Sammenligning av Android og iOS-sikkerhet: Hvordan de vurderer

Her er avtalen. Skurkene vet mer om smarttelefonsikkerhet enn vi gjør. Og de liker det på den måten.

Det er på tide å endre det. For å hjelpe, vervet jeg smarttelefon-apputvikler og TechRepublic skribent William Francis, og Symantec VP og Fellow, Carey Nachenberg.

Nachenberg skrev: A Window into Mobile Device Security. I den tar Symantec en hard titt på den iboende sikkerheten til Android og iOS, med spesiell vekt på følgende:

"Å komplisere sikkerhetsbildet er det faktum at praktisk talt alle dagens mobile enheter opererer i et økosystem, mye av det ikke kontrolleres av bedriften. De kobler sammen og synkroniserer out-of-the-box med tredjeparts skytjenester og datamaskiner med sikkerhetsstilling er potensielt ukjent og utenfor selskapets kontroll. "

Ikke bli slått av av "enterprise." Det som står i papiret gjelder alle.

Hva er planen?

Normalt vil jeg bare konsolidere det Nachenberg sa i papiret. Men når jeg har Bill ombord, tillater jeg meg å legge opplevelsen fra den virkelige verden til miksen. Heldigvis har jeg ikke utslitt min velkomst siden vi jobbet sammen om en annen artikkel om telefonapper og malware.

Vi bestemte oss for å følge disposisjonen i papiret, med Bill som ga sine tanker om det Nachenberg kaller "fem sikkerhetssøyler."

Søylene

Til å begynne med påpeker rapporten:

"De siste mobile plattformene ble designet med sikkerhet i tankene - begge team av ingeniører forsøkte å bygge sikkerhetsfunksjoner direkte i operativsystemet for å begrense angrep fra begynnelsen."

Deretter tester Nachenberg både Android og iOs på hvor godt de takler følgende:

  • Tradisjonell tilgangskontroll : Tradisjonelle tilgangsteknikker som passord og skjermlåsing på tomgangstid.
  • Tillatelsesbasert tilgangskontroll : Tillatelsesbasert tilgangskontroll gir et sett med tillatelser til hver applikasjon.
  • Søknadspris : Provenance er en tilnærming der hver applikasjon er stemplet med identiteten til forfatteren og deretter gjort manipulasjonsresistent (ved hjelp av en digital signatur).
  • Kryptering : Kryptering søker å skjule data i ro på den bærbare enheten.
  • Isolasjon : Isolasjonsteknikker prøver å begrense en applikasjons muligheter til å få tilgang til sensitive data eller systemer på en enhet.

Hvordan de gjorde det

Bill og jeg trodde det var best om han ville gi sin mening om hvor bra Android og iOS gjorde det relativt til hver av søylene først. Så skal jeg følge med, parafrasere hva Nachenberg sa i avisen.

Pilar One: Tradisjonell tilgangskontroll

Francis : Når det gjelder tradisjonell tilgangskontroll, er det min erfaring at både iPhone og Android gjør en tilfredsstillende jobb.

Bare å forlate fingeravtrykk flekker på berøringsskjermen gjør det lettere å komme forbi den første forsvarslinjen. Etter min mening implementerer ikke nok apputviklere et alternativ for å låse individuelle applikasjoner separat fra OS-lås / låse opp skjermen.

På Android-plattformen bruker jeg et verktøy fra Carrot App kalt App Protector Pro som lar meg legge til et ekstra lag med sikkerhet til applikasjoner som Gmail, Exchange og Facebook. På den måten hvis noen noen gang fikk fysisk tilgang til telefonen min og forbi OS-låseskjermen, ville jeg ha litt ekstra tid til å bytte passord på disse tjenestene.

Så vidt jeg vet, er det ikke en lignende applikasjon tilgjengelig for iOS. Dette mistenker jeg fordi iOS har en mer restriktiv sandkassemodell.

Kassner : Nachenberg konkluderer med at tilgangskontrollfunksjonene levert av iOS har en rimelig grad av sikkerhet hvis enheten går tapt eller blir stjålet. I denne forbindelse anser Nachenberg iOS for å være ekvivalent med Windows-baserte stasjonære maskiner.

Avisen er mindre snill med Android. Den nevner at Android vil beskytte tilstrekkelig mot tilfeldige angrep. Men Android krypterer ikke data som er lagret på det flyttbare SD-minnekortet. Fysisk tilgang til minnekortet og de lagrede dataene negerer enhver passordkontroll på enheten. (Komfort mot sikkerhet enda en gang.)

