Google opublikował trzeci doroczny raport nt. bezpieczeństwa Androida, czyli szczegółowe informacje na temat pracy nad ochroną ponad 1,4 miliarda użytkowników Androida i ich danych.

– Nasz cel jest prosty: zapewnić bezpieczeństwo naszym użytkownikom. W 2016 r. poprawiliśmy nasze zdolności zatrzymywania niebezpiecznych aplikacji, wprowadziliśmy nowe zabezpieczenia do Androida 7.0 Nougat, a także współpracowaliśmy z producentami sprzętu, badaczami i innymi członkami ekosystemu Androida. Aby uzyskać więcej informacji zachęcamy także do zapoznania się z pełnym raportem oraz obejrzenia naszego webinara – mówią Adrian Ludwig & Mel Miller, z Android Security Team

Ochrona użytkowników przed potencjalnie szkodliwymi aplikacjami (PHA)

– Od dawna pracujemy nad tym, by chronić użytkowników od potencjalnie szkodliwych aplikacji (Potentially Harmful App – PHA), które mogą narazić na ryzyko ich urządzenia lub dane. Te nieustanne działania wymagają od nas znalezienia sposobu namierzenia i zatrzymanie już działających PHA, a także na przygotowanie się na nowe zagrożenia, które jeszcze się nie pojawiły. – dodaje Google.

– W ciągu ostatnich lat zbudowaliśmy szereg systemów, by radzić sobie z tymi zagrożeniami. To np. analizatory aplikacji, które nieustannie przeglądają aplikacje pod kątem niebezpiecznego zachowania oraz usługa Verify Apps, która regularnie sprawdza urządzenie użytkownika pod kątem PHA. Kiedy dany system wykryje szkodliwe oprogramowanie, ostrzegamy użytkownika aby nie pobierał danej aplikacji, a nawet usuwamy aplikację z jego urządzenia.- podkreślają Autorzy raportu.

Systemy Google stale monitorują zagrożenia i stąd ulepszenia . Dane za poprzedni rok odzwierciedlają te zmiany: usługa Verify Apps dokonywała w ubiegłym roku 750 mln sprawdzeń dziennie, w stosunku do 450 mln dziennie w roku poprzednim. Pozwoliło to nam na ograniczenie instalacji PHA w 50 krajach z największą używalnością Androida.

Play jest najbezpieczniejszym miejscem do pobierania aplikacji dla użytkowników Androida.

Liczba instalacji potencjalnie szkodliwego oprogramowania zmniejszyła się w prawie każdej kategorii:

  • Liczba instalacji trojanów wynosiła 0,016%, to spadek o 51,5% w stosunku do 2015 r.
  • Liczba instalacji fałszywych programów pobierających wyniosła 0,003%, to spadek o 54,6% w stosuku do 2015 r.
  • Liczba instalacji backdoorów wyniosła 0,003%, czyli o 30,5% mniej niż w 2015 r.
  • Licbza instalacji oprogramowania phishingowego wyniosła 0,0018%, o 73,4% mniej niż w 2015 r.

Pod koniec 2016 r. zaledwie 0,05% urządzeń pobierających aplikacje wyłącznie z Play zawierało potencjalnie szkodliwe oprogramowanie.

– Nie zmienia to faktu, że musimy włożyć znacznie więcej pracy w poprawę zabezpieczeń urządzeń instalujących aplikacje z wielu źródeł. Chociaż pod koniec 2016 r. zaledwie 0,71% z nich zawierało zainstalowane PHA, to jednak był to nieznaczny wzrost w stosunku do 0,5% na początku 2015 r. Jednak używając metod i narzędzi stworzonych w 2016 r., mamy nadzieję zredukować liczbę urządzeń, których może dotknąć potencjalnie szkodliwe oprogramowanie w 2017 r., niezależnie od miejsca, z którego pobierane są aplikacje. – dodaje Google.

Nougat: Nowa wersja Androida, nowe mechanizmy ochrony

W ubiegłym roku wprowadzno szereg nowych zabezpieczeń w Nougacie oraz kontynuowaliśmy prace nad umocnieniem zabezpieczeń jądra Linuxa.

