Šest rad bezpečnostních expertů pro vyšší bezpečnost zařízení s Androidem

20. 2. 2012 13:00, autor: Karel Kilián
Kategorie Zprávičky

Ohodnoťte článek!

Na serveru SecurityWatch vyšel článek, přinášející doporučená nastavení, která by měla zvýšit bezpečnost telefonů s Androidem.

Autor vychází z bezpečností chyby v Google Wallet (informovali jsme postupně zde, zde a zde), která umožňovala získat přístup k předplaceným platebním kartám. Google sice chybu opravil, nicméně její podstata stále přetrvává, ačkoli aplikace Wallet je sama o sobě bezpečnější.

Jak jsme psali ve čtvrtek: „Společnost Zvelo, jejíž vedoucí systémový inženýr Joshua Rubin upozornil na jednu z bezpečnostních chyb,… … Poukazuje na fakt, že nejnovější verze Androidu pro Samsung Galaxy Nexus 4.0.2 (ICL53F) používá linuxové jádro 3.0.8-gaaa2611, obsahující známou chybu CVE-2012-0056, která dovoluje škodlivé aplikaci získat práva roota.“ Právě tohoto nebezpečí se týkají následující doporučení:

  1. Aktivujte zámek obrazovky – tuto možnost najdete v Nastavení-Informace o poloze a zabezpečení-Nastavit zámek displeje. Nepoužívejte pouze odemykání posuvníky, ale např. „Face Unlock,“ ochranu nakreslením vzoru, PINem, nebo heslem. Tím zvýšíte fyzickou bezpečnost zařízení.
  2. Zakažte ladění USB - tuto volbu najdete v Nastavení-Aplikace-Rozvoj/Vývoj-Ladění USB (zatržítko by mělo být neaktivní).
  3. Povolte šifrování - v menu Nastavení-Informace o poloze a zabezpečení-Full Disk Encryption. Tato volba není dostupná na všech telefonech.
  4. Udržujte své zařízení aktuální - ujistěte se, že používáte poslední vydaný oficiální firmware. V tomto jste, bohužel, do značné míry odkázáni na operátora a/nebo výrobce mobilního telefonu. V momentě, kdy budete vyzváni k upgradu operačního systému, neváhejte a učiňte tak. Použití oficiálního software a aktualizace firmware zařízení je nejlepší způsob, jak minimalizovat rizika a celkově zvýšit bezpečnost.
  5. Používejte pouze oficiální zdroje software. Pomocí škodlivé aplikace může útočník například odhalit PIN a zaznamenávat osobní údaje. Nejvíce škodlivých aplikací je přitom distribuováno prostřednictvím pochybných čínských a ruských „Marketů.“
  6. Vždy čtěte, jaká oprávnění instalovaná či aktualizovaná aplikace vyžaduje! Škodlivé aplikace obvykle poznáte podle neobvyklých požadavků.

Zdroj: SecurityWatch.

Štítky: , , , , , , , , , , , , , , , , , , ,

Zobrazit QR kód

Komentářů: 13 »

  • sbírejte hovínka po svém pejskovi
    třiďte odpad
    nechoďte po trávě
    přecházejte pouze po přechodu
    nekuřte
    nepijte
    nesázejte
    a hlavně, čtěte si všeobecné podmínky,že?

    renoar | 20.2.2012 @ 13:48 | 83.240.90.xxx

    • Jasně, kůli bezpečnosti nebudeme nahrávat custom ROMky.. hovadina

      Sir Sprice | 20.2.2012 @ 13:58 | 89.103.225.xxx

      • A co poté rychlost telefonu po zašifrování všech dat? Při šifrování na PC pomocí TrueCrypt apod. dojde k jisté ztrátě přenosové rychlosti, né výrazné, ale je tam.

        Ghull | 20.2.2012 @ 14:37 | 82.113.48.xxx

        • Heh, z pohledu iOS:)
          1) samozřejmě, to by měl každý
          2) neřeší
          3) automaticky se děje
          4) Jednoduchá aktualizace na „1 klik“, výrobce vydává aktualizace s ohrožením bezpečnosti prakticky okamžitě
          5) automaticky se děje (App Store)
          6) řeší Apple sám před vystavením aplikace

          Rada, nepoužívat neorig. FW je samozřejmě směšná, díky svému vývoji je daleko bezpečnější než neaktualizovaný původní FW.

