Keamanan Android - a & a dengan google adrian ludwig

Kami telah berbicara banyak tentang keamanan pada perangkat Android Anda baru-baru ini, dan saat percakapan berlanjut jelas ada pertanyaan yang perlu dijawab oleh seseorang dengan otoritas yang lebih besar. Hal-hal seperti apakah Anda memerlukan perangkat lunak antivirus untuk ponsel Anda, mengidentifikasi malware, dan memastikan bahwa perangkat Anda secara umum aman melalui penggunaan sehari-hari adalah topik yang menjadi tidak perlu berlumpur. Sementara kita dapat menempatkan beberapa kesalahan untuk ini pada rentetan artikel yang tampaknya tak berujung mengatakan kepada kita tentang semua perangkat lunak yang dibuat untuk mengeksploitasi pengguna Android, ada juga beberapa pertanyaan yang sah tentang keamanan Android yang tidak jelas, sederhana jawaban.

Untuk membantu mengatasi hal ini, kami langsung menuju ke sumbernya. Adrian Ludwig, seorang insinyur utama untuk keamanan Android di Google, membutuhkan waktu melalui email untuk memberikan jawaban yang kami cari.

: Keamanan Android - T&J dengan Google Adrian Ludwig

Peran Google

T: Apa, tepatnya, yang Google coba lindungi dari pengguna Android-nya?

Ludwig: Kami merancang Android menggunakan berbagai lapisan keamanan - Dimulai dengan fitur perangkat keras perangkat (Trustzone, NX), melalui sistem operasi (Application Sandbox, SELinux, ASLR) dan hingga aplikasi dan layanan yang disediakan Google (Google Play, Device Manager, Verifikasi Aplikasi, dll). Kami juga mendorong inovasi keamanan dengan memungkinkan pihak ketiga memberikan solusi keamanan.

Ancaman keamanan yang paling mendesak yang dihadapi perangkat seluler saat ini meliputi: 1. Perangkat yang hilang dan dicuri (yang kami sediakan untuk perlindungan seperti layar kunci, enkripsi perangkat, dan Pengelola Perangkat Android) 2. Serangan tingkat jaringan (di mana Android menyediakan layanan kriptografi dan mengekspos permukaan serangan minimal dengan tidak memiliki layanan mendengarkan secara default) 3. Aplikasi yang berpotensi berbahaya (tempat aplikasi Android ditinjau, Google Play meninjau aplikasi, dan Verifikasi Aplikasi semuanya dirancang)

Ketika kita mendengar tentang ancaman potensial baru, kita mulai memasukkannya ke dalam rencana dan desain masa depan kita.

Kebijakan pendukung

T: Berapa lama Google menawarkan dukungan untuk hal-hal seperti kerentanan keamanan yang ditemukan dalam sistem operasi?

Ludwig: Pendekatan kami terhadap kebijakan dukungan untuk keamanan Android adalah memberikan pembaruan di mana pun kami yakin mereka akan benar-benar dikirimkan kepada pengguna dan meningkatkan keamanan. Dalam praktiknya ini berarti kami menyediakan berbagai jenis dukungan untuk masalah keamanan potensial:

1. Jika masalah dapat diselesaikan dengan memperbarui Chrome, Gmail, Google Play, atau sejumlah aplikasi Google - kami akan menyelesaikan masalah dengan cara yang kembali ke semua versi Android di mana setiap aplikasi tersedia.
2. Perangkat Google Nexus dan perangkat edisi Google Play secara teratur menerima pembaruan keamanan tepat waktu.
3. Kami menyediakan tambalan untuk cabang Android saat ini di Android Open Source Project (AOSP) dan secara langsung menyediakan tambalan kepada Android untuk setidaknya dua versi utama terakhir dari sistem operasi. Saat ini, kami menyediakan backports untuk masalah keamanan yang mencakup Android 4.3 dan lebih tinggi. WebKit di Android 4.3 adalah satu-satunya pengecualian. Ini didukung pada Android 4.4 dan di atasnya sebagai pembaruan biner. Namun demikian, ketika OEM meminta bantuan dalam mengembangkan tambalan untuk perangkat yang menjalankan versi platform yang lebih lama dan mereka berkomitmen untuk mengirimkan tambalan itu sebagai OTA ke perangkat, kami akan memberikan mereka bantuan.
4. Jika memungkinkan, kami juga memperbarui layanan keamanan Google untuk Android untuk memberikan lapisan perlindungan tambahan untuk semua perangkat Android, terlepas dari apakah mereka masih didukung oleh OEM. Ini termasuk memeriksa aplikasi yang berpotensi berbahaya dan perilaku keamanan lainnya.
5. Kami juga menyediakan informasi dan alat kepada pengembang aplikasi untuk memastikan aplikasi mereka terlindungi dari potensi masalah keamanan. Ini termasuk menyediakan API dalam Google Play Services seperti Penyedia Keamanan yang dapat diupdate yang dapat diperbarui oleh Google tanpa OTA perangkat. Kami juga memberikan praktik terbaik yang dapat membantu pengembang memastikan aplikasi mereka bekerja dengan aman di semua perangkat Android, terlepas dari apakah mereka masih didukung oleh OEM. Baru-baru ini, kami mulai memindai aplikasi di Google Play untuk mengetahui potensi kerentanan keamanan dan memberi tahu pengembang ketika kerentanan itu terdeteksi.
6. Terakhir, namun tidak kalah pentingnya, kami berbagi informasi tentang masalah keamanan (termasuk informasi yang kami miliki tentang perbaikan dan eksploitasi yang diketahui) dengan mitra Android untuk memastikan mereka memahami masalah ini, termasuk risiko yang terkait dengan perangkat yang tidak menerima pembaruan untuk masalah ini. Ini termasuk menambahkan tes untuk masalah keamanan potensial dalam Compatibility Test Suite untuk mengurangi kemungkinan OEM secara tidak sengaja mengirimkan perangkat dengan masalah keamanan yang diketahui.

