Видео: Настя и сборник весёлых историй (Октября 2024)
На конференции RSA ведущий инженер Google по безопасности Android Адриан Людвиг представил философию компании по защите своей мобильной платформы. Это типичный подход Google, который основан на сборе данных и создании сервисов. Но в то же время, похоже, это противоречит обычной безопасности мобильных устройств.
Невидимая безопасность
Несколько раз во время разговора Людвиг возвращался к идее тонкой безопасности. «Эффективная и невидимая безопасность вызывает спокойствие», - сказал он. Цель состояла в том, чтобы пользователь мог взаимодействовать со своим телефоном, планшетом или другим устройством под управлением Android без проблем с безопасностью. «Не труба безопасности не означает, что ее там нет», - сказал Людвиг. «Это значит, что это работает».
По его словам, этот подход заметно отличается от подхода индустрии безопасности в целом, которая в значительной степени опирается на «театр безопасности». Для него это означает приложения, которые громко заявляют, насколько они вас защищают. «В основном безопасность - это продажа вам большей безопасности», - сказал Людвиг в удивительно откровенном заявлении на конференции, которая обслуживает охранные компании.
Разрешения были заметным исключением. «Это единственное место, где мы явно говорим о безопасности пользователя», - сказал он. Они определяют, что приложение может и не может получить к нему доступ, и мы рекомендуем читателям внимательно посмотреть на них, чтобы принять правильное решение о том, что они загружают. Людвиг сказал, что это не было намерением. «Думали ли мы, что люди будут принимать умные решения каждый раз? Помните, мы видим, что люди ищут каждый день», - добавил он с иронией. Далее он сказал, что разрешения существуют не столько для пользователей, сколько для того, чтобы помочь разработчикам принимать правильные решения "большую часть времени".
Это согласуется с еще одним удивительным заявлением Людвига: он видит в Android не операционную систему, а скорее платформу для разработки. «[Android] был набором API, предназначенным для создания мощных приложений», - сказал он. «Мы предоставляем услуги в виде приложений».
Что предоставляет Google
В то время как Людвиг провел некоторое время, обсуждая, как основы Android сделали платформу безопасной - в том числе благодаря АНБ для SC Linux - он также коснулся более заметных сервисов Google. Например, он утверждал, что усилия Google по обнаружению вредоносного ПО в Google Play превосходят усилия всей AV-индустрии. Хотя он признал, что это не было непогрешимым.
В дополнение к другому очевидному инструменту, такому как диспетчер устройств Android, Людвиг указал на сервис Google Verified Apps, который обеспечивает некоторую защиту пользователям, устанавливающим приложения за пределами магазина Play. «Вы, вероятно, имеете это в своем телефоне и не знаете этого, потому что так мы катимся», - сказал Людвиг.
Есть также Android Safety Net, который, по словам Людвига, расширил защиту в реальном времени для самих устройств. Это ищет потенциальные злоупотребления, такие как частые запросы на отправку SMS-сообщений премиум-класса - обычная тактика, используемая для монетизации вредоносных приложений.
«Я должен был бы предположить, что это самое крупное развертывание служб безопасности в мире», - сказал Людвиг.
Разнообразие и открытость это хорошо
Android известен как открытая платформа, и Людвиг сказал, что этот подход предоставляет бесценные данные о хороших актерах, плохих актерах и нормальном поведении на мобильных устройствах. «По мере того, как мир становится все более интерактивным, и все больше и больше данных передается туда и обратно, безопасность фактически улучшается». Людвиг считает, что это сильно отличается от устоявшихся стратегий безопасности, которые, по его словам, зависят от изоляции.
Открытость означала фрагментированность Android, но Людвиг, казалось, предположил, что это разнообразие было хорошо. Огромное разнообразие аппаратного и программного обеспечения Android означает, что гораздо сложнее воздействовать на все устройства. «Один мастер золота с ошибкой затрагивает сотни миллионов пользователей», - сказал он. «Не существует единого золотого мастера [для Android], каждое устройство построено из разных источников».
Открытость также дала охранным компаниям место на Android. «Мы не помешали им работать на нашей платформе», - сказал он, без сомнения, делая удар в Apple. Вместо этого Людвиг сказал, что Google приветствовал охранные компании, а Android получил выгоду от их работы.
Открытость также облегчает академические исследования в растущей области мобильной безопасности. «Мобильная безопасность - это эвфемизм для безопасности Android», - сказал Людвиг. «Все статьи посвящены безопасности Android, потому что это единственное место, где [исследователи] имеют доступ к мобильным устройствам».
Это работает?
Чтобы продемонстрировать эффективность подхода Google к безопасности, Людвиг пробежался по временной шкале эксплойта Masterkey, о котором внимательные читатели SecurityWatch вспомнят прошлым летом. Он сказал, что Google смог быстро определить, что таких подвигов в магазине Play нет, когда им сообщили, что он существует. Более того, после того, как исследователи Bluebox, обнаружившие эксплойт, публично опубликовали свои данные, Google, по-видимому, отслеживал только восемь попыток на миллион установок.
Людвиг придерживался аналогичного взгляда на вредоносное ПО для Android в целом, которое, как сообщалось, находится на подъеме. Он объяснил это скорее быстрым распространением Android-устройств, и данные, которые он представил, показали сравнительно небольшую долю вредоносного ПО в огромной вселенной Android. «Вы получаете невероятные заголовки, практически ни на кого не влияющие».
Надо сказать, что до сих пор Google проделал потрясающую работу по управлению безопасностью Android - особенно учитывая, как смартфоны ворвались на сцену и стали доминировать в современных вычислениях. Тем не менее, все еще существуют серьезные проблемы, требующие решения в будущем, такие как утечка приложений и защита личных данных.
С точки зрения Google, Android сбалансировал безопасность с грацией. Поддержание этого баланса, вероятно, будет таким, как оценивается Android по мере его развития.
