động an toàn trên tất cả các thiết bị Android, bất kể chúng có còn được các OEM hỗ trợ hay không. Gần đây, chúng tôi đã bắt đầu quét các ứng dụng trong Google Play để tìm các lỗ hổng bảo mật tiềm ẩn và thông báo cho các nhà phát triển khi những lỗ hổng đó được phát hiện.
6. Cuối cùng, nhưng không kém phần quan trọng, chúng tôi chia sẻ thông tin về các vấn đề bảo mật (bao gồm thông tin chúng tôi có về các bản sửa lỗi và mọi khai thác đã biết) với các đối tác Android để đảm bảo họ hiểu được vấn đề, bao gồm các rủi ro liên quan đến thiết bị không nhận được bản cập nhật cho sự cố. Điều này bao gồm thêm các thử nghiệm cho các vấn đề bảo mật tiềm ẩn trong Bộ kiểm tra tương thích để giảm khả năng OEM vô tình vận chuyển thiết bị có vấn đề bảo mật đã biết.

Kiểm soát người dùng

H: Trong trường hợp một ứng dụng được coi là độc hại nhưng không nhất thiết là nguy hiểm - ví dụ: ứng dụng spam khay thông báo với quảng cáo không mong muốn - công cụ nào có sẵn để giúp người dùng?

Ludwig: Android cung cấp cho người dùng các điều khiển cho phép họ kiểm soát trải nghiệm trên thiết bị của họ. Điều này bao gồm các khả năng như xem quyền của ứng dụng, định cấu hình các cài đặt như khả năng ứng dụng hiển thị thông báo hoặc khả năng vô hiệu hóa hoặc xóa ứng dụng bất cứ lúc nào.

Nếu thông báo không mong muốn, người dùng có thể nhấn và giữ thông báo để xem ứng dụng nào đã tạo ra ứng dụng đó và sau đó thay đổi cài đặt thông báo của ứng dụng hoặc gỡ cài đặt ứng dụng.

Kiểm tra an ninh

H: Điều gì xảy ra khi Google gửi tin nhắn cảnh báo người dùng về một ứng dụng độc hại và người dùng không xóa ứng dụng đó, vì họ chọn không hoặc tin nhắn đã vô tình bị loại bỏ?

Ludwig: Có nhiều kiểm tra bảo mật dự phòng được thiết kế để đảm bảo rằng một ứng dụng được biết là có khả năng gây hại sẽ không được cài đặt một cách tình cờ. Tại mỗi lần kiểm tra này, phần lớn người dùng nhận được cảnh báo về một ứng dụng có hại có thể chọn không tiếp tục.

Dưới đây là tất cả các bước chính:

Google đã tích hợp hệ thống cảnh báo của mình cho các ứng dụng có khả năng gây hại đã biết vào phần phụ trợ của nhiều ứng dụng của chúng tôi. Vì vậy, ví dụ, trình duyệt Chrome có Duyệt web an toàn có thể cảnh báo người dùng trước khi họ thậm chí tải xuống một ứng dụng từ một trang web có vẻ như họ đang ở trên một trang web lưu trữ các ứng dụng có hại.

Nếu họ chọn tải xuống và cài đặt bằng mọi cách, họ sẽ nhận được cảnh báo khi cài đặt (cũng như các thông tin khác như quyền của ứng dụng có thể giúp họ quyết định xem họ có muốn cài đặt không).

Nếu họ vẫn quyết định tiếp tục, ứng dụng đã được cài đặt, nhưng nó vẫn không thể làm gì cho đến khi người dùng thực sự quyết định chạy ứng dụng. Vì vậy, họ có thêm một cơ hội để chọn gỡ bỏ ứng dụng trước khi nó có thể gây ra bất kỳ tác hại nào.

Cho dù họ có chọn chạy ứng dụng hay không, nếu nó được cài đặt trên thiết bị của họ, thì tính năng quét nền Xác minh ứng dụng sẽ gắn cờ ứng dụng và đưa ra một cảnh báo khác khuyến nghị họ xóa ứng dụng. Cảnh báo này thường sẽ xảy ra khoảng một lần một tuần - mặc dù người dùng có tùy chọn để nói "đừng nhắc tôi nữa."

Ứng dụng chống vi-rút

H: Các ứng dụng bảo mật của bên thứ ba có giữ cho tôi an toàn hơn trước các ứng dụng Play Store có hại không?

Ludwig: Các biện pháp bảo vệ được tích hợp trong Google Play rất mạnh mẽ. Đối với người dùng cài đặt ứng dụng bên ngoài Google Play, chúng tôi thực sự khuyên họ nên bật Ứng dụng Xác minh, được cung cấp trên các thiết bị Android chạy Android 2.3 trở lên (hơn 99% thiết bị Android) đã cài đặt Google Play.

Vào năm 2014, theo dữ liệu Xác minh Ứng dụng do Google thu thập và bỏ qua các ứng dụng root được người dùng cài đặt có chủ ý, ít hơn 0, 15% Ứng dụng được cài đặt từ bên ngoài Google Play sang các thiết bị tiếng Anh của Hoa Kỳ được phân loại là Ứng dụng có hại. Với sự bảo vệ tích hợp được cung cấp bởi Xác minh Ứng dụng và tần suất xuất hiện cài đặt PHA thấp, lợi ích bảo mật tiềm năng của một giải pháp bảo mật bổ sung là rất nhỏ.

ROM tùy chỉnh

H: Có bất kỳ tính năng Bảo mật nào của Google áp dụng cho người dùng đã cài đặt phiên bản Android của bên thứ ba (đọc: ROM do cộng đồng tạo ra) không?

Ludwig: Có, ROM của bên thứ ba thường được xây dựng trên AOSP, vì vậy chúng hỗ trợ hộp cát Android và nhiều người trong số họ sử dụng các ứng dụng của Google, bao gồm cả các dịch vụ bảo mật của chúng tôi.

Và bạn có nó rồi đấy! Google thực hiện một số lượng công việc đáng kinh ngạc để giữ an toàn cho Android và một phần lớn trong số đó đang được chuẩn bị cho bất kỳ điều gì xảy ra tiếp theo. Nhưng nó luôn luôn là một trò chơi mèo vờn chuột. Như mọi khi, việc giữ an toàn cho thiết bị của bạn là nhận thức được nơi bạn đang khai thác, những gì bạn đang cài đặt và được thông báo càng tốt.

Hãy chắc chắn kiểm tra phần còn lại của loạt bảo mật của chúng tôi nếu bạn muốn tìm hiểu thêm.