Kontrol pengguna

T: Jika aplikasi dianggap berbahaya tetapi tidak selalu berbahaya - misalnya aplikasi yang mem-spam baki notifikasi dengan iklan yang tidak diinginkan - alat apa yang tersedia untuk membantu pengguna?

Ludwig: Android memberi pengguna kontrol yang memungkinkan mereka mengontrol pengalaman di perangkat mereka. Ini mencakup kemampuan seperti melihat izin aplikasi, mengonfigurasi pengaturan seperti kemampuan aplikasi untuk menampilkan pemberitahuan, atau kemampuan untuk menonaktifkan atau menghapus aplikasi kapan saja.

Jika pemberitahuan tidak diinginkan, pengguna dapat menekan lama pemberitahuan tersebut untuk melihat aplikasi mana yang menghasilkannya dan kemudian mengubah pengaturan pemberitahuan aplikasi atau menghapus instalasi aplikasi.

Pemeriksaan keamanan

T: Apa yang terjadi ketika Google mengirim pesan yang memperingatkan pengguna aplikasi berbahaya dan pengguna tidak menghapus aplikasi, baik karena mereka memilih untuk tidak atau pesan itu secara tidak sengaja diberhentikan?

Ludwig: Ada beberapa pemeriksaan keamanan berlebihan yang dirancang untuk memastikan bahwa aplikasi yang diketahui berpotensi berbahaya tidak akan diinstal secara tidak sengaja. Pada setiap pemeriksaan ini, sebagian besar pengguna yang menerima peringatan tentang aplikasi yang berpotensi berbahaya memilih untuk tidak melanjutkan.

Inilah semua langkah utama:

Google telah mengintegrasikan sistem peringatannya untuk aplikasi yang berpotensi berbahaya yang dikenal di backend banyak aplikasi kami. Jadi, misalnya, browser Chrome dengan Penjelajahan Aman mungkin memperingatkan pengguna bahkan sebelum mereka mengunduh aplikasi dari situs web yang sepertinya ada di situs web yang menampung aplikasi yang berpotensi berbahaya.

Jika mereka memilih untuk mengunduh dan menginstal, mereka akan menerima peringatan pada waktu instalasi (serta informasi lain seperti izin aplikasi yang dapat membantu mereka memutuskan apakah mereka ingin menginstal).

Jika mereka masih memutuskan untuk melanjutkan, aplikasi diinstal, tetapi masih tidak dapat melakukan apa-apa sampai pengguna benar-benar memutuskan untuk menjalankan aplikasi. Jadi mereka memiliki satu kesempatan lagi untuk memilih untuk menghapus aplikasi sebelum itu dapat menyebabkan kerusakan.

Apakah mereka memilih untuk menjalankan aplikasi atau tidak, jika itu diinstal pada perangkat mereka, maka pemindaian latar belakang Verifikasi Aplikasi akan menandai aplikasi dan memberikan peringatan lain yang merekomendasikan bahwa mereka menghapus aplikasi. Peringatan ini umumnya akan muncul sekitar seminggu sekali - meskipun pengguna memang memiliki opsi untuk mengatakan "jangan ingatkan saya lagi."

Aplikasi antivirus

T: Apakah aplikasi keamanan pihak ketiga membuat saya lebih aman dari aplikasi Play Store yang berpotensi berbahaya?

Ludwig: Perlindungan yang dibangun dalam Google Play sangat kuat. Untuk pengguna yang memasang aplikasi di luar Google Play, kami sangat menyarankan mereka mengaktifkan Verify Apps, yang disediakan pada perangkat Android yang menjalankan Android 2.3 atau lebih besar (lebih dari 99 persen perangkat Android) yang menginstal Google Play.

Pada tahun 2014, menurut data Verifikasi Aplikasi yang dikumpulkan oleh Google dan mengabaikan rooting aplikasi yang sengaja diinstal oleh pengguna, kurang dari 0, 15 persen Aplikasi yang diinstal dari luar Google Play ke perangkat Inggris AS diklasifikasikan sebagai Aplikasi yang Berpotensi Berbahaya. Mengingat perlindungan bawaan yang disediakan oleh Verify Apps dan frekuensi rendah terjadinya pemasangan PHA, potensi manfaat keamanan dari solusi keamanan tambahan sangat kecil.

ROM khusus

T: Apakah ada fitur Keamanan Google yang berlaku untuk pengguna yang telah menginstal versi Android pihak ketiga (baca: ROM buatan komunitas)?

Ludwig: Ya, ROM pihak ketiga pada umumnya dibangun di atas AOSP, sehingga mendukung Android sandbox, dan banyak dari mereka menggunakan aplikasi Google, termasuk layanan keamanan kami.

Dan begitulah. Google melakukan pekerjaan luar biasa untuk menjaga keamanan Android, dan sebagian besar dari itu sedang dipersiapkan untuk apa pun yang terjadi selanjutnya. Tapi itu akan selalu menjadi permainan kucing-dan-tikus. Seperti biasa, menjaga keamanan perangkat Anda adalah tentang mengetahui di mana Anda mengetuk, apa yang Anda pasang, dan mendapat informasi sebanyak mungkin.

Pastikan untuk memeriksa seri keamanan kami yang lain jika Anda ingin mempelajari lebih lanjut.