2010. szeptember 26., vasárnap

Android és az ő veszélyei - tűzfal, vírusok, spyware, malware (@hh #android, #biztonság)

Ahogy egyre többen ismerkednek meg az Android operációs rendszerrel itthon is, úgy egyre több oldalon, portálon olvashatunk szakmai vagy kevésbé szakmai írásokat arról, miért is érdemes Androidra, erre a rendkívüli növekedést produkáló operációs rendszerre áttérni. 
Számomra az Android három fő értéket hordoz: 
  1. Könnyedén testre szabható kezelőfelület, pontosan az én igényeimre alakíthatom a számomra szükséges információk letöltését és megjelenítését. Kiváló GUI
  2. Teljes Web (froyo+flas-hel), Google és MS Exhange kompatibilitás (azaz jelenleg használt "felhőimhez" rendkívül könnyedén illeszkedő operációs rendszer. Kiváló terminál
  3. Megoldás - Azaz szoftverbeszerzés másodpercek alatt. Minimális angol-tudással is sok-sok alkalmazás és widget tekinthető át és telepíthető könnyedén. Azaz kiváló Android Market.
Az utolsó ponttal egyben elérkeztünk ahhoz a témához, ami bizony veszélyeket is rejt magában. Az Androidot támadó szakirodalom (nyilván a rivális operációs rendszerek fejlesztői is adnak sok ötletet) egyre gyakrabban erről az oldalról kezdi ki a Google-t, sokan állítják, hogy az Androidos okostelefonok alkalmazói bizony esetenként veszélynek is ki vannak téve. Milyen veszélyek lehetnek ezek?
  • Az alkalmazások többsége valamiféle internet-hozzáférést igényel. Idővel már észre sem vesszük és automatikusan engedélyezzük, vagy nem is feltétlenül kell ezt megtennünk, mert megteszi ezt a készülékünk. De ha az engedély adott és van egy erős PC, ami ráadásul akár éjjel-nappal a neten lóg és be van kapcsolva, onnantól már mi sem könnyebb, mint pl. egy játékba beírni egy 5-6 hónappal később aktivizálódó kódrészletet és máris meg lehet  baj.
  • Sok-sok alkalmazás mellett nem feltétlenül vesszük észre, ha egy-egy alkalmazás olyan adatokat is "elvisz" a készülékről, ami nem is tartozik rá (pl. GPS információk)
  • A készülékben tárolt adatokhoz, akár a memóriakártya tartalmához is könnyű hozzáférni. Rosszindulató fejlesztők által írt kódokkal akár személyes adatokhoz, képekhez, videókhoz is hozzá lehet férni.
  • Általánosságban tehát az internetre csatlakozó okostelefont könnyű "zombivá' alakítani, rosszindulatú fejlesztők könnyedén emelt díjas SMS-t írathatnak velünk, emelt díjas számokat hívhatnak, elküldhetik a készüléken tárol adatokat pl. képeket és sok-sok egyéb "huncutság" vagy akár bűncselekmény követhető el. 
Mindez fokozottabban igaz, ha amúgy maga a felhasználó is elkövet olyan dolgokat, amivel akár egyszerűbbé is teheti a rosszindulatú támadók dolgát. De van-e védelem?

