Sicurezza Android: domande e risposte con l'Adrian Ludwig di Google

Di recente abbiamo parlato molto della sicurezza sul tuo dispositivo Android e, man mano che la conversazione è proseguita, è chiaro che ci sono domande a cui una persona deve rispondere a una maggiore autorità. Cose come se hai bisogno di software antivirus per il tuo telefono, identificare malware ed essere sicuro che i tuoi dispositivi siano generalmente sicuri attraverso l'uso quotidiano sono argomenti che sono diventati inutilmente fangosi. Mentre possiamo dare un po 'di colpa a questo sull'apparentemente infinita serie di articoli che ci dicono di tutto il software là fuori creato per sfruttare gli utenti Android, ci sono anche alcune domande legittime sulla sicurezza di Android che non hanno un chiaro, semplice risposte.

Per aiutare a risolvere questo problema, siamo andati direttamente alla fonte. Adrian Ludwig, ingegnere capo per la sicurezza Android su Google, ha impiegato del tempo via e-mail per fornire le risposte che stavamo cercando.

: Sicurezza Android: domande e risposte con Adrian Ludwig di Google

Ruolo di Google

D: Cosa sta esattamente cercando di proteggere Google dai suoi utenti Android?

Ludwig: abbiamo progettato Android utilizzando più livelli di sicurezza: a partire dalle funzionalità hardware del dispositivo (Trustzone, NX), attraverso il sistema operativo (Application Sandbox, SELinux, ASLR) e fino alle applicazioni e ai servizi forniti da Google (Google Play, Device Manager, Verifica app, ecc.). Incoraggiamo anche l'innovazione della sicurezza consentendo a terzi di fornire soluzioni di sicurezza.

Le minacce alla sicurezza più urgenti per i dispositivi mobili in questi giorni includono: 1. Dispositivi smarriti e rubati (per i quali forniamo protezioni come lockscreen, crittografia dei dispositivi e Gestione dispositivi Android) 2. Attacchi a livello di rete (per i quali Android fornisce servizi crittografici ed esposizioni una superficie di attacco minima senza servizi di ascolto predefiniti) 3. Applicazioni potenzialmente dannose (per le quali sono progettate la sandbox delle applicazioni Android, la recensione delle applicazioni Google Play e le app di verifica)

Quando sentiamo parlare di una nuova potenziale minaccia, iniziamo a incorporarla nei nostri piani e progetti futuri.

Politica di supporto

D: Per quanto tempo Google offre supporto per cose come le vulnerabilità di sicurezza rilevate nel sistema operativo?

Ludwig: Il nostro approccio a una politica di supporto per la sicurezza di Android è di fornire aggiornamenti ovunque crediamo che saranno effettivamente consegnati agli utenti e miglioreranno la sicurezza. In pratica ciò significa che offriamo diversi tipi di supporto per potenziali problemi di sicurezza:

1. Se un problema può essere risolto aggiornando Chrome, Gmail, Google Play o un numero qualsiasi di applicazioni Google, risolveremo il problema in un modo che risale a tutte le versioni di Android su cui è disponibile ciascuna applicazione.
2. I dispositivi Google Nexus e Google Play Edition ricevono regolarmente aggiornamenti di sicurezza in modo tempestivo.
3. Forniamo patch per l'attuale branca di Android nel progetto Open Source Android (AOSP) e forniamo direttamente ai partner Android patch per almeno le ultime due versioni principali del sistema operativo. Attualmente, stiamo fornendo backport per problemi di sicurezza che riguardano Android 4.3 e versioni successive. WebKit su Android 4.3 è l'unica eccezione. È supportato su Android 4.4 e versioni successive come aggiornamento binario. Tuttavia, quando un OEM richiede assistenza nello sviluppo di una patch per un dispositivo che esegue una versione precedente della piattaforma e si impegnano a fornire quella patch come OTA ai dispositivi, forniremo loro assistenza.
4. Laddove possibile, aggiorniamo anche i servizi di sicurezza di Google per Android per fornire un ulteriore livello di protezione per tutti i dispositivi Android, indipendentemente dal fatto che siano ancora supportati dagli OEM. Ciò include il controllo di applicazioni potenzialmente dannose e altri comportamenti di sicurezza.
5. Forniamo inoltre agli sviluppatori di applicazioni informazioni e strumenti per garantire che le loro applicazioni siano protette da potenziali problemi di sicurezza. Ciò include la fornitura di API all'interno di Google Play Services come il Provider di sicurezza aggiornabile che può essere aggiornato da Google senza un OTA del dispositivo. Forniamo inoltre best practice che possono aiutare gli sviluppatori a garantire che le loro applicazioni funzionino in modo sicuro su tutti i dispositivi Android, indipendentemente dal fatto che siano ancora supportate dagli OEM. Di recente, abbiamo iniziato a scansionare le applicazioni in Google Play per potenziali vulnerabilità di sicurezza e avvisare gli sviluppatori quando vengono rilevate tali vulnerabilità.
6. Infine, ma non meno importante, condividiamo informazioni sui problemi di sicurezza (comprese le informazioni che abbiamo sulle correzioni e qualsiasi sfruttamento noto) con i partner Android per assicurarci che comprendano il problema, inclusi i rischi associati ai dispositivi che non ricevono un aggiornamento per il problema. Ciò include l'aggiunta di test per potenziali problemi di sicurezza nella Suite di test di compatibilità per ridurre la possibilità che un OEM invii inavvertitamente un dispositivo con un problema di sicurezza noto.

