ความปลอดภัยของ Android - คำถาม & คำตอบกับ adrian ludwig ของ Google

เราได้พูดคุยกันมากเกี่ยวกับความปลอดภัยบนอุปกรณ์ Android ของคุณเมื่อไม่นานมานี้และเมื่อการสนทนาดำเนินต่อไปมันก็ชัดเจนว่ามีคำถามที่บุคคลผู้มีอำนาจมากขึ้นต้องตอบคำถาม สิ่งต่าง ๆ เช่นว่าคุณต้องการซอฟต์แวร์ป้องกันไวรัสสำหรับโทรศัพท์ของคุณระบุมัลแวร์และให้แน่ใจว่าอุปกรณ์ของคุณปลอดภัยผ่านการใช้งานประจำวันเป็นหัวข้อที่กลายเป็นโคลนโดยไม่จำเป็น ในขณะที่เราสามารถกล่าวโทษได้ในบทความที่ไม่มีที่สิ้นสุดซึ่งดูเหมือนจะบอกเราเกี่ยวกับซอฟท์แวร์ทั้งหมดที่ทำขึ้นเพื่อใช้ประโยชน์จากผู้ใช้ Android แต่ก็มีคำถามที่ถูกต้องตามกฎหมายเกี่ยวกับความปลอดภัยของ Android ที่ไม่มีธรรมดา คำตอบ

เพื่อช่วยจัดการเรื่องนี้เราได้ไปยังแหล่งที่มาโดยตรง Adrian Ludwig วิศวกรหลักด้านความปลอดภัยของ Android ที่ Google ใช้เวลาสักครู่ผ่านทางอีเมลเพื่อให้คำตอบที่เรากำลังมองหา

: ความปลอดภัยของ Android - คำถาม & คำตอบกับ Adrian Ludwig ของ Google

บทบาทของ Google

ถาม: Google พยายามปกป้องผู้ใช้ Android ของตนจากอะไร

ลุดวิก: เราออกแบบ Android โดยใช้การรักษาความปลอดภัยหลายชั้น - เริ่มต้นด้วยคุณสมบัติฮาร์ดแวร์ของอุปกรณ์ (Trustzone, NX) ผ่านระบบปฏิบัติการ (Application Sandbox, SELinux, ASLR) และแอปพลิเคชันและบริการที่ Google มีให้ (Google Play, Device Manager ยืนยันแอพ ฯลฯ) นอกจากนี้เรายังสนับสนุนนวัตกรรมความปลอดภัยด้วยการทำให้บุคคลที่สามสามารถให้บริการโซลูชั่นความปลอดภัย

ภัยคุกคามความปลอดภัยที่เร่งด่วนที่สุดที่เผชิญกับอุปกรณ์พกพาในปัจจุบัน ได้แก่: 1. อุปกรณ์ที่สูญหายและถูกขโมย (ซึ่งเราให้การปกป้องเช่นล็อคหน้าจอการเข้ารหัสอุปกรณ์และตัวจัดการอุปกรณ์ Android) 2. การโจมตีในระดับเครือข่าย (ซึ่ง Android ให้บริการการเข้ารหัส พื้นผิวการโจมตีเพียงเล็กน้อยโดยไม่มีบริการฟังเป็นค่าเริ่มต้น 3. แอปพลิเคชั่นที่อาจเป็นอันตราย (ซึ่งเป็นแอปพลิเคชัน Android ที่แซนด์บ็อกซ์รีวิว Google Play แอปพลิเคชันและตรวจสอบแอปทั้งหมดได้รับการออกแบบ)

เมื่อเราได้ยินเกี่ยวกับภัยคุกคามที่อาจเกิดขึ้นใหม่เราเริ่มรวมสิ่งนั้นเข้ากับแผนการและการออกแบบในอนาคตของเรา

นโยบายการสนับสนุน

ถาม: Google ให้การสนับสนุนสิ่งต่าง ๆ เช่นช่องโหว่ความปลอดภัยที่ค้นพบในระบบปฏิบัติการเป็นเวลานานเท่าใด

