חכם למעלה! כולם צריכים לחשוב על אבטחת אנדרואיד

כשאני כותב על אבטחת אנדרואיד אני נוטה לראות הרבה מאותו סוגיה שוב ושוב (SSL, חבר'ה! בוא!). ביקשנו ממנכ"ל Widdit, נועם פיין וראש פיתוח המובייל ניר אורפז, להסביר מדוע מפתחי אנדרואיד מבצעים את בחירות האבטחה שהם עושים ומה צריך לעשות טוב יותר לאחר התמודדות עם משבר אבטחה משלהם.

חוסר ידע

משיחה עם המפתחים של Widdit נראה שיש ניתוק בין השחקנים במערכת האקולוגית של אנדרואיד. "המשתמשים אינם מספיק משכילים כדי לבדוק מה הם מוסיפים לטלפון שלהם", אמר פיין. "אני לא בטוח שלכולם באמת אכפת כל כך הרבה."

מפתחים, לעומת זאת, לא תמיד יודעים מה הסיכונים שהאפליקציות שלהם יכולים לייצג. "מפתחים לא מבינים לגמרי שמה שהם מעבירים זה מידע אישי", אמר אורפז. פיין הסכים ואמר שלא היו כללים קשים ומהירים לגבי מידע שהוא באמת "אישי".

בעיה נוספת היא מפרסמים של צד שלישי שמשלמים למפתחים לכלול אפליקציות שלהם בערכות פיתוח תוכנה (SDK) כדי לאסוף מידע על משתמשים. מפרסמים יכולים לחבר נתונים מכמה אפליקציות לתיקים המפורטים בצורה מזעזעת. לדוגמה, אפליקציה אחת עשויה לבקש את גילך, ואחרת את שמך, אך אותו מפרסם עשוי להתמודד עם שניהם.

ראוי לציין כי Widdit הוא סוג של בין פיתוח אפליקציות לפרסום. הם מפתחים פלטפורמת SDK שניתן להכניס ליישומים כך שמפתח האפליקציות יכול להרוויח קצת כסף מהיצירות שלהם.

בעיניי פיין, היעדר השכלת משתמשים מציב את המפתח לביטחון לחלוטין על המפתחים. "אם אכפת לך ממוניטין שלך, אתה משקיע מאמץ רב בשמירה עליו. המשמעות היא שיטות העבודה העסקיות שלך בדיוק כמו שיטות האבטחה שלך, " אמרה פיין. הוא עודד את המפתחים לחשוב היטב לפני שנרשמים עם מפרסמים והתקנת SDK לאפליקציות שלהם. הוא עודד גם את המפתחים לבחון את ההרשאות הנדרשות על ידי SDKs לפני שהם מאפשרים זאת באפליקציה שלהם. "אם אתה כמפתח לא ביקשת את ההרשאות האלו אתה מוכן לתת ל- SDK את ההרשאות האלה?"

מתפתח בצורה מאובטחת

גם פיין וגם אורפז אמרו כי לדבר על אבטחה זה דבר אחד, אבל יישום זה באפליקציות היה דבר אחר. שמירה על חיבור SSL מוצפן להעברת מידע היא פרקטיקה טובה, אך כזו שיכולה להוות אתגר עבור מפתחים קטנים. "צריך להשיג שרת SSL, ולפעמים זה לא דבר קל להגיע", הסביר אורפז. ראינו המון חברות שמתייחסות לביקורת על התנערות או אי-טיפול ב- SSL.

פגיעויות מסוימות צומחות אפילו מהפונקציות הבסיסיות ביותר. לדוגמה, פיין הצביע על הרשאת Android המאפשרת לאפליקציות להתחבר לאינטרנט. "זה משהו שכל מפתח עושה", אמר פיין, "ברגע שאתה מחובר לרשת, זו מיד פגיעות."

הוא עודד מפתחים להשתמש בשכל הישר, ולמפות סיכונים פוטנציאליים של התכונות שהם כוללים באפליקציות שלהם, כמו גם לאסוף מידע על משתמשים. "אם אתה עושה זאת אתה צריך לעצור ולחשוב 'מה אני עושה כדי למזער את הסיכונים?'" אמר פיין. "אני לא בטוח שרוב המפתחים עושים זאת."

ניסיון ממקור ראשון

ל- Widdit היו בעיות אבטחה משלה, עליהן דיווחנו בכתב העת האחרון של האיום הנייד. המערכת שלהם משתמשת בקוד SDK בתוך האפליקציה שמתקשר מדי יום לשרת מרוחק כדי להוריד עדכון לטלפון אנדרואיד. חוקרי אבטחה סימנו את זה כמסוכן מכיוון שהתקשורת טופלה ללא חיבור SSL, דבר שעלול לאפשר לתוקף ליירט את הקובץ ולהחליף אותו בזדון.

פיין ואורפז הדגישו כי הם ידעו על הבעיה לפני שהוכרזה על ידי החוקרים, וכבר תכננו לתקן אותה בעתיד. "הפגיעות הזו נתפסה כבעלי סבירות נמוכה מאוד להתרחש. ברגע שהבנו את זה טוב יותר, דאגנו אם מייד ושחררנו גרסה חדשה." פיין תיאר בהצלחה פיגוע באמצעות Widdit כ"סיכוי "אחד במיליארד".

אך הוא הודה כי שינוי שצריך לבצע. "זה לא היה מספיק טוב לומר שזה היה סבירות נמוכה באמת", אמר פיין.

נכון שתוקף יצטרך לעשות מאמצים רבים על מנת להשתמש בוידדיט כדי לתקוף את הטלפון של מישהו. זה בהחלט לא יהיה מסוג הדברים שאותם אנדרואיד ממוצע ינסה. אבל התוקפים יכולים לגייס משאבים אדירים אם התשלום ראוי, ונוף האיום הנייד משתנה כל הזמן. מה שיכול להיות סיכוי של מיליארד אחד היום, יכול להיות דבר בטוח מחר.

כולם, העלו את המשחק שלכם

משתמשי אנדרואיד עשויים להיות מודאגים יותר מהאבטחה בגלל הגילויים של Snowden על איסוף נתונים של NSA, אך עליהם גם לבחון את האפליקציות שלהם. כבר ראינו כיצד סוכנויות הריגול מנצלות משחקים כמו Angry Birds כדי לבצע איסוף מידע שלהם. פיין אמר שמשתמשים מנהלים את המערכת האקולוגית של אנדרואיד, ואם הם ידרשו אבטחה טובה יותר המפתחים יצטרכו לעקוב אחריהם.

"לכל אחד יש אחריות כמשתמש באנדרואיד לקבוע את התקן ולחנך את עצמך ואת ילדיך", אמר פיין. "הילדים שלנו גדלים, הם לא יידעו זמן שלא היה משותף להכל." פיין המשיך כי המפתחים, "צריכים לחוש את אותה תחושת אחריות."