Controllo utente

D: Nel caso in cui un'app sia stata considerata dannosa ma non necessariamente pericolosa, ad esempio un'app che inserisce nella barra delle notifiche annunci indesiderati, quali strumenti sono disponibili per aiutare gli utenti?

Ludwig: Android fornisce agli utenti controlli che consentono loro di controllare l'esperienza sul proprio dispositivo. Ciò include funzionalità come la visualizzazione delle autorizzazioni delle applicazioni, la configurazione di impostazioni come la capacità di un'applicazione di visualizzare notifiche o la possibilità di disabilitare o rimuovere applicazioni in qualsiasi momento.

Se una notifica non è desiderata, l'utente può premere a lungo sulla notifica per vedere quale app l'ha prodotta e quindi modificare le impostazioni di notifica dell'applicazione o disinstallare l'applicazione.

Controlli di sicurezza

D: Cosa succede quando Google invia un messaggio di avviso agli utenti di un'app dannosa e l'utente non rimuove l'app, sia perché hanno scelto di non farlo o il messaggio è stato eliminato per errore?

Ludwig: Esistono più controlli di sicurezza ridondanti progettati per assicurarsi che un'app che è potenzialmente dannosa non venga installata accidentalmente. A ciascuno di questi controlli, la maggior parte degli utenti che riceve un avviso su un'app potenzialmente dannosa sceglie di non procedere.

Ecco tutti i passaggi principali:

Google ha integrato il suo sistema di avviso per app potenzialmente dannose conosciute nel backend di molte delle nostre app. Quindi, ad esempio, il browser Chrome con Navigazione sicura potrebbe avvisare l'utente prima ancora che scarichino un'app da un sito Web che sembra si trovino su un sito Web che ospita app potenzialmente dannose.

Se scelgono di scaricare e installare comunque, riceveranno un avviso al momento dell'installazione (così come altre informazioni come le autorizzazioni dell'applicazione che possono aiutarli a decidere se vogliono installare).

Se decidono ancora di procedere, l'applicazione viene installata, ma non può ancora fare nulla fino a quando l'utente non decide effettivamente di eseguire l'app. Quindi hanno ancora una possibilità di scegliere di rimuovere l'applicazione prima che possa causare danni.

Indipendentemente dal fatto che scelgano di eseguire l'app o meno, se è installata sul proprio dispositivo, la scansione in background di Verifica app contrassegnerà l'app e fornirà un altro avviso che consiglia di rimuovere l'app. Questo avviso generalmente si verifica circa una volta alla settimana, sebbene l'utente abbia la possibilità di dire "non ricordarmelo più".

App antivirus

D: Le app di sicurezza di terze parti mi tengono ancora più al sicuro dalle app Play Store potenzialmente dannose?

Ludwig: Le protezioni integrate in Google Play sono molto robuste. Per gli utenti che installano app al di fuori di Google Play, consigliamo vivamente di abilitare Verifica app, che viene fornito su dispositivi Android con Android 2.3 o versioni successive (ovvero oltre il 99% dei dispositivi Android) su cui è installato Google Play.

Nel 2014, secondo i dati di Verifica app raccolti da Google e ignorando le app di rooting installate intenzionalmente dagli utenti, meno dello 0, 15 percento delle applicazioni installate al di fuori di Google Play su dispositivi inglesi statunitensi sono state classificate come applicazioni potenzialmente dannose. Data la protezione integrata fornita da Verify Apps e la bassa frequenza con cui si verificano l'installazione di PHA, il potenziale vantaggio di sicurezza di una soluzione di sicurezza aggiuntiva è molto piccolo.

ROM personalizzate

D: Le funzionalità di sicurezza di Google si applicano agli utenti che hanno installato versioni di Android di terze parti (leggi: ROM create dalla comunità)?

Ludwig: Sì, le ROM di terze parti sono generalmente costruite su AOSP, quindi supportano il sandbox Android e molti di loro usano le applicazioni di Google, inclusi i nostri servizi di sicurezza.

E il gioco è fatto. Google svolge un'incredibile quantità di lavoro per proteggere Android, e gran parte di questo è in preparazione per tutto ciò che succederà dopo. Ma sarà sempre un po 'un gioco da gatto e topo. Come sempre, mantenere il tuo dispositivo al sicuro significa sapere dove stai toccando, cosa stai installando ed essere il più informato possibile.

Assicurati di controllare il resto delle nostre serie di sicurezza se desideri saperne di più.