ลุดวิก: แนวทางของเราในการสนับสนุนนโยบายความปลอดภัยของ Android คือการให้บริการอัปเดตทุกที่ที่เราเชื่อว่าพวกเขาจะถูกส่งมอบให้กับผู้ใช้และปรับปรุงความปลอดภัย ในทางปฏิบัติหมายความว่าเราให้การสนับสนุนหลายประเภทสำหรับปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น:

1. หากสามารถแก้ไขปัญหาได้ด้วยการอัปเดต Chrome, Gmail, Google Play หรือแอปพลิเคชัน Google จำนวนใด ๆ - เราจะแก้ไขปัญหาในลักษณะที่กลับไปเป็นเวอร์ชั่น Android ทั้งหมดที่แต่ละแอปพลิเคชันพร้อมใช้งาน
2. อุปกรณ์ Google Nexus และอุปกรณ์รุ่น Google Play ได้รับการอัปเดตความปลอดภัยเป็นประจำอย่างสม่ำเสมอ
3. เราให้บริการแพตช์สำหรับสาขาปัจจุบันของ Android ใน Android Open Source Project (AOSP) และให้พันธมิตรโดยตรงกับแพทช์ Android อย่างน้อยสองเวอร์ชันสุดท้ายที่สำคัญของระบบปฏิบัติการ ขณะนี้เรากำลังเสนอ backport สำหรับปัญหาด้านความปลอดภัยที่ครอบคลุม Android 4.3 ขึ้นไป WebKit บน Android 4.3 เป็นข้อยกเว้นหนึ่งข้อ ได้รับการสนับสนุนบน Android 4.4 และสูงกว่าเป็นการอัพเดทไบนารี่ อย่างไรก็ตามเมื่อ OEM ร้องขอความช่วยเหลือในการพัฒนาแพตช์สำหรับอุปกรณ์ที่ใช้แพลตฟอร์มเวอร์ชันเก่ากว่าและพวกเขาตกลงที่จะส่งแพตช์นั้นเป็น OTA ไปยังอุปกรณ์เราจะให้ความช่วยเหลือแก่พวกเขา
4. หากเป็นไปได้เรายังอัปเดตบริการความปลอดภัยของ Google สำหรับ Android เพื่อให้การป้องกันเพิ่มเติมสำหรับอุปกรณ์ Android ทุกประเภทไม่ว่าจะได้รับการสนับสนุนจาก OEM หรือไม่ก็ตาม ซึ่งรวมถึงการตรวจสอบแอพพลิเคชันที่อาจเป็นอันตรายและพฤติกรรมความปลอดภัยอื่น
5. เรายังให้ข้อมูลและเครื่องมือสำหรับนักพัฒนาแอปพลิเคชันเพื่อให้แน่ใจว่าแอปพลิเคชันของพวกเขาได้รับการปกป้องจากปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น ซึ่งรวมถึงการให้บริการ API ภายใน Google Play Services เช่นผู้ให้บริการความปลอดภัยที่สามารถอัปเดตได้ซึ่ง Google สามารถอัปเดตได้โดยไม่ต้องมีอุปกรณ์ OTA เรายังมีแนวทางปฏิบัติที่ดีที่สุดที่สามารถช่วยให้นักพัฒนามั่นใจได้ว่าแอปพลิเคชันของพวกเขาทำงานได้อย่างปลอดภัยบนอุปกรณ์ Android ทั้งหมดไม่ว่าพวกเขาจะยังคงได้รับการสนับสนุนจาก OEM หรือไม่ก็ตาม เมื่อเร็ว ๆ นี้เราได้เริ่มสแกนแอปพลิเคชันใน Google Play เพื่อหาช่องโหว่ด้านความปลอดภัยที่อาจเกิดขึ้นและแจ้งให้ผู้พัฒนาทราบเมื่อตรวจพบช่องโหว่ดังกล่าว
6. สุดท้าย แต่ไม่ท้ายสุดเราแบ่งปันข้อมูลเกี่ยวกับปัญหาด้านความปลอดภัย (รวมถึงข้อมูลที่เรามีเกี่ยวกับการแก้ไขและการหาประโยชน์ที่รู้จัก) กับพันธมิตร Android เพื่อให้แน่ใจว่าพวกเขาเข้าใจปัญหารวมถึงความเสี่ยงที่เกี่ยวข้องกับอุปกรณ์ที่ไม่ได้รับการอัปเดต ซึ่งรวมถึงการเพิ่มการทดสอบสำหรับปัญหาด้านความปลอดภัยที่อาจเกิดขึ้นในชุดทดสอบความเข้ากันได้เพื่อลดโอกาสที่ OEM จะจัดส่งอุปกรณ์ที่มีปัญหาด้านความปลอดภัยที่รู้จักโดยไม่ตั้งใจ

