Відео: Red Samara Automobile Club - Настоящие Чувства (Вересень 2024)
На конференції RSA провідний інженер Google з питань безпеки Android Адріан Людвіг представив філософію компанії щодо забезпечення своєї мобільної платформи. Це типовий підхід від Google, який спирається на збір даних та створення служб. Але в той же час, здається, він летить перед звичайною мобільною безпекою.
Невидима безпека
Кілька разів під час розмови Людвіг повертався до ідеї тонкої безпеки. "Ефективна та невидима безпека викликає спокій", - сказав він. Його метою було дозволити користувачеві взаємодіяти зі своїм телефоном, планшетом або будь-яким іншим, на якому працює Android, без проблем із безпекою. "Якщо не трубити безпеку, це не означає, що її немає", - сказав Людвіг. "Це означає, що це працює".
Цей підхід помітно відрізняється від підрозділу в галузі безпеки в цілому, сказав він, який значною мірою покладається на "театр безпеки". Для нього це означає додатки, які голосно заявляють, наскільки вони вас захищають. "Більшість безпеки в кінцевому рахунку полягає в тому, щоб продати вам більше безпеки", - сказав Людвіг у дивно відвертій заяві на конференції, яка стосується охоронних компаній.
Дозвіл був помітним винятком. "Це одне місце, яке ми явно стосуємось безпеки для користувача", - сказав він. Вони визначають, що програма може, а що не може отримати доступ, і ми спонукали читачів уважно дивитися на них, щоб приймати хороші рішення щодо того, що вони завантажують. Людвіг сказав, що насправді це не було наміром. "Ми думали, що люди збираються приймати розумні рішення кожного разу? Пам'ятайте, ми бачимо, що люди шукають щодня", - криво додав він. Він продовжував говорити, що дозволів існує не стільки для користувачів, скільки для того, щоб допомогти розробникам приймати хороші рішення "більшість часу".
Це вписується в ще одне з дивовижних тверджень Людвіга: він не бачить Android як операційну систему, а швидше платформу розвитку. "[Android] - це набір API, призначений для створення потужних додатків", - сказав він. "Ми надаємо послуги у вигляді додатків."
Що надає Google
Хоча Людвіг витрачав деякий час на обговорення того, як основи Android захищали платформу - включаючи подяку NSA за SC Linux - він також торкнувся більш помітних служб Google. Наприклад, він стверджував, що зусилля Google щодо виявлення зловмисного програмного забезпечення в Google Play перевершують зусилля всієї галузі AV. Хоча він визнав, що це не було непогрішним.
Окрім іншого очевидного інструменту, як диспетчер пристроїв Android, Людвіг вказав на сервіс Google Verified Apps, який забезпечує певний захист для користувачів, які встановлюють додатки поза магазином Play. "Ви, мабуть, маєте його на своєму телефоні і цього не знаєте, тому що так ми котимося", - сказав Людвіг.
Існує також Android Security Net, за якою Людвіг розширив захист у реальному часі на самі пристрої. Це шукає можливих зловживань, таких як часто прохання надсилати преміальні SMS-повідомлення - поширена тактика, яка використовується для монетизації шкідливих програм.
"Я повинен був здогадатися, що це найбільше розгортання служб безпеки в світі", - сказав Людвіг.
Різноманітність та відкритість - це добре
Android відомий як відкрита платформа, і Людвіг сказав, що такий підхід надав безцінні дані про хороших акторів, поганих акторів та нормальній поведінці на мобільних пристроях. "Коли світ стає більш інтерактивним і дедалі більше даних надходить назад і назад, безпека насправді покращується". Людвіг вважає, що це сильно відрізняється від усталених стратегій безпеки, які, за його словами, залежать від ізоляції.
Відкритість означала роздроблений Android, але Людвіг, здавалося, припускає, що це різноманіття є хорошою справою. Величезна різноманітність апаратних та програмних засобів Android означає, що вплинути на всі пристрої набагато складніше. "Єдиний майстер золота з помилкою вражає сотні мільйонів користувачів", - сказав він. "Немає єдиного майстра золота [для Android], кожен пристрій побудований з джерела, який відрізняється."
Відкритість також надала охоронним компаніям місце на Android. "Ми не завадили їм запуститись на нашій платформі", - сказав він, без сумніву, роблячи удар в Apple. Натомість Людвіг сказав, що Google вітає охоронні компанії, а Android отримує користь від їх роботи.
Відкритість також сприяє академічним дослідженням у зростаючій галузі мобільної безпеки. "Мобільна безпека - це евфемізм для безпеки Android", - сказав Людвіг. "Усі статті стосуються безпеки Android, оскільки це єдине місце, де [дослідники] мають доступ у мобільному телефоні".
Чи працює?
Щоб продемонструвати ефективність підходу Google до безпеки, Людвіг пробіг шкалу експлуатування Masterkey, про яку уважні читачі SecurityWatch пригадають минулого літа. Він заявив, що Google зміг швидко визначити, що в магазині Play не було таких подвигів, коли їм повідомили, що вони існують. Більше того, після того, як дослідники Bluebox, які виявили цей подвиг, публічно оприлюднили свої дані, Google, очевидно, відслідковував лише вісім спроб на мільйон встановлень.
У Людвіга схожий погляд на зловмисне програмне забезпечення Android в цілому, що, як повідомляється, постійно зростає. Він більше пов'язував це з швидким розповсюдженням пристроїв Android, а представлені ним дані показали порівняно невеликий примірник шкідливих програм у величезному Всесвіті Андроїдів. "Ви отримуєте неймовірні заголовки, в основному ніхто не постраждав".
Потрібно сказати, що поки Google займався надзвичайною роботою з управління безпекою Android, особливо враховуючи, як смартфони вирвалися на сцену і стали домінувати в сучасних обчисленнях. Однак, все ще слід вирішити серйозні проблеми, як, наприклад, протікаючі програми та захист особистих даних.
З точки зору Google, Android збалансовано забезпечив безпеку. Залишаючи цей баланс, мабуть, буде оцінено Android по мірі його дозрівання.