          Uni | 20.2.2012 @ 14:44 | 84.246.162.xxx

          • S tím šifrováním mě to zajímá. Jak dlouho to vůbec trvá?

            PhobiaCZ | 20.2.2012 @ 14:53 | 46.135.14.xxx

            • @Ghull – šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval – třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat.

              @bod6 – takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu mě asi Vibrátor potřebuje identifikovat?

              Nevim | 20.2.2012 @ 14:58 | 80.188.171.xxx

              • ad 1) A existuje pro telefony s Androidem nějaký lockscreenem, který by nešel obejít např. podržením tlačítka atd.? Pár jsem jich zkoušel kvůli dětem a vždycky se šlo dostat do telefonu kvůli nouzovým voláním

                Roman Nepšinský | 20.2.2012 @ 15:00 | 88.101.96.xxx

                • Zdravim,
                  mam SGS2 a ted v telefonu mam ROMku od MIUI 2.3.7 od xda.developers, mel bych se obavat neceho vazneho ? Da se jim verit?

                  Videl jsem na forech,ze tuhle, tyhle ROMky bezne pouzivaji tisice lidi, tak snad je to bezpecne.

                  diky

                  xtec | 20.2.2012 @ 15:56 | 195.212.29.xxx

                  • @Ghull – šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval – třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat.

                    @bod6 – takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu asi tak potřebuje Vibrátor znát IMEI mého telefonu? Takovou aplikaci si autore strč do …. :-)

                    Honza | 20.2.2012 @ 16:14 | 80.188.171.xxx

                    • 2:Roman N
                      Nooo ja pouzivam klasiku, kreslenie vzoru a nepodarilo sa mi cez emergency do telefonu nijako dostat. Nech som tam stlacal hociake kombinacie, tak ma to vratilo prinajlepsom spet na zadanie vzoru. LG OO … Aky mas telefon a lockscreen? Pripadne cez ake kombinacie sa Ti to podarilo obist?
                      jozef

                      nevadiii | 20.2.2012 @ 16:18 | 193.165.208.xxx

                      • to Honza:
                        Tak samozřejmě bych rád vyzkoušel, ale když mi to tu na mém Nexusu píše, že jediná možnost jak se šifrování zbavit je formát telefonu – tovární nastavení. Tak se radši zeptám jak se věci mají… líná huba, holé neštěstí.
                        viz. http://androidforum.cz/post296174.html?hilit=%C5%A1ifrov%C3%A1n%C3%AD#p296174 též žádná odpověd.

                        Ghull | 20.2.2012 @ 17:19 | 82.113.48.xxx

                        • S rootnutou ROMkou může být Android méně chráněn (hlavně dle toho, co si tam pod rootem nainstalujete), ale s neoriginální romkou můžou být data i účty v nebezpečí mnohem více. Pokud mám romku od nějakého XYZDEV tak klidně můžu čekat, že v jádře, ovladačích, knihovnách, v systémových aplikacích nebo i na vrstvě Androidu může být špatný kód. A to je kámen úrazu – například v Marketu si kupujete aplikace – to znamená, že máte v Google (Wallet) zaregistrovánu vaši bankovní kartu či PayPal, a už ji kdosi cizí má taky… Dále facebook a twitter hesla, taky IMAP, POP3, SMTP hesla od vašich mail boxů. Nebo hesla z browserů. To vše se dá odchytávat i třeba až na TCP/IP stacku nebo už dříve, když dotyčný má operační systém a knihovny pod kontrolou.
                          Jasný, na druhou stranu výrobci jsou zkostnatělí a dodávají firmware jak rohlíky na severní pól… Vybrat si mezi pohodlím (vzhledem, rychlostí, novýma funkcema) a bezpečím (originální firmware) si musí každý sám. Jistě, že originální firmware může taky obsahovat různé díry, ale určitě ne s cílem obrat zákazníka o cenná data, jako nějaký „open develák“? :)

                          SP | 21.2.2012 @ 16:36 | 160.218.43.xxx

                          • U neorig ROMky je vetsi sance, ze nebude obsahovat implantovane blechy od vyrobce – viz.CarrierIQ ;-)

                            Jarda | 24.2.2012 @ 15:27 | 217.77.161.xxx

                          RSS komentářů k tomuto příspěvku. TrackBack URL

                          Napsat komentář

                          Pokud se váš komentář nezobrazí ihned po jeho odeslání, kontaktujte nás prosím na info@svetandroida.cz (může za to filtr proti spamu).