Android største sikkerhetstrussel: os fragmentering

Med mindre du har kjøpt telefonen eller nettbrettet nylig, er oddsen stor for at Android-enheten din kjører en utdatert versjon av operativsystemet, noe som utsetter deg for alvorlige sikkerhetsrisikoer.

De siste dataene fra Google viser at 44 prosent av Android-brukerne fortsatt er på "Pepperkaker", eller versjoner 2.3.3 til 2.3.7, som ble utgitt for to år siden. Pepperkaker har en rekke sikkerhetsproblemer som er fikset i senere versjoner. Oppdelingsdataene for OS er basert på statistikk samlet fra Android-enheter som kobles til Google Play fra 22. februar til 4. mars.

Bare 16 prosent av Android-enhetene kjører versjon 4.1 eller 4.2 av det mobile operativsystemet, ifølge Google. Også kjent som "Jelly Bean", den siste Android-versjonen ble utgitt for et halvt år siden, men et flertall Android-brukere har ikke klart å oppgradere til det nye operativsystemet fordi prosessen er tett kontrollert av transportørene.

"Problemet med Android er at folk flest har gamle versjoner på telefonen, " sa Collin Mulliner, en postdoktorforsker med SECLAB ved Northeastern University i Boston, under en mobil sikkerhetspaneldiskusjon på RSA-konferansen forrige måned.

På vårt toppmøte i SecurityWatch i fjor høst bemerket Dan Guido, administrerende direktør og medgründer av Trail of Bits, at flertallet av iOS-enheter er oppdatert i løpet av uker, ikke dager, etter at Apple ga ut det nye operativsystemet.

Mobiloperatører forsinker seg etter oppdateringer

"En av de viktigste tingene innen programvaresikkerhet i dag er muligheten til ekstern oppdatering, " sa Mulliner på panelet. Mens brukere kan starte operativsystemoppdateringen på egenhånd for iPhones og iPads, Android, kontrollerer mobiloperatører hele prosessen for Android-enheter. For øyeblikket er deres kollektive rekord for å presse ut oppdateringer for brukere helt dystre.

Problemet er at Android's åpne plattform lar enhetsprodusenter og transportører finjustere operativsystemet for å pakke sammen ekstra programvare og angi visse konfigurasjonsinnstillinger. Hver gang Google slipper en oppdatering av operativsystemet, må både leverandøren og transportørene teste endringene mot hjemmebryggingssystemene sine før de lanserer den siste versjonen. Bærerne hevder at dette er en langsom prosess, men mange sikkerhetseksperter mener transportører prioriterer profitt fremfor sikkerhet.

Noen telefoner får bare ikke den siste Android-oppdateringen fordi de fases ut eller er eldre modeller, sa Chris Soghoian, personvernforsker og aktivist, ved en annen hendelse tidligere i år. Produsenter fokuserer sin innsats på enheter som for øyeblikket er til salgs og kommer til markedet, og trådløse transportører "bare bryr seg om deg en gang hvert annet år" når brukerkontrakten er i gang med fornyelse, sa Soghoian. En LG Android-smarttelefon fikk for eksempel ikke sin første OS-oppdatering på 16 måneder, og mange telefoner får aldri den første oppdateringen, enn si en annen.

Tatt i betraktning at Google har presset ut en ny versjon omtrent hvert halvår, er det lett å se hvor raskt brukere kan bli utdaterte.

Et driv-by-angrep, der brukeren blir kompromittert bare ved å besøke et ondsinnet nettsted, er ikke den største trusselen som Android-brukere står overfor, sa Charlie Miller, en forsker som er kjent for sitt arbeid med iOS og Android-sikkerhet, under samme panel på RSA-konferansen.

"Folk tror at drive-by er en stor trussel, men i det virkelige livet skjer de bare ikke, " sa Miller. Når det gjelder Android, er den største risikoen brukere står overfor at enhetene deres kjører utdaterte og uoppdaterte versjoner av operativsystemet, sa han. De siste versjonene av Android har sikkerhetsoppdateringer og forbedrede utnyttelsesreduksjoner.

Cyber-kriminelle vet at brukere kjører sårbare operativsystemer. Alt kriminelle må gjøre er å gi ut en ondsinnet app som utnytter en sårbarhet i en gammel versjon av Android, og treffer en betydelig del av brukerbasen.

Som Soghoian påpekte tidligere, "Du trenger ikke en null-dag for å angripe de fleste Android-enheter hvis forbrukerne bruker 13 måneder gammel programvare."

Dessverre er det sannsynlig at denne situasjonen ikke vil endre seg med mindre transportører begynner å ta sikkerhet på alvor, eller Google bryter kontrollen over oppdateringsprosessen bort fra transportørene. Den mest sikre Android-enheten rundt er Nexus 4-smarttelefonen fra Google, da selskapet har full kontroll over oppdateringene.