Természetesen mindig és mindenre van védelem, de ahogy a múlt héten látható Twitter-es probléma terjedési  sebessége is mutatta, ha jön a baj, akkor hihetetlenül gyorsan, akár órák alatt tovaterjedhet és világszerte okozhat galibákat. Azaz érdemes a megelőzésre koncentrálni. E témában kész és korrekt megoldások ritkán akadnak, inkább csak amolyan jó tanácsokat, vagy alapelveket lehet felsorolni:
  • A védelem és a biztonság kérdéseinek egy része természetesen a Google kezében van. A Google a kommunikációja szerint mindent el is követ annak érdekében, hogy a Marketre feltöltött alkalmazások fejlesztőit alaposan vizsgálja, magukat az alkalmazásokat is ellenőrzi és ha bármi kártékonyt talál, azt azonnal eltávolítja.
  • Fentiekből következik, hogy aki nem a Google Alkalmazásboltból "vásárol" (tehát nem onnan tölt le, vagy a későbbiekben elérhető fizetős felületen valóságosan vásárol), annak érdemes alaposabban utánaolvasnia a letöltendő alkalmazásnak. Semmiképpen se telepítsen első szóra senki semmit, mert pl. a haver Facebookján is ajánlották, vagy "Twitteren jött"!
  • Bánjon mindenki csínján a "Rootolt" készülékekkel! A Root lényegében rendszergazdai hozzáférés a készülékhez. Leegyszerűsítve mondhatjuk azt, hogy alapesetben a gyártók pontosan azért korlátozzák a készülékeiket, hogy növeljék a vásárló biztonságát. Ugyanakkor Root jogokkal sok-sok új lehetőség nyílik meg az Androidos okostelefonok tulajdonosainak. Nagy kérdés, hogy valóban ki akarja-e használni a vásárló, vagy megvárja, amíg pl. maga a gyártó is engedélyezi az adott funkciót (pl. tipikus példa erre a WiFi hotspot funkció, ami már korábban is elérhető volt root jog mellett, ám ez a funkció pl. a HTC Desire-be csak a Froyo frisítéssel érkezett meg hivatalosan. Tehát, amikor a gyártó úgy látja, hogy megérett, akkor publikálta csak.) 
  • Bánjon mindenki csínján a főzött, egyedi custom ROM-okkal! Az egyedi Rom és a fenti Root kérdéskör lényegében együtt jár. Az Android operációs rendszer alá könnyű olyan a felhasználó által még csak nem is látható szálakat írni, melyeket egy egyedi ROM-telepítéssel bizony fel is viszünk a készülékre. És ki tudja, hogy éppen mi kerül a gépünkre, ha eleve nem is nagyon értjük ezt az egészet? Pusztán azért mert egy-egy fogalmazó, szervizes vagy bárki, aki nálunk kettő órával többet foglalkozott adott témával azt javasolja, hogy a Custom Rom az jó megoldás, még nem biztos, hogy annak hinni kell!
  • A komoly gyártók manapság a frissítéseiket is a készüléken keresztül kínálják, saját szervereket üzemeltetnek ahhoz, hogy a vásárló mindig a lehető legfrissebb és így talán biztonsági szempontból is a legkorrektebb szoftververziót futtassák gépeiken. Az OTA (Over The Air) megoldások esetenként eleve nem működnek együtt a Root/Egyedi ROM-mal, tehát ha a gépünk már sebezhető, a gyártó sem fog biztosan megvédeni.
A Windows Mobile rendszerek esetében is több alkalommal elmondtuk már, hogy meggyőződésünk szerint a komoly és értékes gyártók azon dolgoznak, hogy mind jobb mind szélesebb körben használható és mind biztonságosabb készülékeket építsenek már az alapszolgáltatások szintjén is. Teszik ezt minden különösebb etikai vagy világjobbító szempontot mellőzve pusztán azért, mert szeretnének sokat keresni. Ehhez pedig szükséges mind a hardveres, mind a szoftveres észség. A tulajdonosok által elvárt, vagy éppen a "világuralomhoz" ;-) vezető profittömeg megtermelése súlyos, újabban már milliós eladásokon keresztül vezet. Ilyen babérokat nem osztogatnak hozzá nem értő gyártóknak, összetákolt beágyazott rendszereknek. A "komoly" játékosok olyan ROM-verziókat fejlesztenek -és még ők is nem egyszer adnak ki javításokat-, melyek a fenti célokat amúgy szolgálják. Aki ezektől eltér, az emeli a gyártó által kijelölt kockázati szinteket,  ezért nem szereti pl. az Apple a Jailbreak-et vagy pl. a HTC a Rom-főzést. Nagyjából tehát önmagára kell vessen az a felhasználó, aki átlépi a gyártói biztonsági előírásokat és amúgy a gyártói modellváltozattól eltérő működést tapasztal. Ahogy emelkedik a felhasználószám, a negatív jelenségek darabszáma is emelkedhet, de meggyőződésem szerint a fenti problémák közt említett Root vagy Custom Rom kérdések aránya  visszaszorulóban lesz majd (ahogy nő a volumen, nő a szolgáltatói eladás és fejlődik az Android, talán arányaiban egyre kevesebben matatnak majd amúgy is feleslegesen a készülékek beágyazott rendszerein, ahogy pl. ahogy a mosógépet is relatív kevesen hackelik).
A paranoia tehát nem biztos, hogy szükséges, ám jelenleg még nem árt résen lenni, röviden az alábbi szabályokat érdemes betartani:
  1. Ellenőrizetlen, marketen kívüli .apk-t akkor telepítünk, ha sokan megerősítették már, hogy érdemes. E tekintetben semmiképpen sem irányadó több hazai fórum véleménye, ugyanis bizonyíthatóan a magyar fórumozó vagy olvasó körbevándorol. Érdemes nemzetközi tapasztalatokat is átolvasni.
  2. Android Market, AppBrain, vagy hasonló közösségi értékelőrendszerekkel támogatott szoftverajánló oldalakról érdemes a tapasztalatokat is átolvasni, mielőtt telepítünk valamit
  3. Root, Custom ROM - Aki azt mondja, hogy egy-egy okostelefon azért jó, mert arra sok egyedi ROM-főzött megoldás is elérhető, azt a készüléket érdemes fenntartással kezelni. Sokkal fontosabb a gyártói szerviz, a gyártói support, a hazai szerviz, a hazai alkatrészbázis nagyságrendje, de mérlegelni kell a nemzetközi eladási számokat és a nemzetközi oldalak/fórumok esetleges terméktámogatását is. 
  4. Az OTA (Over The Air) módszerrel dolgozó gyártói frissítéseket (pl. Motorola, Samsung, HTC) a Root/Custom Rom eleve ignorálhatja. Ha OTA eleve nincs egy gyártónál, az nem is biztos, hogy kellő figyelmet fordított a későbbi támogatásra, biztonságra.
Forráshttp://sswam.wordpress.comhttp://twitter.com/#!/hh

Nincsenek megjegyzések:

Megjegyzés küldése