Telefoner kan ikke klareres, sikkerhetsbehovet er rot i mobil

ViaForensics administrerende direktør Andrew Hoog visste at han ville snu noen hoder med en sesjon på RSAC 2014 med tittelen "Hvorfor mobil bør slutte å bekymre seg og lære å elske roten." Selv om rot er noe av et skittent ord på mobile enheter, mener Hoog at vår tillit til mobiltelefoner er grunnløs. Hvis vi ønsker å bli seriøse med mobilsikkerhet, sier Hoog at den kraftige rottilgangen må være mer tilgjengelig.

Race to Root

Et av Hoogs sentrale argumenter er "race to root", så navngitt fordi kreftene gitt av root access betyr at den som har det først vinner. Fra denne privilegerte stillingen, sa Hoog, kan du stenge alt og alle andre ute. "Root, " sa Hoog, "gir deg absolutt alt."

Rent praktisk betyr dette muligheten til å endre operativsystemet, installere programvare, bryte ut av sandboksede miljøer, ignorere filtillatelser og så videre. Du kan se hvordan dette kan være verdifullt for en angriper som er målrettet mot en bestemt telefon, som er nøyaktig scenariet som angår Hoog.

Problemet, sier han, er at begrensningene til mobile enheter skaper en ujevn slagmark. "Folk som er rettet mot deg, de kan få rot, " sa Hoog. "Vi har gitt fordelen alle fordelene, og vi er innelåst."

Spørsmålet om økt brukerprivilegium er spesielt omstridt på iOS-enheter fordi Apple aktivt jobber for å forhindre at folk fanger jailbreaking og får større tilgang. Brukere som ønsker å ha den slags privilegier, er låst fra oppdateringer og må vente i lange perioder før nye rooting-verktøy er tilgjengelige. "Når skurkene får rot, beholder de det, " sa Hoog. "Eller så selger de det for en halv million dollar."

Hvem skal stole på?

Forbrukerens smarttelefonmodell krever ingen liten mengde tro, i Hoogs øyne. "Fordi vi ikke har rot på disse enhetene, må du bare stole på dem, " sa han. Tanken er at personene som administrerer operativsystemer skal gjøre sitt beste, og utviklerne vil følge etter.

Selvfølgelig utgjør dette ikke skadelig programvare, men Hoog var utvetydig: "lette apper er større enn skadelig programvare." Ifølge viaForensics utviser 75 prosent av alle iPhone-apper og 60 prosent av Android-apper en slags risikofylt oppførsel. Mer urovekkende suger 25 til 30 prosent av mobilappene brukerinformasjon fra brukernes telefoner og sender dem andre steder - lekker den som den var.

Å se på tillatelser alene kan ikke gi denne typen innsikt, og det er grunnen til at viaForensics opprettet viaProtect. Dette er en gratis applikasjon for iPhone og Android som kan spore alle slags appaktiviteter på telefonen din. Du kan bruke det og et webgrensesnitt til å se nærmere på og se nettverkstrafikken generert av apper, hvor trafikken går, og om den er sikret. Du vil sannsynligvis ikke bli overrasket over at mye av det ikke er sikret i det hele tatt.

Det er rare avvik også. Som et eksempel viste Hoog flere tilkoblinger fra tilgang til rotnivå på enheten utenfor kryptering fra en lager Android-telefon. "Det er prosesser installert av, av Apple og av Google som har rettigheter og tilgang på enheten din, og de lekker hele tiden, " sa Hoog.

Rotet i sikkerhet

Ved å åpne for root-tilgang på enheter sa Hoog at sikkerhetsselskaper kunne gjøre mer for å beskytte enheter. I et bedriftsscenario foreslo Hoog for eksempel at kontrollert rottilgang kunne tillate selskaper å bedre politisere Android-enhetene sine.

Han sa også at Apple burde gi utviklertelefoner med alle rettigheter aktivert, på lik linje med Google. Hoog sa at iOS-sikkerheten har ikke blitt hengende bare på grunn av begrensninger på enheten, men fordi forskere må bruke tiden sin på å finne måter å forkaste enhetene sine på. "Vi må spille dette spillet med Apple, og det vi ikke kan gjøre er å finne ut hva som skjer, " sa han.

Men for enkeltpersoner er saken vanskeligere. Hoog sa at han personlig er villig til å akseptere risikoen ved en forankret enhet. "Jeg skal faktisk beskytte meg ti ganger bedre, fordi jeg faktisk vil ha privilegier på enheten, " sa han. Men jeg tror ikke den gjennomsnittlige brukeren er så kyndig. Selv om rottilgang kan gi større krefter til sikkerhetsapper, vet jeg bare en i Android-appbutikken: Editors 'Choice avast! Mobilsikkerhet og antivirus.

Jeg tror at det er mye verdi i tjenester som viaProtect, som går mye lenger enn de eksisterende systemene med tillatelser på Android og iOS. Hoog antydet at bevæpnet med mer kunnskap, brukere bare kunne laste ned en annen app fra app-butikken som ikke lekker informasjonen deres.

Det er ikke en flott løsning, men det er langt, langt bedre enn apper som opererer i klarert mørke.