Kitk Android blokuje rootkity, ale za akú cenu?

Spoločnosť Google zvýšila bezpečnosť v systéme Android 4.4, KitKat, aby zabránila malvéru v preberaní používateľských zariadení, ale niektoré z týchto zmien môžu predstavovať problémy pre používateľov, ktorí radi ovládajú svoj vlastný bezpečnostný osud.

Kombinácia dvoch bezpečnostných funkcií v KitKat bude blokovať škodlivé aplikácie v získavaní prístupu root cez zariadenie, uviedol Bogdan Botezatu, hlavný analytik hrozieb v rumunskej bezpečnostnej spoločnosti BitDefender. Vo svojej analýze systému Android KitKat zistil, že tieto funkcie používateľom tiež zrejme sťažia načítanie vlastného firmvéru na najnovšie zariadenia.

Používatelia musia v súčasnosti získať root, aby mohli spustiť zavádzač zálohy a nainštalovať vlastnú ROM, napríklad CyanogenMod alebo Paranoid Android. Dokonca aj americká armáda údajne používa vlastnú tvrdenú verziu systému Android na telefónoch nasadených pre svojich zamestnancov.

„Z hľadiska bezpečnosti sú nové funkcie absolútne nevyhnutné. Pre používateľov, ktorí sa snažia aktualizovať svoje zariadenia sami, tieto nové funkcie robia veci náročnými, “ uviedol Botezatu.

Už žiadny koreň

Android 4.4 je dodávaný s mapou zariadenia-mapper-verity, (dm-verity) voliteľnou funkciou „experimentálneho“ overenia zavedenia v jadre operačného systému. „Pomáha predchádzať pretrvávajúcim rootkitom, ktoré môžu držať privilégiá typu root a ohrozovať zariadenia, “ uviedla spoločnosť Google v zdrojových dokumentoch vydaných minulý týždeň.

V podstate dm-verity zistí, kedy má program vyššie oprávnenia, ako by mal byť povolený, a overí legitimitu programu kontrolou kryptografického podpisu. Ak program nie je správne podpísaný, dm-verity môže zablokovať zlú aplikáciu v pokuse získať prístup root, uviedol Botezatu.

Android KitKat je tiež dodávaný s vylepšenou verziou SELinuxu alebo Linuxom so zvýšenou bezpečnosťou. SELinux bol prvýkrát pridaný do systému Android vo verzii 4.3 (Jelly Bean), ale používal sa iba na zaznamenávanie všetkých pokusov o eskaláciu privilégií, uviedol Botezatu. V 4.4 je SELinux v „vynútiteľnom“ režime a môže skutočne blokovať útoky s eskaláciou privilégií, ako je napríklad aplikácia, ktorá sa snaží získať na zariadení oprávnenia typu root.

Kombinácia dm-verity a SELinux je dobrá správa pre blokovanie škodlivého softvéru na zariadeniach s Androidom, ale tiež to znamená, že používatelia, ktorí sa pokúšajú nainštalovať vlastný firmvér na nové zariadenia KitKat, ktoré sa objavujú na obzore, budú tiež blokované, uviedol Botezatu. Je na výrobcovi mikrotelefónu, aby rozhodol, ktoré zariadenia budú obsahovať zablokovaný zavádzač, poznamenal.

Problém s aktualizáciou systému Android

Skutočnosť, že používatelia nebudú môcť na zariadeniach KitKat vykonávať svoje vlastné aktualizácie firmvéru, znie ako obmedzený problém, ktorý ovplyvňuje iba tých najťažších používateľov systému Android. Väčšou otázkou však je, či výrobcovia a prepravcovia začnú robiť lepšiu prácu pri tlačení aktualizácií, uviedol Botezatu. V súčasnosti majú dopravcovia a výrobcovia veľmi zlé záznamy o tlačení aktualizácií na existujúce telefóny. Gingerbread alebo Android 2.3, ktorý bol uvedený na trh pred tromi rokmi, stále používa viac ako 25 percent zariadení.

V tomto okamihu môžu používatelia, ktorí majú obavy o svoju bezpečnosť, vziať svoje staršie telefóny, stále funkčné a použiteľné, a inovovať na novšie verzie systému Android. Ak si používateľ zakúpi nové zariadenie KitKat s uzamknutým zavádzačom, potom už nemá možnosť aktualizovať firmvér na budúce verzie systému Android alebo sám opravovať chyby, uviedol Botezatu. Dopravcovia a výrobcovia musia urýchliť a začať robiť lepšiu prácu tým, že budú tlačiť aktualizácie a budú naďalej podporovať telefóny oveľa dlhšie, ako v súčasnosti.

Ak súčasný systém bez aktualizácií pokračuje, používatelia, ktorí by inak aktualizovali samotné zariadenia, sú nútení kupovať nové zariadenia každý rok, aby zostali v bezpečí, varoval Botezatu.

Google zvýši?

Možno to nebude problém, pretože spoločnosť Google prevezme proces aktualizácie. To by bol jeden smer, ktorým by spoločnosť Google mohla smerovať pri svojom rozhodnutí oddeliť základné aplikácie a funkcie knižníc od zvyšku operačného systému. Vo verzii 4.4 spoločnosť Google rozdelila softvérový balík vyššej úrovne z kódu, ktorý je v rozhraní s hardvérom nižšej úrovne. Týmto spôsobom môže spoločnosť Google teraz zavádzať zmeny vo svojich základných aplikáciách a mnohých funkciách knižnice systému Android priamo pre používateľov.

Je možné, že spoločnosť Google bude schopná čiastočne obísť dopravcov a výrobcov a tlačiť kritické opravy zabezpečenia priamo na používateľov, aj keď ich operačný systém nedostane úplné aktualizácie. Je potrebné dohliadať na to, čo bude Google robiť ďalej.

Zariadenia Nexus nemajú uzamknutý zavádzač, povedal Botezatu. Na základe jeho analýzy by používatelia stále mohli flashovať zariadenia Nexus a inštalovať vlastný firmvér pre Android, uviedol. V takom prípade môže byť dôvodom, prečo by ste mali zvážiť získanie zariadenia Nexus 5, skutočnosť, že svoje zariadenie s Androidom dokážete do budúcnosti.