211service.com
Android mobilās lietotnes nepareiza darbība
Drošības ievainojamības un spiegprogrammatūra tagad ir nopietna problēma viedtālruņu lietotājiem.
Trojas čūska: Android lietotne ar nosaukumu Tap Snake ir nevainīga spēle, taču to var izmantot, lai izsekotu nevēlamus lietotājus, izmantojot GPS. Šajā ekrānā tiek parādītas tam nepieciešamās atļaujas.
Piemēram, jūlijā Citigroup paziņoja, ka tās mobilās bankas programma iPhone tālrunim neatbilstoši saglabāja konfidenciālu informāciju, tostarp lietotāja konta numurus un PIN kodus, kas netika šifrēti slēptā failā, kuram var piekļūt citas programmas, kas darbojas lietotāja iPhone. Konta numuri un PIN tika kopēti arī lietotāja galddatorā, kad iPhone tika sinhronizēts.
Pateicoties operētājsistēmas drošības modelim, Google Android platformā situācija ir nedaudz labāka. iPhone lietojumprogrammām tiek nodrošināta pilna piekļuve katras lietotnes datiem. Taču Android lietojumprogrammām ir jānorāda, kuras atļaujas tām ir vajadzīgas. Atļaujas var ietvert iespēju piekļūt ierakstiem lietotāja adrešu grāmatā, noteikt ierīces atrašanās vietu, izmantojot GPS, un veikt tālruņa zvanus. Atļaujas atrodas īpašā failā un tiek parādītas, kad lietojumprogramma ir instalēta; tie ir redzami arī Android lietojumprogrammu vadības panelī. Android pašlaik atbalsta 114 dažādas atļaujas, kuras varat redzēt vietnē izstrādātāja vietne .
Android atļauju sistēma neliedz lietotnēm zagt jūsu datus vai veikt citas ļaunprātīgas darbības — tā vienkārši atvieglo to lietotņu atrašanu, kuras ir iesaistītas šajā praksē. Taču kļūst arvien skaidrāks, ka ar to ne vienmēr pietiek.
Piemēram, pagājušā gada jūlijā pētnieki atklāja, ka Android bezmaksas fona tapešu programma ar nosaukumu Jackeey apkopoja personas informāciju, tostarp lietotāja tālruņu numurus, balss pasta informāciju un mobilo sakaru operatora datus, un nosūtīja to uz vietni Ķīnā. Tad augustā tika atklāts, ka bezmaksas spēle ar nosaukumu Tap Snake patiesībā ir rīks personas atrašanās vietas slēptai uzraudzībai. Tap Snake darbojas kā fona pakalpojums un nosūta tālruņa atrašanās vietu vietnei; persona, kas instalēja spēli šajā tālrunī, varēja pārraudzīt tālruņa atrašanās vietu, izmantojot citu programmu GPS Spy.
Tap Snake nepārkāpj Android drošības modeli: programmai ir nepieciešama iespēja darboties kā pakalpojums, uzraudzīt GPS pozīciju un sazināties internetā. Taču Android drošības modelim ir divas problēmas. Pirmā ir precizitāte: lai gan Android programmām ir jāpaziņo lietotājam, kuras atļaujas tās izmanto, tas nepaskaidro, ko lietotnes faktiski dara ar šīm atļaujām. Otra problēma ir iesaistīšanās: modelis pieprasa, lai kāds izmantotu šo informāciju un uzņemtos atbildību par lietotāja drošību.
Pārskats par dažām Android lietotnēm izceļ šo problēmu. Pirms dažām nedēļām man ieteica lietotni Reti melni tapetes, lai taupītu akumulatora enerģiju. Es atzīmēju, ka lietotnei ir nepieciešama iespēja modificēt vai dzēst SD kartes saturu, pilnīga piekļuve internetam un iespēja nolasīt mana tālruņa stāvokli un identitāti. Pārsteigts, es nosūtīju e-pastu Hero Planet, uzņēmumam, kas piegādā šo lietojumprogrammu, un jautāju, kāpēc šīs atļaujas ir vajadzīgas. Hero Planet nekad neatbildēja, tāpēc es atinstalēju programmu.
Tāpat programmai Salamander eBook Reader Android ierīcēm ir nepieciešamas atļaujas, lai noteiktu jūsu fizisko stāvokli, iegūtu pilnu piekļuvi internetam un lasītu tālruņa stāvokli un identitāti. Es nosūtīju e-pastu Feel Social, izdevējam, bet nesaņēmu atbildi. Feel Social vietne izskatās tā, it kā tā ir pamesta, un neviens neatbildēja uz uzņēmuma tālruni, kad es zvanīju. Taču lietotne joprojām atrodas Google Marketplace; ko šī lietotne dara ar manu GPS informāciju un pilnu piekļuvi tīklam? Es to arī atinstalēju.
Vēl viena programma, kurai nepieciešamas vairāk atļauju, nekā es uzskatīju par atbilstošām, ir Documents to Go — programma, kas ļauj man lasīt Microsoft Office failus ar manu Android tālruni. Šai programmai ir nepieciešama ne tikai iespēja lasīt un rakstīt tālruņa SD kartē, bet arī pilna piekļuve internetam, kā arī iespēja nolasīt tālruņa stāvokli un identitāti. Tas arī sākas automātiski, kad tālrunis sāk darboties. Es nosūtīju e-pasta ziņojumu DataViz, programmas izveidotājam, un šoreiz saņēmu atbildi.
