לא ניתן לסמוך על טלפונים, צרכי האבטחה נובעים מנייד

מנכ"ל ViaForensics, אנדרו הו, ידע שהוא יסובב כמה ראשים עם מושב ב- RSAC 2014 שכותרתו "מדוע הנייד צריך להפסיק לדאוג וללמוד לאהוב את השורש." למרות שהשורש הוא דבר של מילה גסה במכשירים ניידים, Hoog מאמין שהאמון שלנו בטלפונים ניידים אינו מבוסס. אם אנו רוצים להתייחס ברצינות לאבטחת מובייל, אז Hoog אומר שגישת השורש העוצמתית צריכה להיות נגישה יותר.

מירוץ לשורש

אחד הטיעונים המרכזיים של הוג הוא "המירוץ לשורש", המכונה כך מכיוון שהסמכויות הניתנות על ידי גישה לשורש פירושו שמי שיש לו את זה תחילה זוכה. מעמדה מיוחסת זו, אמר הוג, אתה יכול לסגור את הכל ואת כל האחרים בחוץ. "שורש, " אמר הוג, "נותן לך בהחלט את הכל."

במונחים מעשיים פירוש הדבר יכולת לשנות את מערכת ההפעלה, להתקין תוכנה, לפרוץ מסביבות ארגזי חול, להתעלם מההרשאות קבצים וכן הלאה. אתה יכול לראות איך זה יכול להיות יקר לתוקף שמכוון לטלפון מסוים, וזה בדיוק התרחיש שעניינו הוג.

הבעיה, לדבריו, היא שהמגבלות של מכשירים ניידים יוצרות שדה קרב לא אחיד. "האנשים שמכוונים אותך, הם יכולים להכות שורש, " אמר Hoog. "שמנו את כל היתרון ליריב ואנחנו נעולים בחוץ."

סוגיית הרשאות המשתמשים המוגדלת מעוררת מחלוקת במיוחד במכשירי iOS מכיוון שאפל פועלת באופן פעיל כדי למנוע מאנשים לשבור טלפונים ולבצע גישה רבה יותר. משתמשים המחפשים הרשאות מהסוג הזה ננעלים מהעדכונים ונאלצים להמתין תקופות ארוכות לפני שיהיו זמינים כלים לשורשים חדשים. "כשחבר'ה רעים שורשים הם שומרים על זה, " אמר הוג. "או שהם מוכרים את זה בחצי מיליון דולר."

על מי יש לסמוך?

דגם הטלפון החכם הצרכני אינו מצריך אמונה קטנה, בעיניו של Hoog. "מכיוון שאין לנו שורש במכשירים האלה, אתה פשוט צריך לסמוך עליהם", אמר. הרעיון הוא שהאנשים המנהלים מערכות הפעלה יעשו כמיטב יכולתם, והמפתחים ילכו בעקבותיהם.

כמובן שזה לא קשור לתוכנה זדונית, אבל Hoog היה חד משמעי: "אפליקציות דולפות גדולות יותר מתוכנות זדוניות." על פי נתוני viaForensics, 75 אחוז מכל אפליקציות האייפון ו -60 אחוז מאפליקציות אנדרואיד מציגות התנהגות מסוכנת כלשהי. באופן מדאיג יותר, 25 עד 30 אחוז מהיישומים הניידים מוצצים מידע על משתמשים מהטלפונים של המשתמשים ושולחים אותם למקום אחר - מדליקים אותו, כביכול.

התבוננות בהרשאות בלבד אינה יכולה לספק תובנות מסוג זה, וזו הסיבה ש- viaForensics נוצר באמצעות Protect. מדובר באפליקציה בחינם לאייפון ולאנדרואיד שיכולה לעקוב אחר כל מיני פעילויות באפליקציה בטלפון שלכם. אתה יכול להשתמש בו ובממשק אינטרנט כדי להתעמק ולראות את תעבורת הרשת שנוצרת על ידי אפליקציות, לאן תעבורה זו והאם היא מאובטחת. אתם בטח לא תופתעו שהרבה מהם בכלל לא מאובטחים.

יש גם חריגות מוזרות. כדוגמה, הוג מראה כמה חיבורים מגישה ברמת השורש לכיוון המכשיר ללא הצפנה מטלפון אנדרואיד מלאי. "יש תהליכים המותקנים על ידי, על ידי אפל ועל ידי גוגל, שיש להם הרשאות וגישה במכשיר שלך והם דולפים כל הזמן", אמר Hoog.

שורש בביטחון

על ידי פתיחת גישה לשורש במכשירים, אמר Hoog כי חברות אבטחה יכולות לעשות יותר כדי להגן על מכשירים. בתרחיש ארגוני, למשל, הציע הוג כי גישה שורשית מבוקרת יכולה לאפשר לחברות לבצע משטרה טובה יותר על מכשירי ה- Android שלהם.

עוד אמר כי אפל צריכה לספק טלפונים למפתחים עם הרשאות מלאות מופעלות, בדומה לגוגל. הוג אמר כי אבטחת iOS מפגרת לא רק בגלל מגבלות המכשיר, אלא מכיוון שחוקרים נאלצים להקדיש את זמנם למציאת דרכים להכות את המכשירים שלהם. "אנחנו צריכים לשחק את המשחק הזה עם אפל ואז מה שאנחנו לא יכולים לעשות זה לגלות מה קורה, " אמר.

אבל עבור אנשים, העניין קשה יותר. הוג אמר שהוא באופן אישי מוכן לקבל את הסיכונים של מכשיר מושרש. "אני למעשה אגן על עצמי טוב יותר פי עשרה, כי בפועל יהיו לי הרשאות במכשיר", אמר. אבל אני לא חושב שהמשתמש הממוצע כל כך מתמצא. כמו כן, בעוד שגישה לשורש יכולה להעניק סמכויות גדולות יותר לאפליקציות אבטחה, אני יודע רק על אחת מהן בחנות האפליקציות של אנדרואיד: Editast 'Choice avast! אבטחה ניידת ואנטי-וירוס.

אני מאמין שיש הרבה ערך בשירותים כמו viaProtect, שמרחיקים הרבה יותר ממערכות ההרשאות הקיימות ב- Android ו- iOS. Hoog הציע כי חמושים בידע רב יותר, המשתמשים יכולים פשוט להוריד אפליקציה שונה מחנות האפליקציות שאינה מדליפה את המידע שלהם.

זה לא פיתרון נהדר, אבל זה הרבה יותר טוב מאפליקציות הפועלות בחושך מהימן.