การควบคุมผู้ใช้

ถาม: ในกรณีที่แอปถูกพิจารณาว่าเป็นอันตราย แต่ไม่จำเป็นต้องเป็นอันตราย - ตัวอย่างเช่นแอพที่ส่งถาดแจ้งเตือนพร้อมโฆษณาที่ไม่ต้องการ - มีเครื่องมือใดบ้างที่สามารถช่วยเหลือผู้ใช้ได้

Ludwig: Android มอบการควบคุมให้ผู้ใช้ควบคุมประสบการณ์บนอุปกรณ์ของพวกเขา ซึ่งรวมถึงความสามารถเช่นการดูการอนุญาตของแอปพลิเคชันการกำหนดการตั้งค่าเช่นความสามารถของแอปพลิเคชันในการแสดงการแจ้งเตือนหรือความสามารถในการปิดใช้งานหรือลบแอปพลิเคชันได้ตลอดเวลา

หากการแจ้งเตือนไม่เป็นที่ต้องการผู้ใช้สามารถกดการแจ้งเตือนค้างไว้เพื่อดูว่าแอปใดผลิตออกมาจากนั้นเปลี่ยนการตั้งค่าการแจ้งเตือนของแอปพลิเคชันหรือถอนการติดตั้งแอปพลิเคชัน

ตรวจสอบความปลอดภัย

ถาม: จะเกิดอะไรขึ้นเมื่อ Google ส่งข้อความเตือนผู้ใช้แอปที่เป็นอันตรายและผู้ใช้ไม่ได้ลบแอปออกเพราะพวกเขาเลือกที่จะไม่ทำหรือข้อความถูกยกเลิกโดยไม่ตั้งใจ

ลุดวิก: มีการตรวจสอบความปลอดภัยซ้ำซ้อนหลายตัวที่ออกแบบมาเพื่อให้แน่ใจว่าแอพที่ทราบว่าอาจเป็นอันตรายจะไม่ถูกติดตั้งโดยไม่ตั้งใจ ในการตรวจสอบแต่ละครั้งผู้ใช้ส่วนใหญ่ที่ได้รับคำเตือนเกี่ยวกับแอพที่อาจเป็นอันตรายเลือกที่จะไม่ดำเนินการต่อ

นี่คือขั้นตอนสำคัญทั้งหมด:

Google ได้รวมระบบเตือนสำหรับแอพที่เป็นอันตรายที่รู้จักกันในแบ็กเอนด์ของแอพจำนวนมากของเรา ตัวอย่างเช่นเบราว์เซอร์ Chrome ที่มี Safe Browsing อาจเตือนผู้ใช้ก่อนที่จะดาวน์โหลดแอปจากเว็บไซต์ที่ดูเหมือนว่าพวกเขาอยู่ในเว็บไซต์ที่โฮสต์แอปที่อาจเป็นอันตราย

หากพวกเขาเลือกที่จะดาวน์โหลดและติดตั้งต่อไปพวกเขาจะได้รับคำเตือนเมื่อถึงเวลาติดตั้ง (รวมถึงข้อมูลอื่น ๆ เช่นการอนุญาตของแอปพลิเคชันที่สามารถช่วยพวกเขาตัดสินใจได้ว่าพวกเขาต้องการติดตั้ง)

