Rsac: Sinasabi ng guro ng android security ng google na nanalo sila sa digmaan

Sa RSA Conference, ipinakita ng Lead Engineer ng Google para sa Android Security na si Adrian Ludwig ang pilosopiya ng kumpanya para sa pag-secure ng kanilang mobile platform. Ito ay karaniwang pamamaraan ng Google na umaasa sa pagkolekta ng data at mga serbisyo sa gusali. Ngunit sa parehong oras ay tila lumipad sa harap ng maginoo na seguridad sa mobile.

Hindi Makikitang Seguridad

Maraming beses sa panahon ng pag-uusap, bumalik si Ludwig sa ideya ng banayad na seguridad. "Ang mabisa at hindi nakikita na seguridad ay nagpapalabas ng kalmado, " aniya. Ang layunin ay pahintulutan ang gumagamit na makipag-ugnay sa kanilang telepono, tablet, o anuman ang tumatakbo sa Android nang walang mga isyu sa seguridad sa kanilang paraan. "Hindi ang seguridad ng pag-trumpeta ay hindi nangangahulugang wala ito, " sabi ni Ludwig. "Ito ay nangangahulugang gumagana ito."

Ang pamamaraang ito ay naiiba na naiiba sa industriya ng seguridad sa kabuuan, aniya, na nakasalalay sa "teatro ng seguridad." Sa kanya, nangangahulugan ito ng mga app na malakas na ipinahayag kung gaano ka nila pinoprotektahan ka. "Karamihan sa seguridad ay sa huli tungkol sa pagbebenta sa iyo ng mas maraming seguridad, " sabi ni Ludwig sa isang nakakagulat na prank na pahayag sa isang kumperensya na tumutukoy sa mga kumpanya ng seguridad.

Ang mga pahintulot ay ang kapansin-pansin na pagbubukod. "Ito ang isang lugar na malinaw namin ang tungkol sa seguridad sa gumagamit, " aniya. Itinutukoy nito kung ano ang maaaring at hindi ma-access ng isang app, at hinikayat namin ang mga mambabasa na tingnan ang mga ito nang mabuti upang makagawa ng magagandang desisyon tungkol sa kung ano ang kanilang nai-download. Sinabi ni Ludwig na hindi talaga ang balak. "Sa palagay ba natin ang mga tao ay gagawa ng matalinong pagpapasya sa bawat oras? Tandaan, nakikita natin kung ano ang hinahanap ng mga tao araw-araw, " idinagdag niya nang malambing. Sinabi niya na ang mga pahintulot ay hindi gaanong para sa mga gumagamit, ngunit upang matulungan ang mga developer na gumawa ng magagandang pagpapasya "halos lahat ng oras."

Nababagay ito sa isa pang nakakagulat na pahayag ni Ludwig: na hindi niya nakikita ang Android bilang isang operating system, ngunit sa halip ay isang platform ng pag-unlad. "Ang [Android] ay isang hanay ng mga AP na inilaan upang lumikha ng malakas na mga aplikasyon, " aniya. "Naghahatid kami ng mga serbisyo sa anyo ng mga aplikasyon."

Ano ang Nagbibigay ng Google

Habang ginugol ni Ludwig ang ilang oras na pinag-uusapan kung paano pinapagtibay ng mga saligan ng Android ang platform - kabilang ang pasasalamat sa NSA para sa SC Linux - naantig din siya sa mas nakikitang mga serbisyo sa Google. Halimbawa, inangkin niya na ang mga pagsisikap sa pag-aaklas ng Google sa Google Play ay higit na sa buong industriya ng AV. Kahit na kinilala niya na hindi ito pagkakamali.

Bilang karagdagan sa isa pang halatang tool tulad ng Android Device Manager, itinuro ni Ludwig sa verified Apps service ng Google, na nagbibigay ng proteksyon para sa mga gumagamit na nag-install ng mga app mula sa labas ng Play store. "Marahil ay mayroon ka nito sa iyong telepono at hindi mo alam, dahil ganyan ang pag-roll namin, " sabi ni Ludwig.

Nariyan din ang Android Safety Net, na sinabi ni Ludwig na pinalawak ang proteksyon ng real-time sa mga aparato mismo. Naghahanap ito para sa mga potensyal na pang-aabuso, tulad ng madalas na paghiling na magpadala ng mga premium na mensahe ng SMS - isang karaniwang taktika na ginamit upang pag-monetize ang mga nakakahamak na apps.

