Menu

Šest rad bezpečnostních expertů pro vyšší bezpečnost zařízení s Androidem

Na serveru SecurityWatch vyšel článek, přinášející doporučená nastavení, která by měla zvýšit bezpečnost telefonů s Androidem.

Autor vychází z bezpečností chyby v Google Wallet (informovali jsme postupně zde, zde a zde), která umožňovala získat přístup k předplaceným platebním kartám. Google sice chybu opravil, nicméně její podstata stále přetrvává, ačkoli aplikace Wallet je sama o sobě bezpečnější.

Jak jsme psali ve čtvrtek: “Společnost Zvelo, jejíž vedoucí systémový inženýr Joshua Rubin upozornil na jednu z bezpečnostních chyb,… … Poukazuje na fakt, že nejnovější verze Androidu pro Samsung Galaxy Nexus 4.0.2 (ICL53F) používá linuxové jádro 3.0.8-gaaa2611, obsahující známou chybu CVE-2012-0056, která dovoluje škodlivé aplikaci získat práva roota.” Právě tohoto nebezpečí se týkají následující doporučení:

  1. Aktivujte zámek obrazovky – tuto možnost najdete v Nastavení-Informace o poloze a zabezpečení-Nastavit zámek displeje. Nepoužívejte pouze odemykání posuvníky, ale např. “Face Unlock,” ochranu nakreslením vzoru, PINem, nebo heslem. Tím zvýšíte fyzickou bezpečnost zařízení.
  2. Zakažte ladění USB – tuto volbu najdete v Nastavení-Aplikace-Rozvoj/Vývoj-Ladění USB (zatržítko by mělo být neaktivní).
  3. Povolte šifrování – v menu Nastavení-Informace o poloze a zabezpečení-Full Disk Encryption. Tato volba není dostupná na všech telefonech.
  4. Udržujte své zařízení aktuální – ujistěte se, že používáte poslední vydaný oficiální firmware. V tomto jste, bohužel, do značné míry odkázáni na operátora a/nebo výrobce mobilního telefonu. V momentě, kdy budete vyzváni k upgradu operačního systému, neváhejte a učiňte tak. Použití oficiálního software a aktualizace firmware zařízení je nejlepší způsob, jak minimalizovat rizika a celkově zvýšit bezpečnost.
  5. Používejte pouze oficiální zdroje software. Pomocí škodlivé aplikace může útočník například odhalit PIN a zaznamenávat osobní údaje. Nejvíce škodlivých aplikací je přitom distribuováno prostřednictvím pochybných čínských a ruských “Marketů.”
  6. Vždy čtěte, jaká oprávnění instalovaná či aktualizovaná aplikace vyžaduje! Škodlivé aplikace obvykle poznáte podle neobvyklých požadavků.

Zdroj: SecurityWatch.

Komentáře

renoar

renoar

20.2.2012 13:48

sbírejte hovínka po svém pejskovi
třiďte odpad
nechoďte po trávě
přecházejte pouze po přechodu
nekuřte
nepijte
nesázejte
a hlavně, čtěte si všeobecné podmínky,že?

Sir Sprice

Sir Sprice

20.2.2012 13:58

Jasně, kůli bezpečnosti nebudeme nahrávat custom ROMky.. hovadina

Ghull

Ghull

20.2.2012 14:37

A co poté rychlost telefonu po zašifrování všech dat? Při šifrování na PC pomocí TrueCrypt apod. dojde k jisté ztrátě přenosové rychlosti, né výrazné, ale je tam.

Uni

Uni

20.2.2012 14:44

Heh, z pohledu iOS:)
1) samozřejmě, to by měl každý
2) neřeší
3) automaticky se děje
4) Jednoduchá aktualizace na “1 klik”, výrobce vydává aktualizace s ohrožením bezpečnosti prakticky okamžitě
5) automaticky se děje (App Store)
6) řeší Apple sám před vystavením aplikace

Rada, nepoužívat neorig. FW je samozřejmě směšná, díky svému vývoji je daleko bezpečnější než neaktualizovaný původní FW.