Laura Caiafa, DataViz tehniskā atbalsta menedžere, man atbildēja, sakot, ka Android ierīcēs Documents to Go ir nepieciešama iespēja nolasīt tālruņa identitāti, jo tā produktu reģistrāciju saista ar tālruņa IMEI/MEID numuru (saveida sērijas numuru). Turklāt mēs pārbaudām tālruņa tīkla stāvokli viesabonēšanai, pirms ļaujam lietotājam reģistrēties, un tam arī ir nepieciešama šī atļauja.
Lai reģistrētu lietojumprogrammu, ir nepieciešama pilna piekļuve internetam (ko Documents to Go veic tieši, nevis caur tīmekļa pārlūkprogrammu). Visbeidzot, programma tiek instalēta, kad tālrunis tiek ieslēgts.
Viena no šīs manuālās aptaujas pieejas problēmām ir tā, ka tā ir neticami laikietilpīga. Otra problēma ir tā, ka jūs nevarat pateikt, ko tālrunis dara ar šīm atļaujām — vai tas sūta manus konfidenciālos datus krāpniekiem, vai tas izmanto manu atrašanās vietu un piekļuvi internetam, lai rādītu man ar atrašanās vietu balstītas reklāmas, vai arī tas tikai reģistrē manus datus. lietojumprogrammu, lai es varētu saņemt bezmaksas atjauninājumus?
Darba risinājums šai problēmai tiks prezentēts trešdien plkst Usenix simpozijs par operētājsistēmu dizainu un ieviešanu (OSDI) Vankūverā, Kanādā. Programma ar nosaukumu TaintDroid izmanto pieeju, ko sauc par datu marķēšanu vai aptraipīšanu, lai pārraudzītu personiskās informācijas plūsmu, izmantojot Android tālruni.
TaintDroid, ko izstrādājuši pētnieki Pensilvānijas štata universitātē, Djūka universitātē un Intel Labs, tika izstrādāts, lai analizētu 30 dažādas Android lietojumprogrammas. Pētnieki veica dažus ļoti interesantus atklājumus. Piemēram, lai gan 21 no 30 lietojumprogrammām bija nepieciešama atļauja lasīt tālruņa stāvokli un atļauja sazināties internetā, tikai divas no lietojumprogrammām faktiski pārsūtīja ierīces tālruņa numuru vai unikālo kodu uz attālo serveri. Viens no tiem pārraida informāciju ikreiz, kad tālrunis tiek palaists, ļaujot izstrādātājam uzzināt, cik tālruņos pašlaik ir instalēta lietotne, kā arī diezgan būtiski pārkāpjot katra lietotāja privātumu.
Pētnieki savā dokumentā raksta, ka puse no pārraudzītajām lietojumprogrammām pārsūtīja lietotāja atrašanās vietas datus uz trešo pušu reklāmu serveriem, neprasot netiešu vai tiešu lietotāja piekrišanu, tas ir, neizpaužot šo faktu lietojumprogrammas galalietotāja licences līgumā. Dažos gadījumos atrašanās vietas dati tika pārsūtīti uz sludinājumu serveriem pat tad, ja lietojumprogrammā netika rādīta reklāma. Jūs varat lejupielādēt rakstu no pētnieku vietne .
Daži komentētāji var iebilst, ka OSDI dokuments ir vēl viens pierādījums tam, ka Apple politika manuāli pārbaudīt katru lietojumprogrammu savā lietotņu veikalā ir pārāka par Android politiku. Patiesība ir tāda, ka mēs vienkārši nezinām, cik daudz lietotņu, kas paslēptas Apple App Store, nozog personas informāciju, jo nav vienkārša veida, kā pārbaudīt lejupielādei pieejamo programmu iespējas. Apple pārskatīšanas procesā netiek novērtēts lietojumprogrammas pirmkods, tāpēc ļaunprātīgs izstrādātājs (vai pat viens programmētājs lietotņu izstrādes uzņēmumā) varētu kaut ko izlaupīt. Vismaz ar Android operētājsistēma mēģina neļaut lietotnēm piekļūt viena otras datiem un izmantot internetu, ja vien tās nepieprasa šo atļauju.
Vēl viens faktors Android labā ir operētājsistēmas Linux izmantošana, kurai ir pieejams viss pirmkods. Penn State, Duke un Intel pētnieki varētu izstrādāt TaintDroid, jo tajā ir salīdzinoši viegli nokļūt zem Android pārsega un instalēt nepieciešamo funkcionalitāti. Lai gan varētu būt iespējams sasniegt tādus pašus rezultātus iPhone tālrunī, reversās inženierijas process būtu ievērojami sarežģītāks.
Taču ar informāciju par sliktu lietotņu darbību nepietiks, lai nodrošinātu Android lietotāju drošību. Lietotājiem vienkārši trūkst modrības un zināšanu, lai izmantotu Android sniegto informāciju. Ja vien Google neieviesīs politiku mobilo ierīču lietotāju privātuma aizsardzībai, Android arvien vairāk tiks uzskatīta par sistēmu, kuru vajā drošības problēmas, pat ja patiesais iemesls tam ir tas, ka mums ir labāks priekšstats par to, kas notiek operētājsistēmā Android, nevis citas viedtālruņu platformas.