Розумніть! всім потрібно задуматися про безпеку Android

Коли я пишу про безпеку Android, я, як правило, знову і знову бачу багато таких же проблем (SSL, хлопці! Давай!). Ми попросили генерального директора Widdit Ноама Файна та керівника відділу мобільних розробок Ніра Орпаза пояснити, чому розробники Android роблять вибір безпеки, який вони роблять, і що потрібно зробити краще після вирішення власної кризи безпеки.

Нестача знань

Від розмови з розробниками Widdit, мабуть, існує розрив між програвачами в екосистемі Android. "Користувачі недостатньо освічені, щоб подивитися на те, що вони додають у свій телефон", - сказав Файн. "Я не впевнений, що всі насправді так дбають".

З іншого боку, розробники не завжди знають, які ризики можуть становити їх програми. "Розробники не повністю розуміють, що те, що вони передають, - це особиста інформація", - сказав Орфаз. Фін погодився, сказавши, що немає жорстких і швидких правил щодо того, яка інформація насправді є "особистою".

Іншою проблемою є сторонні рекламодавці, які платять розробникам за включення наборів для розробки програмного забезпечення (SDK) у свої додатки для збору інформації про користувачів. Рекламодавці можуть збирати дані з декількох додатків у приголомшливо деталізовані досьє. Наприклад, одна програма може запитати вашого віку, а інша - для вашого імені, але той самий рекламодавець може мати угоди з обома.

Варто зазначити, що Widdit - це щось на зразок між розробкою додатків та рекламою. Вони розробляють платформу SDK, яку можна вставити в додатки, щоб розробники додатків могли заробити трохи грошей на своїх творах.

На відміну від недостатньої освіти користувачів, розробник повністю покладається на безпеку. "Якщо ви дбаєте про свою репутацію, ви вкладаєте багато зусиль у її підтримку. Це означає, що ваша ділова практика так само, як і ваша безпека", - сказав Файн. Він закликав розробників добре подумати перед тим, як підписатися з рекламодавцями та встановити SDK у свої додатки. Він також закликав розробників вивчити дозволи, необхідні SDK, перш ніж включити їх у свою програму. "Якщо ви як розробник не запитували ці дозволи, чи готові ви надати SDK ці дозволи?"

Безпечно розвивається

І Файн, і Орфаз сказали, що говорити про безпеку - це одне, але реалізувати це в додатках - зовсім інше. Підтримка зашифрованого SSL-з'єднання для передачі інформації є хорошою практикою, але ця проблема може стати проблемою для невеликих розробників. "Ви повинні отримати SSL-сервер, а іноді це непросте дістати", - пояснив Орпаз. Ми бачили чимало компаній, яких критикують за ухилення або неправильне поводження з SSL.

Деякі вразливості виникають навіть із самих основних функцій. Наприклад, Fine вказав на дозвіл Android, який дозволяє додаткам підключатися до Інтернету. "Це те, що робить кожен розробник, - сказав Fine. - Після того, як ви підключитесь до мережі, це негайно вразливість".

Він закликав розробників використовувати здоровий глузд і відображати можливі ризики функцій, які вони містять у своїх додатках, а також збирати інформацію про користувачів. "Якщо ви робите це, вам потрібно зупинитися і подумати, " що я роблю, щоб мінімізувати ризики? ", - сказав Файн. "Я не впевнений, що це роблять більшість розробників".

Досвід з перших рук

У Widdit були свої проблеми з безпекою, про які ми повідомляли в недавньому пості Mobile Threat Monday. Їх система використовує код SDK в додатку, який щодня дзвонить на віддалений сервер, щоб завантажити оновлення на телефон Android. Дослідники з безпеки визнали це небезпечним, оскільки обмін даними здійснювався без з'єднання SSL, що потенційно дозволило зловмиснику перехопити файл і замінити його на шкідливий.

Файн і Орфаз підкреслили, що про проблему вони знали ще до того, як її оголосили дослідники, і вже планували її вирішити в майбутньому. "Ця вразливість сприймалася як дуже низька ймовірність того, що станеться. Після того, як ми зрозуміли це краще, ми подбали про те, щоб негайно і випустили нову версію". Файн описав успішне здійснення атаки, використовуючи Widdit як "шанс на мільярд".

Але він визнав, що потрібно змінити. "Це було недостатньо добре, щоб сказати, що це дійсно низька ймовірність", - сказав Файн.

Це правда, що зловмиснику доведеться докласти великих зусиль, щоб використовувати Widdit для нападу на чийсь телефон. Це, звичайно, не було б такою річчю, яку намагався б середній аферист Android. Але зловмисники можуть зібрати величезні ресурси, якщо виграш гідний, а мобільний пейзаж загрози постійно змінюється. Що може бути шансом мільярд на один сьогодні, може бути завтра впевненим.

Всі, нагору свою гру

Користувачі Android можуть бути більше стурбовані безпекою через розкриття Snowden про збір даних NSA, але вони також повинні дивитись на власні програми. Ми вже бачили, як шпигунські агенції використовують свої ігри, такі як Angry Birds, щоб збирати інформацію. Файн сказав, що користувачі керують екосистемою Android, і якщо вони вимагають кращої безпеки, розробникам доведеться дотримуватися.

"Кожен несе відповідальність як користувач Android за встановлення стандартів та навчання себе та своїх дітей", - сказав Файн. "Наші діти, підростаючи, не знають часу, коли все не ділиться". Файний продовжував, що розробникам "потрібно відчувати те саме почуття відповідальності".