  • Usprawnienia szyfrowania: W Nougacie wprowadzono szyfrowanie na bazie plików, które pozwala by każdy profil użytkownika był chroniony za pomocą unikalnego klucza. Jeśli np. użytkownik ma na jednym urządzeniu konta firmowe i prywatne, to klucz z jednego konta, nie będzie w stanie odblokować drugiego. Patrząc szerzej, pełne szyfrowanie było wymagane w obsługujących je urządzeniach z Androidem od końca 2014 roku, teraz tę funkcję włączoną ma 80% urządzeń z Nougatem.
  • Nowa ochrona dla audio i wideo: Włożono dużo pracy w poprawę bezpieczeństwa i przebudowanie architektury Androida dotyczącej obsługi wideo i audio. Jeden przykład: różne komponenty audiowizualne są teraz przechowywane w oddzielnych sandboxach, a w poprzednich wersjach były przechowywane razem. Teraz jeśli jeden komponent zostanie zaatakowany, to nie ma on automatycznie dostępu do pozostałych, co pomaga zapobiec wielu dodatkowym problemom.
  • Zawsze włączony VPN: Dla użytkowników korporacyjnych, wprowadzono szereg nowych funkcji, w tym zawsze włączony VPN, który chroni dane od momentu włączenia urządzenia, zapewniając, że informacje przesyłane pomiędzy urządzeniami prywatnym i firmowym są bezpieczne. Do naszego zestawu narzędzi korporacyjnych dodaliśmy też m.in. logowanie procesów, lepszą obsługę certyfikacji wi-fi czy poprawę certyfikacji klientów.

Wspólna praca nad bezpieczeństwem Androida

Dzielenie się informacjami na temat bezpieczeństwa Androida pomiędzy Google, producentami urządzeń i społecznością zajmującą się bezpieczeństwem pomaga zapewnić ochronę wszystkim użytkownikom Androida. W 2016 największym przedsięwzięciem Google był program comiesięcznych aktualizacji bezpieczeństwa i dalsza współpraca ze społecznością badaczy bezpieczeństwa.

Aktualizacje są często (i słusznie) nazywane fundamentami bezpieczeństwa. Uruchomiliśmy nasz program comiesięcznych aktualizacji bezpieczeństwa w 2015 r., w ramach odpowiedzi na wykrycie luki Stagefright i by przyspieszyć łatanie problemów zabezpieczeń urządzeń pochodzących od wielu producentów. Ten program w 2016 r. znacznie się rozwinął:

  • Ponad 735 mln urządzeń od ponad 200 producentów otrzymało aktualizacje zabezpieczeń w 2016 r.
  • Comiesięczne aktualizacje zabezpieczeń publikujemy dla urządzeń z Androidem 4.4.4. i wyższym, te urządzenia stanowią 86,3% wszystkich urządzeń z Androidem na świecie.
  • Partnerzy sprzętowi i sieci komórkowe pomogli rozszerzyć wprowadzanie tych uaktualnień, udostępniając je dla ponad połowy z 50 najpopularniejszych urządzeń w ostatnim kwartale 2016 r.

Udostępniono też aktualizacje bezpieczeństwa dla wspieranych urządzeń Pixel i Nexus w całym 2016 roku. Bardzo się cieszymy, że również nasi partnerzy tak szeroko wprowadzają aktualizajce. Jednak nadal jest dużo do zrobienia w tym zakresie — około połowa urządzeń używanych pod koniec 2016 r. nie otrzymała uaktualnień bezpieczeństwa w ciągu całego mijającego roku. Pracujemy nad tym by poprawić system wdrażania aktualizacji przez producentów sprzętu i poprzez udostępnianie aktualizacji A/B, by użytkownicy mogli w łatwiejszy sposób instalować te aktualizacje.

Dynamicznie rozwija się też program nagradzania za odkrywanie luk związanych z bezpieczeństwem: w 2016 r. wypłacono badaczom prawie 1 mln dolarów. Pracowano też blisko z firmami zajmującymi się bezpieczeństwem nad identyfikacją i szybką naprawą problemów, które mogły być ryzykowne dla użytkowników.

–
Doceniamy ciężką pracę wszystkich partnerów Androida, zewnętrznych badaczy i zespołów w Google, które przyczyniły się do poprawy bezpieczeństwa ekosystemu w 2016 r. Jednak nie zatrzymujemy się w tym miejscu. Ochrona bezpieczeństwa użytkowników Androida wymaga ciągłej czujności i działania: czekamy na nowe odkrycia i postępy jakie przyniesie rok 2017 – podkreśla Google.

Autorzy:
Adrian Ludwig & Mel Miller, Android Security Team

Kan