Семь новых функций безопасности и одна неразрешённая проблема в Android

13.08.2013 | 17:24 Экономика

Google добавил новые важные функции безопасности в Android 4.3, а также две другие новые функции безопасности в старые версии Android. Теперь, если OEM-производители и операторы залатают Bluebox-дыру в системе безопасности, каждый пользователь Android станет счастливее.

В последней версии Google Android Jelly Bean 4.3 есть много хороших функций. Кроме поверхностных улучшений, Google реализовала пять значительных функций безопасности. Кроме того, Google добавила две другие новые функции, которые работают практически со всеми используемыми в настоящее время версиями Android.

Android sandbox усилен SELinux:

Android 4.3 теперь включает SELinux, систему принудительного контроля доступа (MAC) в ядре Linux для усиления программы sandbox, основанной на Уникальных Идентификационных Номерах (идентификаторах пользователя — UID)). Это делает почти все приложения с Android sandbox гораздо более безопасными.

Некоторые пользователи опасаются SELinux, поскольку Агенство национальной безопаности (NSA) приложило руку к его созданию. Хотя это напрасные опасения, так как SELinux, как и все Linux, является системой с открытым исходным кодом. В конце концов, код на виду для тех, кто ищет дыры в безопасности.

KeyChain-улучшения:

Если вас по-прежнему беспокоит слежка NSA за вашими сообщениями, вы будете рады видеть новые Google KeyChain API, предоставляющие метод, который позволяет приложениям подтверждать, что общесистемные ключи привязаны к железу (hardware root of trust). Это означает, что операторы и OEM-разработчики могут добавлять закрытые ключи, которые не могут быть скопированы с устройства, даже если оно взломано.

Это не остановит NSA или большинство крупных интернет-компаний от использования больших данных, метаданных и анализа трафика, чтобы приглядывать за вами, но это поможет сохранить содержимое ваших сообщений и приложений в безопасности.

Провайдер-хранилища ключей Android:

В то же время Android 4.3 также вводит провайдер-хранилища ключей и API-интерфейсы, которые позволяют приложениям генерировать ключи для эксклюзивного использования. Это означает, что приложение может создавать и хранить закрытые ключи, которые никакое другое приложение не может видеть или использовать.

Ограничения Setuid от Android приложений:

Системный раздел вашего устройства в настоящее время монтируется как «nosuid» для зигото-порожденных процессов. Это помогает Android приложениям предотвратить выполнение setuid программ. В свою очередь, это снижает область root атак и вероятность потенциальных уязвимостей безопасности. Простыми словами, это означает, что вредоносным программам будет намного сложнее получить права суперпользователя / root-права.

Хотя это звучит хорошо, но, к сожалению, уже устарело. Chainfire, создатель SuperSU, программы, получающей root под Android, нашел способ получить root в Android 4.3 «используя «su daemon», который стартует при инициализации (главной программы загрузки Android), а не из зиготного процесса».

Поддержка Wi-Fi в сетях WPA2-Enterprise:

Новые интерфейсы прикладного программирования (API) теперь можно использовать для настройки Wi-Fi полномочий, необходимых для соединения с точками доступа, имеющими расширенный протокол аутентификации WPA2 Enterprise с расширяемым протоколом аутентификации (EAP) и инкапсулированным EAP (Фаза 2). При этом, разработчики смогут создавать приложения, которые могут присоединяться к бизнес-точкам доступа, которые используют методы аутентификации EAP и Фазу 2.

Помимо Android 4.3:

Google также добавила усовершенствованные функций безопасности для более старых версий Android.

Во-первых, Verify Apps — функция безопасности, введённая в Android 4.2, больше не является частью операционной системы. Вместо этого, она была включена в сервисы Google Play, которые работают на Android 2.3 и выше. Этот сервис – процесс на клиентской системе, который сканирует приложения на наличие вредноносного кода, когда вы устанавливаете их. Это работает, даже если вы загружаете новое приложение (Android файл APK) со сторонних магазинов приложений Android App Store, а не из магазина Google Play.

Во-вторых, и мы ждали это долгое время, Google наконец-то добавил в Android поиск потерянного телефона. Как и Verify Apps, вам не нужен новый смартфон, чтобы использовать эту функцию. Эта услуга также будет доступна для всех, использующих устройства с Android 2.2 и выше. С её помощью, вы можете заставить звонить «слегка потерянный» телефон на максимальной громкости, сигналить вам с карты, а в худшей ситуации, если он был украден, вы можете удалить все ваши данные дистанционно.

Так обстоит дело с хорошими новостями. Плохая новость в том, что OEM-производители по-прежнему не торопятся выпустить обновление для системы безопасности Google Bluebox Security. В добавление к этому, начали появляться первые вредноносные инфицированные приложения с использованием этой дыры в безопасности.

Даже с учётом этого, безопасность Android этим летом была усилена. Теперь, если Google начнёт заставлять вендоров и операторов выпускать обновления безопасности, мы будем чувствовать себя гораздо счастливее и безопаснее.