Pilar Two: Tillatelsesbasert tilgangskontroll

Francis : Min kunnskap om tillatelsessystemet på iOS er ganske begrenset. Jeg forstår at de har langt mindre tillatelser enn Android-plattformen, og at visse tillatelser krever at brukeren bare er enig én gang mens tilgang til andre beskyttede delsystemer ber brukeren hver gang applikasjonen krever ressursen.

I kontrast har jeg mye kjent med tillatelsessystemet på Android. Min mening er at det teoretisk sett er en suksess, men stort sett ineffektivt i den virkelige verden fordi den er avhengig av at brukeren er teknisk kunnskapsrik.

Selv om det kan ha fått sin start som plattformen foretrakk av 4 av 5 hackere, har Android gått hovedstrømmen og typiske brukere har ikke kunnskapen om å velge hvilke tillatelser som er akseptable og som ikke er per applikasjonsbasis.

De skal heller ikke være nødt til å gjøre det. Når jeg besøker tannlegen min, forventer jeg ikke at hun vil spørre meg om hvilke instrumenter hun kan bruke for å pirke rundt på tennene mine. Jeg betaler for en tjeneste, og stoler på at hun bruker ressursene hun trenger for å få jobben gjort.

Kassner : Jeg har hørt mange meninger om tillatelsessystemet som brukes av iOS. Nachenbergs papir styrker min forståelse:

"Det er fire systemressurser som apper kan få tilgang til som først krever tillatelse fra brukeren. All annen tilgang til systemtjenester eller data er enten eksplisitt tillatt eller blokkert av iOSs innebygde isoleringspolicy. Her er tillatelsene som en app kan be om:

  • Få tilgang til posisjonsdata fra enhetens globale posisjoneringssystem.
  • Motta varsler om ekstern varsling fra Internett.
  • Start en utgående telefonsamtale.
  • Send en utgående SMS eller e-post.

Hvis en app prøver å bruke noen av disse funksjonene, blir brukeren først bedt om tillatelse før aktiviteten er tillatt. Hvis brukeren gir tillatelse til enten GPS-systemet eller varslingssystemet, får appen permanent tilgang til disse systemene. Derimot blir brukeren bedt om hver gang en app prøver å starte et utgående anrop eller sende en SMS-melding. "

Android bruker en helt annen tilnærming. Det er basert på "alt eller ingenting." Jeg lar Nachenberg forklare:

"Hver Android-app inneholder en innebygd liste over tillatelser den trenger for å fungere ordentlig. Denne listen over forespørsler blir presentert for brukeren på ikke-teknisk språk på det tidspunktet en app blir installert på enheten, og brukeren kan bestemme om eller ikke for å la appen installeres basert på deres toleranse for risiko.

Hvis brukeren velger å fortsette med installasjonen, får appen tillatelse til å få tilgang til alle de forespurte delsystemene. På den annen side, hvis brukeren velger å avbryte installasjonen, er appen helt blokkert fra å kjøre. Android tilbyr ingen mellomgrunn. "

Pilar Three: Søknadsstedet

Francis : Prosessen med å identifisere herkomst og bestemme autentisitet skiller seg betydelig mellom Android og iOS. Folk kan krangle alt de vil om fordelene ved begge tilnærmingene, men på slutten av dagen ser du betydelig mer skadelig programvare for Android enn det du gjør iOS.

Jeg tror ikke det er noe poeng hvor Google har mislyktes, men snarere en kulminasjon av flere feil gjør Android-plattformen mer utsatt for sikkerhetstrusler. Det er for få barrierer for utviklere å komme i gang på Android, spesielt de som gir ut gratis eller annonsestøttede apper.

Google har ingen vurderingsprosess før innsending. Ingen krav for å bevise at du er den du sier du er. Ingen sentral signeringsmyndighet. Det er flere app-distribusjonskanaler. Listen fortsetter. På toppen av hullene i prosessen, fra et teknisk perspektiv, er det ikke veldig vanskelig for målbevisste hackere å ta en legitim Android-app, reversere den, sette inn noe ondsinnet kode, pakke appen på nytt og stikke den tilbake i butikken.

Selv om det ikke er utenkelig at noen kan reversere en iPhone-app, gjør arten av iPhones primære utviklingsspråk, Objekt C, dette mer komplisert enn å demontere Java (beklager Dalvik) byte-koder som kjører på Googles plattform.

Kassner : Det er ingen mening i å utdype poenget. Symantecs Nachenberg er enig med Bill. iOS gjør en bedre jobb når det kommer til visningsapper.

Pilar Four: Kryptering

Francis : Jeg hadde en gang muligheten til å jobbe med et mobil-prosjekt med flere plattformer som hadde noen betydelige personvernkrav og til slutt krevde en kodegjennomgang av et uavhengig panel av sikkerhetsingeniører.