PhobiaCZ

PhobiaCZ

20.2.2012 14:53

S tím šifrováním mě to zajímá. Jak dlouho to vůbec trvá?

Nevim

Nevim

20.2.2012 14:58

@Ghull – šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval – třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat.

@bod6 – takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu mě asi Vibrátor potřebuje identifikovat?

Mem

Roman Nepšinský 0

20.2.2012 15:00

ad 1) A existuje pro telefony s Androidem nějaký lockscreenem, který by nešel obejít např. podržením tlačítka atd.? Pár jsem jich zkoušel kvůli dětem a vždycky se šlo dostat do telefonu kvůli nouzovým voláním

xtec

xtec

20.2.2012 15:56

Zdravim,
mam SGS2 a ted v telefonu mam ROMku od MIUI 2.3.7 od xda.developers, mel bych se obavat neceho vazneho ? Da se jim verit?

Videl jsem na forech,ze tuhle, tyhle ROMky bezne pouzivaji tisice lidi, tak snad je to bezpecne.

diky

Honza

Honza

20.2.2012 16:14

@Ghull – šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval – třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat.

@bod6 – takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu asi tak potřebuje Vibrátor znát IMEI mého telefonu? Takovou aplikaci si autore strč do …. :-)

nevadiii

nevadiii

20.2.2012 16:18

2:Roman N
Nooo ja pouzivam klasiku, kreslenie vzoru a nepodarilo sa mi cez emergency do telefonu nijako dostat. Nech som tam stlacal hociake kombinacie, tak ma to vratilo prinajlepsom spet na zadanie vzoru. LG OO … Aky mas telefon a lockscreen? Pripadne cez ake kombinacie sa Ti to podarilo obist?
jozef

Ghull

Ghull

20.2.2012 17:19

to Honza:
Tak samozřejmě bych rád vyzkoušel, ale když mi to tu na mém Nexusu píše, že jediná možnost jak se šifrování zbavit je formát telefonu – tovární nastavení. Tak se radši zeptám jak se věci mají… líná huba, holé neštěstí.
viz. http://androidforum.cz/post296174.html?hilit=%C5%A1ifrov%C3%A1n%C3%AD#p296174 též žádná odpověd.

SP

SP

21.2.2012 16:36

S rootnutou ROMkou může být Android méně chráněn (hlavně dle toho, co si tam pod rootem nainstalujete), ale s neoriginální romkou můžou být data i účty v nebezpečí mnohem více. Pokud mám romku od nějakého XYZDEV tak klidně můžu čekat, že v jádře, ovladačích, knihovnách, v systémových aplikacích nebo i na vrstvě Androidu může být špatný kód. A to je kámen úrazu – například v Marketu si kupujete aplikace – to znamená, že máte v Google (Wallet) zaregistrovánu vaši bankovní kartu či PayPal, a už ji kdosi cizí má taky… Dále facebook a twitter hesla, taky IMAP, POP3, SMTP hesla od vašich mail boxů. Nebo hesla z browserů. To vše se dá odchytávat i třeba až na TCP/IP stacku nebo už dříve, když dotyčný má operační systém a knihovny pod kontrolou.
Jasný, na druhou stranu výrobci jsou zkostnatělí a dodávají firmware jak rohlíky na severní pól… Vybrat si mezi pohodlím (vzhledem, rychlostí, novýma funkcema) a bezpečím (originální firmware) si musí každý sám. Jistě, že originální firmware může taky obsahovat různé díry, ale určitě ne s cílem obrat zákazníka o cenná data, jako nějaký “open develák”? :)

Jarda

Jarda

24.2.2012 15:27

U neorig ROMky je vetsi sance, ze nebude obsahovat implantovane blechy od vyrobce – viz.CarrierIQ ;-)

RSS (komentáře k článku)