Vlákno názorů k článku
Botnet vytvořený z mobilních telefonů šíří malware pro OS Android
od Alex Bí. - Celá zprávička je nesmyl. Android obsahuje linuxový kernel,...
-
Alex Bí. (neregistrovaný)
Celá zprávička je nesmyl. Android obsahuje linuxový kernel, což je jeden z nejbezpečnějších sw, protože je opensource a jeho kód může kontrolovat každý, takže je nemožné, aby obsahoval chybu. Navíc nemá uživatel administrátorská práva (tzv. root práva) a proto nemá škodlivý kód ani šanci provádět nějaké nekalé úkony.
-
Lael Ophir (neregistrovaný)
A napadlo vás, že když kód kernelu Linuxu sice teoreticky může kontrolovat každý, ale přesto se v něm nacházejí chyby už 22 let, tak to asi nebude až tak bezpečné? Koukněte na poslední tři měsíce.
http://web.nvd.nist.gov/view/vuln/search-results?query=linux&search_type=last3months&cves=onNěco málo o problémech Androidu
http://news.cnet.com/8301-1009_3-57600105-83/android-security-holes-worry-fbi-dhs/ -
Sten (neregistrovaný)
Kromě chyby v CIFS (což je MS technologie, takže skutečný linuxák to nepoužívá :-)) všechny ty útoky v jádře umožňují jenom DoS bez privilege escalation. Stěží reální hrozba. (Obzvlášť když si vzpomenu na LAND, který byl ve Windows NT nahlášen a neopraven dlouhých sedm let.)
Takže co tu máme za informace o útocích na Android:
79 % útoků na platformu mající 79 % trhu. Překvapuje to někoho? No, mě vlastně jo, stolní Windows mají také kolem 80 % trhu a přitom přes 95 % malwaru.
SMS zprávy: je potřeba aktivní účast napadeného
Rootkity: v čistém Androidu (nebo Cyanogenu) žádný rootkit nikdy nebyl. Na druhou stranu nikdo neví, jestli něco podobného není ve Windows, protože díky nevypnutelnému Secure Boot to nikdo nemá šanci zjistit.
Fake Google Play: trojský kůň, který si musíte aktivně stáhnout a nainstalovat
-
Lael Ophir (neregistrovaný)
Jde o problémy hlášené za poslední tři měsíce. Za delší dobu to vypadá pochopitelně jinak.
Smartphone není PC. Smartphony si kupují důchodci, zemědělci v rozvojovém světě, žáci základních škol, lidé kteří počítač nikdy neměli a neumí s ním zacházet. Situace na Androidu je taková, že výrobci bez licence od Googlu nedodávají telefony s přístupem na Google Play (protože nesmí), a místo toho je tam nějaký pochybný market plný malwaru. Jenže ani s licencovaným Androidem si uživatelé nepomohou, malwaru je spousta i tam. K tomu existuje i řada dalších způsobů, kterými si neznalý uživatel může jednoduše odrovnat telefon. A jako třešnička na dortu je tu fakt, že řada výrobců telefony vůbec neaktualizuje, takže jsou děravé jak řešeto.
U některých aspektů můžete vinit "blbé" uživatele. Jenže oni prostě nemají technické znalosti, a je nereálné očekávat, že cílovou skupinu uživatelů naučíte "odpovědnou administraci telefonu". Uživatelé chtějí telefon s přístupem na web, Facebook, mapy a navigaci, přístup do banky atd., ale nechtějí se kvůli tomu učit IT.
Apple to pochopil od začátku, MS to došlo po pár letech. A co Google? Zatím nic. -
Sten (neregistrovaný)Za licenci na Google Play se neplatí, takže Google Play (kromě Samsungu, který má ale Samsung Apps podobně kvalitní, jako je Google Play) nepoužívají akorát výrobci, kteří:
- si myslí, že vydělají na prodeji aplikací
- vydělávají na šíření malware
Telefonů bez licence na Google Play je docela málo a jsou převážně v Číně. Kde jsou běžné i třeba kradené Windows Phone. Samozřejmě často také prolezlé malwarem.
V Google Play není malware téměř žádný. Stejný typ malware, který se do Google Play občas dostane, se ale dostal i do App Storu a Windows Storu. Opět se ukazuje, že automatický i ruční review jsou tak stejně nespolehlivé.
Ve výchozím nastavení je instalace z neznámých zdrojů vypnutá. Když někdo neumí s telefonem pracovat a nemá technické znalosti, asi si to těžko zapne, takže jeho se malware taky moc netýká.
-
Lael Ophir (neregistrovaný)
Nevím jestli se platí, ale každopádně je třeba mít s Googlem uzavřenou smlouvu, a telefon musí vyhovovat certifikačním kritériím. Řada menších asijských výrobců prostě vyrobí plošňáky, vylisuje tělo telefonu, stáhne zdrojáky pravěké verze Androidu, nechá nějakého studentíka napsat cool nadstavbu GUI, a má hotovo. Pak je to bez přístupu na Google Play.
Téměř žádný malware v Google Play? Tomu snad věří jen Google, a to jen protože tomu věří by default :). Pro iOS je malwaru daleko méně, a pro Windows Phone byste ho buď nenašel, nebo ho hledal s lupou. Proces schvalování aplikací u Googlu je prostě nefunkční.
http://arstechnica.com/security/2013/04/family-of-badnews-malware-in-google-play-downloaded-up-to-9-million-times/
http://www.zdnet.com/android-malware-utilising-google-cloud-messaging-service-7000019427/ -
Sten (neregistrovaný)
Ten princip obcházení App Store a Windows Store je velmi jednoduchý a momentálně neodhalitelný. Rozšíření na Windows je spíš otázkou kdy, ne jestli. Mimochodem ten vámi odkazovaný malware udělal na Google Play v podstatě to samé.
-
Lael Ophir (neregistrovaný)
Samotná statická analýza nepomůže, na některé věci je prostě potřeba člověk (a ty lidi MS má). Poznámky:
1. Pokud je aplikace popsaná jako editor fotografií, a zároveň chce přístup k lokaci, odesílání SMS, TCP stack a přístup ke kontaktům, tak se do Storu vůbec nedostane.
2. Vhodným designem můžete zabránit spoustě forem zneužití. Například ve WP nemůže aplikace odeslat SMS zprávu. Se správnými permissions jí může jí napsat, vybrat kontakt, a zobrazit ji uživateli pomocí vestavěné aplikace Messaging, aby ji sám odeslal. Aplikace jako taková nemůže poslat SMS. Takových brzd je ve WP celkem dost.