Det jeg oppdaget tidlig i utviklingen min var at mens iOS-brukerinnstillinger ble lagret kryptert i nøkkelringmekanismen som standard, la Android-plattformen krypteringen av disse dataene opp til den enkelte applikasjon.

Det betyr ikke at sensitive data på Android-enheter ikke kan krypteres, eller at de anvendte krypteringsteknikkene er mindre sikre enn på iOS. Det betyr bare i flere tilfeller at belastningen med kryptering flyttes fra operativsystemet til applikasjonen. Dette kan være både bra og dårlig.

Når applikasjonsutviklere på Android-plattformen bruker aktsomhet, er dataene dine ikke bare like sikre som på iPhone, men på noen måter tryggere fordi en hacker må bryte sikkerhetsalgoritmen til hver applikasjon.

Imidlertid har du som bruker ingen garanti for at et program du laster ned benytter noen krypteringsmekanisme i det hele tatt. Dette siste tilfellet presenterer et spesielt problematisk spørsmål på Android-enheter, siden de fleste har et SD-kort som ganske enkelt kan fjernes fra telefonen og undersøkes på et senere tidspunkt fra hvilken som helst stasjonær datamaskin med en USB-port.

Kassner : Når det gjelder kryptering, vil Bill ikke få noe argument fra Nachenberg. Når det er sagt, vil jeg påpeke noe jeg lærte om hver plattform.

Først bruker iOS kryptering, men det er en gotcha (god forklaring). Mange apper kjører i bakgrunnen (selv når brukeren ikke er logget inn) og trenger tilgang til lagrede data. For at det skal fungere, trenger iOS en kopi av dekrypteringsnøkkelen lokalt. Det betyr at hvis en angriper har tilgang til brudd i fengsel, kan de fleste av de lagrede dataene leses uten å ha enhetens hovedpassord.

Som Bill nevnte, krypterer ikke alle versjoner av Android - annet enn Android 3.0 - data. Det betyr at alle som fengsler eller får tilgang på administrasjonsnivå kan ha sin vei med praktisk talt alle dataene som er lagret på enheten.

Pilar Five: Isolasjon

Francis : Jeg personlig tror både Apples og Googles sandkassede modeller av isolasjon har vist seg å være robuste. I mitt sinn er mekanismen som brukes av Android OS litt mer komplisert, men dette gir fleksibilitet og er sannsynligvis nødvendig. I motsetning til iOS, handler Android med ekte multitasking av appene sine.

Som utvikler ser jeg en ekstra fordel med disse isolasjonsmodellene som brukere ikke gjør. Ganske enkelt, utfordringene disse modellene gir i prosjekteringens faser av apputvikling, får oss mobilutviklere til å tenke på tett koblet sikkerhet rett ut porten, mens sikkerhet på ofte mer tradisjonelle plattformer, som et skrivebord, ofte er en ettertanke.

Kassner : Nachenberg og Bill er igjen på samme side. At begge isolerer individuelle apper, forhindrer angripere i å kompromittere andre apper eller operativsystemet.

Det kommer ned til

Meg igjen. Jeg er imponert over iOS og Android. Men jeg var ikke klar for den vanlige svake lenken. Begge bukker under for det ordet med fire bokstaver: Sårbarhet. Kan du tro det? Det er fremdeles den onde veien inn.

Nachenberg nevner ved publisering, iOS har bare noen få alvorlige sårbarheter. Og de brukes hovedsakelig til fengselsbrudd. Det er ingen kunnskap om utnyttelse av skadelig programvare.

Android har bare noen få alvorlige sårbarheter også. Men en er bekymringsfull for Nachenberg. Det lar ondsinnede tredjepartsapper få administrasjonsnivå på enheten. Og malware som utnytter sårbarheten er i naturen; passende navn, Android.Rootcager.

Android.Rootcager introduserte litt ironi og gjorde ting vanskelig for Google. Nachenberg forklarer:

"Enda mer interessant (og kontroversielt), Googles fikseverktøy for Android.Rootcager måtte også utnytte den samme sårbarheten for å omgå Android's isolasjonssystem for å fjerne deler av trusselen fra enheten."

Siste tanker

Der har du det: To tunge vekter, som hver abonnerer på en annen sikkerhetsfilosofi. Målet mitt har vært å påpeke disse forskjellene. Det er nå opp til deg.

Jeg ønsket også å nevne at Symantec-papiret er vel verdt tiden å lese. Spesielt når det speiler mening fra noen jeg stoler på. Takk for hjelpen, Bill.

© Copyright 2020 | mobilegn.com