Hvordan Android-sikkerhed stables

Nutidens smarttelefoner har al den hastighed, lagring og netværksforbindelse som stationære computere fra et par år siden. På grund af dette er de en skatkammer af personlige oplysninger - og sandsynligvis den næste kampplads for computersikkerhed.

Mønster genkendelse: Den Android-drevne Nexus One bruger et oplåsningsmønster, der skal indtastes, hver gang telefonens skærm aktiveres.

Det, der gør smartphones attraktive – evnen til at tilpasse dem ved at downloade applikationer – er det, der gør dem farlige. Apps gør mobiltelefonen til en rigtig computer, og Apples App Store har været en nøglefaktor i telefonens succes. Men apps gør også smartphones til et mål for cyberkriminelle.

Apple ved, at det ikke ville tage mere end et par ondsindede apps at plette iPhones omdømme. Det er derfor, App Store er et omgivet fællesskab. De eneste apps, der bliver listet, er dem, der er godkendt af Apple. For at blive godkendt skal udviklere oprette en udviklerkonto og betale et årligt gebyr. Et team hos Apple evaluerer og godkender hver version af hver applikation, der stilles til rådighed. Apple afviser efter sigende omkring 10 procent af de ansøgninger, der indsendes til App Store, fordi de ville stjæle personlige data, de indeholder upassende indhold eller er designet til at hjælpe en bruger med at bryde loven.

Google har taget en fundamentalt anderledes tilgang til at sikre sikkerheden for smartphones, der kører Android. Ligesom Apple har Android også en butik, kaldet Android Marketplace, hvorfra brugerne kan downloade applikationer. Men i modsætning til Apple kan enhver applikation uploades til Android Marketplace – Google evaluerer dem ikke først. Det, der beskytter Android-brugere mod ondsindede applikationer, er en sikkerhedsmodel baseret på kapaciteter.

Hver Android-app skal fortælle en telefons OS, hvilke funktioner den kræver. Når du installerer programmet, viser operativsystemet de funktioner, som programmet skal køre. Du kan derefter beslutte, om disse egenskaber er i overensstemmelse med, hvad applikationen hævder, den vil. For eksempel kræver TaxCaster Mobile-applikationen fra Intuit fuld internetadgang, fordi den skal tage dit input, sende det til Intuits servere og vise dig resultaterne. På den anden side kræver Slacker Radio-applikationen fra Slacker Bluetooth, fuld internetadgang, ændring/slet adgang til dit SD-kort, mulighed for at ændre lydindstillinger, mulighed for at læse identiteten af ​​indgående telefonopkald, mulighed for at ændre Wi -Fi-tilstand og evnen til at forhindre din telefon i at sove.

Det kapacitetsbaserede system har den fordel, at det håndhæves af operativsystemet. Der er simpelthen ingen måde for en ansøgning at gøre mere, end den siger. Det afhænger heller ikke af menneskelige screeners årvågenhed.

Problemet med kapaciteter er, at der ikke er nogen måde at være sikker på, at en applikation vil handle korrekt med den tillid, den er givet. For eksempel tilbage i december en webbankapplikation blev udgivet på Android Marketplace det så ud til at være for First Tech Credit Union. Det viste sig, at applikationen var svigagtig - bare endnu et phishing-svindel. Google fjernede slyngelappen kort efter, at den blev opdaget, men det er uklart, hvor mange mennesker, der faldt for fidusen.

Funktioner kan ikke beskytte brugere mod denne form for angreb, fordi den useriøse applikation bad om de samme privilegier, som en legitim applikation ville – det vil sige evnen til at acceptere en persons brugernavn og adgangskode og til at kommunikere disse oplysninger over internettet med en fjernserver .

Et andet problem med det kapacitetsbaserede system er, at det kræver, at brugerne tænker grundigt over sikkerheden. Mange brugere er ikke i stand til korrekt at vurdere risiciene ved den software, de ønsker at downloade og køre – selv når de har mistanke om, at softwaren kan være skadelig.

Der er andre vigtige sikkerhedsforskelle mellem iPhone og Android-baserede telefoner. Begge kan indstilles til automatisk at låse efter en periode med inaktivitet og kræver en adgangskode, før de kan bruges igen. Men iPhone kan sættes op til at slette alle de data, den indeholder efter 10 mislykkede adgangskodeforsøg. iPhone understøtter også fjernsletning. Googles Android har ingen af ​​disse funktioner, hvilket gør systemet grundlæggende mindre sikkert. (En tredjepartsapplikation kaldet Wave Secure tilbyder nogle af disse funktioner, men jeg har fundet ud af, at de er dårligt integreret med Android-systemet.)

En anden vigtig iPhone-sikkerhedsfordel er en brugerindstillelig forsinkelse for låsekoden. Hvis du indstiller et oplåsningsmønster med en Android-telefon, skal du angive dette mønster, hver gang du tænder for telefonens skærm. Med iPhone kan du indstille en forsinkelse, så oplåsningskoden ikke skal indtastes, hvis telefonen kun har sovet i et minut, fem minutter, 15 minutter, en time eller fire timer. Jo kortere tidsperiode, desto sikrere er dine data selvfølgelig. Men at kunne indstille forsinkelsen til fem minutter eller endda 15 minutter gør det langt mindre besværligt at bruge denne funktion. Med min Android-telefon indtaster jeg konstant oplåsningskoden, selv i slutningen af ​​et et minuts telefonopkald. Det er så irriterende, at jeg seriøst overvejer at slå det fra.

Jeg ville ønske, at iPhone havde Androids kapacitetsbaserede sikkerhedsarkitektur, fordi det ekstra lag af beskyttelse giver vigtige sikkerhedsgarantier. Men selv uden det, gør iPhones række af sikkerhedsfunktioner den til et bedre valg for folk, der har brug for at opbevare følsomme oplysninger på deres telefon. Når det er sagt, håber jeg, at Google vil lave store forbedringer med den næste udgivelse af Android-operativsystemet.

skjule