"Kailangan kong hulaan na ito ang pinakamalaking paglawak ng mga serbisyong pangseguridad sa buong mundo, " sabi ni Ludwig.

Magkakaiba-iba at Openness ay Mabuti

Kilala ang Android bilang isang bukas na platform, at sinabi ni Ludwig na ang pamamaraang ito ay nagbigay ng napakahalagang data tungkol sa mga magagaling na aktor, masamang aktor, at normal na pag-uugali sa mga mobile device. "Habang ang mundo ay nagiging mas interactive at mayroong maraming data na dumadaloy pabalik-balik, ang seguridad ay talagang makakabuti." Naniniwala si Ludwig na malaki ang pagkakaiba nito sa itinatag na mga diskarte sa seguridad, na sinabi niya na nakasalalay sa paghihiwalay.

Ang pagiging bukas ay nangangahulugang isang pira-piraso na Android, ngunit tila iminumungkahi ni Ludwig na ang pagkakaiba-iba na ito ay isang magandang bagay. Ang napakalaking pagkakaiba-iba ng Android hardware at software ay nangangahulugan na mas mahirap maapektuhan ang lahat ng mga aparato. "Ang isang solong gintong master na may bug ay nakakaapekto sa daan-daang milyong mga gumagamit, " aniya. "Walang isang master ng ginto [para sa Android], ang bawat aparato ay itinayo mula sa mapagkukunan na naiiba."

Ang pagiging bukas ay nagbigay din ng mga kumpanya ng seguridad sa isang lugar sa Android. "Hindi namin pinigilan silang tumakbo sa aming platform, " aniya, walang duda na gumawa ng isang jab sa Apple. Sa halip, sinabi ni Ludwig na tinanggap ng Google ang mga kompanya ng seguridad at ang Android ay nakinabang sa kanilang trabaho.

Ang pagbubukas din ay nagpapadali ng pananaliksik sa akademya sa lumalagong larangan ng mobile security. "Ang mobile security ay isang euphemism para sa seguridad ng Android, " sabi ni Ludwig. "Ang lahat ng mga papel ay tungkol sa seguridad ng Android sapagkat ito ang tanging lugar [mga mananaliksik] na may access sa mobile."

Gumagana ba Ito?

Upang ipakita ang pagiging epektibo ng diskarte ng Google sa seguridad, tumakbo si Ludwig sa isang timeline ng pagsasamantala ng Masterkey, na maingat na maalala ng mga mambabasa ng SecurityWatch mula noong nakaraang tag-araw. Sinabi niya na mabilis na natukoy ng Google na walang ganyang mga pagsasamantala sa Play store nang sila ay ipagbigay-alam na mayroon ito. Ano pa, pagkatapos ng mga mananaliksik ng Bluebox na natuklasan ang pagsasamantala sa publiko ay naglabas ng kanilang data, ang Google ay tila sinusubaybayan lamang ang walong pagtatangka bawat milyong pag-install.

Ang Ludwig ay may katulad na pagtingin sa Android malware nang kabuuan, na kung saan ay malawak na naiulat na tumaas. Ipinakilala niya ito nang higit pa sa mabilis na paglaganap ng mga aparato ng Android, at ang data na ipinakita niya ay nagpakita ng medyo maliit na halimbawa ng malware sa napakalaking uniberso ng Androids. "Nakakuha ka ng hindi kapani-paniwalang mga pamagat na may karaniwang walang naapektuhan."

Dapat sabihin na, hanggang ngayon, ang Google ay nakagawa ng isang napakalaking trabaho sa pamamahala ng seguridad ng Android-lalo na kung isasaalang-alang kung paano sumabog ang mga smartphone sa eksena at umibabaw sa modernong kompyuter. Gayunpaman, may mga seryosong isyu pa rin na matutugunan pasulong, tulad ng mga leaky apps at pag-secure ng personal na data.

Mula sa pananaw ng Google, ang balanse ng seguridad ng Android na may biyaya. Ang pagpapanatiling balanse ay marahil ay kung paano hinuhusgahan ang Android habang tumatanda.