หากพวกเขายังตัดสินใจที่จะดำเนินการติดตั้งแอปพลิเคชัน แต่ก็ยังไม่สามารถทำอะไรได้จนกว่าผู้ใช้จะตัดสินใจรันแอป ดังนั้นพวกเขาจึงมีโอกาสอีกครั้งที่จะเลือกที่จะลบแอปพลิเคชันออกไปก่อนที่จะก่อให้เกิดอันตราย

ไม่ว่าพวกเขาจะเลือกที่จะรันแอพหรือไม่หากติดตั้งในอุปกรณ์ของพวกเขาการสแกนพื้นหลังตรวจสอบแอปจะทำเครื่องหมายแอปและแจ้งเตือนอีกครั้งว่าพวกเขาลบแอพออก โดยทั่วไปคำเตือนนี้จะเกิดขึ้นประมาณสัปดาห์ละครั้ง - แม้ว่าผู้ใช้จะมีตัวเลือกที่จะพูดว่า "อย่าเตือนฉันอีกครั้ง"

แอพป้องกันไวรัส

ถาม: แอพความปลอดภัยของ บริษัท อื่นทำให้ฉันปลอดภัยยิ่งขึ้นจากแอพ Play Store ที่อาจเป็นอันตรายหรือไม่?

ลุดวิก: การป้องกันในตัวของ Google Play นั้นแข็งแกร่งมาก สำหรับผู้ใช้ที่ติดตั้งแอพนอก Google Play เราขอแนะนำอย่างยิ่งให้พวกเขาเปิดใช้งานแอพ Verify ซึ่งมีให้ในอุปกรณ์ Android ที่ใช้ Android 2.3 หรือสูงกว่า (นั่นคือมากกว่า 99 เปอร์เซ็นต์ของอุปกรณ์ Android) ที่ติดตั้ง Google Play

ในปี 2014 ตามการตรวจสอบข้อมูลแอพที่รวบรวมโดย Google และไม่สนใจแอพที่รูตที่ผู้ใช้ติดตั้งโดยตั้งใจน้อยกว่า 0.15 เปอร์เซ็นต์ของแอพพลิเคชั่นที่ติดตั้งจากนอก Google Play ไปยังอุปกรณ์ภาษาอังกฤษของสหรัฐฯ เมื่อพิจารณาถึงการป้องกันในตัวที่ได้รับจากแอปตรวจสอบและความถี่ที่ต่ำในการติดตั้ง PHA ประโยชน์ด้านความปลอดภัยที่อาจเกิดขึ้นจากโซลูชันความปลอดภัยเพิ่มเติมนั้นมีขนาดเล็กมาก

รอมที่กำหนดเอง

ถาม: คุณลักษณะด้านความปลอดภัยของ Google มีผลกับผู้ใช้ที่ติดตั้ง Android รุ่นที่สามหรือไม่ (อ่าน: ROM ที่ทำโดยชุมชน)

ลุดวิก: ใช่แล้ว ROM ของบุคคลที่สามโดยทั่วไปนั้นสร้างขึ้นบน AOSP ดังนั้นพวกเขาจึงสนับสนุน Android sandbox และส่วนใหญ่ใช้แอปพลิเคชันของ Google รวมถึงบริการรักษาความปลอดภัยของเรา

และคุณมีมัน Google ทำงานอย่างไม่น่าเชื่อเพื่อรักษาความปลอดภัยของ Android และส่วนใหญ่เตรียมไว้สำหรับสิ่งที่จะเกิดขึ้นต่อไป แต่มันจะเป็นเกมแมวและเมาส์อยู่เสมอ การรักษาอุปกรณ์ของคุณให้ปลอดภัยนั้นเป็นเรื่องเกี่ยวกับการรับรู้ว่าคุณกำลังแตะที่ใดคุณกำลังติดตั้งอะไรอยู่และแจ้งให้ทราบเท่าที่จะทำได้

อย่าลืมตรวจสอบชุดความปลอดภัยที่เหลือของเราหากคุณต้องการเรียนรู้เพิ่มเติม