Šest rad bezpečnostních expertů pro vyšší bezpečnost zařízení s Androidem
13 komentářů
Reklama
Reklama
Na serveru SecurityWatch vyšel článek, přinášející doporučená nastavení, která by měla zvýšit bezpečnost telefonů s Androidem.
Autor vychází z bezpečností chyby v Google Wallet (informovali jsme postupně zde, zde a zde), která umožňovala získat přístup k předplaceným platebním kartám. Google sice chybu opravil, nicméně její podstata stále přetrvává, ačkoli aplikace Wallet je sama o sobě bezpečnější.
Jak jsme psali ve čtvrtek: „Společnost Zvelo, jejíž vedoucí systémový inženýr Joshua Rubin upozornil na jednu z bezpečnostních chyb,… … Poukazuje na fakt, že nejnovější verze Androidu pro Samsung Galaxy Nexus 4.0.2 (ICL53F) používá linuxové jádro 3.0.8-gaaa2611, obsahující známou chybu CVE-2012-0056, která dovoluje škodlivé aplikaci získat práva roota.“ Právě tohoto nebezpečí se týkají následující doporučení:
- Aktivujte zámek obrazovky – tuto možnost najdete v Nastavení-Informace o poloze a zabezpečení-Nastavit zámek displeje. Nepoužívejte pouze odemykání posuvníky, ale např. „Face Unlock,“ ochranu nakreslením vzoru, PINem, nebo heslem. Tím zvýšíte fyzickou bezpečnost zařízení.
- Zakažte ladění USB – tuto volbu najdete v Nastavení-Aplikace-Rozvoj/Vývoj-Ladění USB (zatržítko by mělo být neaktivní).
- Povolte šifrování – v menu Nastavení-Informace o poloze a zabezpečení-Full Disk Encryption. Tato volba není dostupná na všech telefonech.
- Udržujte své zařízení aktuální – ujistěte se, že používáte poslední vydaný oficiální firmware. V tomto jste, bohužel, do značné míry odkázáni na operátora a/nebo výrobce mobilního telefonu. V momentě, kdy budete vyzváni k upgradu operačního systému, neváhejte a učiňte tak. Použití oficiálního software a aktualizace firmware zařízení je nejlepší způsob, jak minimalizovat rizika a celkově zvýšit bezpečnost.
- Používejte pouze oficiální zdroje software. Pomocí škodlivé aplikace může útočník například odhalit PIN a zaznamenávat osobní údaje. Nejvíce škodlivých aplikací je přitom distribuováno prostřednictvím pochybných čínských a ruských „Marketů.“
- Vždy čtěte, jaká oprávnění instalovaná či aktualizovaná aplikace vyžaduje! Škodlivé aplikace obvykle poznáte podle neobvyklých požadavků.
Zdroj: SecurityWatch.
O autorovi
Karel Kilián
Karel Kilián je zkušený technický redaktor a copywriter s bohatou praxí v oblasti informačních a komunikačních technologií. Jeho kariéra začala na pozici prodavače, odkud postupně… Více o autorovi
Komentáře
Jarda:
U neorig ROMky je vetsi sance, ze nebude obsahovat implantovane blechy od vyrobce - viz.CarrierIQ ;-)
24.2.2012 15:27
SP:
S rootnutou ROMkou může být Android méně chráněn (hlavně dle toho, co si tam pod rootem nainstalujete), ale s neoriginální romkou můžou být data i účty v nebezpečí mnohem více. Pokud mám romku od nějakého XYZDEV tak klidně můžu čekat, že v jádře, ovladačích, knihovnách, v systémových aplikacích nebo i na vrstvě Androidu může být špatný kód. A to je kámen úrazu - například v Marketu si kupujete aplikace - to znamená, že máte v Google (Wallet) zaregistrovánu vaši bankovní kartu či PayPal, a už ji kdosi cizí má taky... Dále facebook a twitter hesla, taky IMAP, POP3, SMTP hesla od vašich mail boxů. Nebo hesla z browserů. To vše se dá odchytávat i třeba až na TCP/IP stacku nebo už dříve, když dotyčný má operační systém a knihovny pod kontrolou. Jasný, na druhou stranu výrobci jsou zkostnatělí a dodávají firmware jak rohlíky na severní pól... Vybrat si mezi pohodlím (vzhledem, rychlostí, novýma funkcema) a bezpečím (originální firmware) si musí každý sám. Jistě, že originální firmware může taky obsahovat různé díry, ale určitě ne s cílem obrat zákazníka o cenná data, jako nějaký "open develák"? :)
21.2.2012 16:36
Ghull:
to Honza: Tak samozřejmě bych rád vyzkoušel, ale když mi to tu na mém Nexusu píše, že jediná možnost jak se šifrování zbavit je formát telefonu - tovární nastavení. Tak se radši zeptám jak se věci mají... líná huba, holé neštěstí. viz. http://androidforum.cz/post296174.html?hilit=%C5%A1ifrov%C3%A1n%C3%AD#p296174 též žádná odpověd.
20.2.2012 17:19
nevadiii:
2:Roman N Nooo ja pouzivam klasiku, kreslenie vzoru a nepodarilo sa mi cez emergency do telefonu nijako dostat. Nech som tam stlacal hociake kombinacie, tak ma to vratilo prinajlepsom spet na zadanie vzoru. LG OO ... Aky mas telefon a lockscreen? Pripadne cez ake kombinacie sa Ti to podarilo obist? jozef
20.2.2012 16:18
Honza:
@Ghull - šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval - třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat. @bod6 - takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu asi tak potřebuje Vibrátor znát IMEI mého telefonu? Takovou aplikaci si autore strč do .... :-)
20.2.2012 16:14
xtec:
Zdravim, mam SGS2 a ted v telefonu mam ROMku od MIUI 2.3.7 od xda.developers, mel bych se obavat neceho vazneho ? Da se jim verit? Videl jsem na forech,ze tuhle, tyhle ROMky bezne pouzivaji tisice lidi, tak snad je to bezpecne. diky
20.2.2012 15:56
Roman Nepšinský:
ad 1) A existuje pro telefony s Androidem nějaký lockscreenem, který by nešel obejít např. podržením tlačítka atd.? Pár jsem jich zkoušel kvůli dětem a vždycky se šlo dostat do telefonu kvůli nouzovým voláním
20.2.2012 15:00
Nevim:
@Ghull - šifrování mám a žádné zpomalení neregistruji s výjimkou nutnosti zadávat PIN po každém uzamčení obrazovky (přivítal bych nějaký interval - třeba 10 minut zamknutá obrazovka). Nejdřív to zkus a pak si můžeš dovolit to komentovat. @bod6 - takové pěkné oprávnění je třeba Identifikace telefonu. Zásadně neinstaluju aplikace (vyjma Googlích) co tohle vyžadují. Do nebe volají nesmysl je to třeba u aplikace Vybrátor clasic. K čemu mě asi Vibrátor potřebuje identifikovat?
20.2.2012 14:58
PhobiaCZ:
S tím šifrováním mě to zajímá. Jak dlouho to vůbec trvá?
20.2.2012 14:53
Uni:
Heh, z pohledu iOS:) 1) samozřejmě, to by měl každý 2) neřeší 3) automaticky se děje 4) Jednoduchá aktualizace na "1 klik", výrobce vydává aktualizace s ohrožením bezpečnosti prakticky okamžitě 5) automaticky se děje (App Store) 6) řeší Apple sám před vystavením aplikace Rada, nepoužívat neorig. FW je samozřejmě směšná, díky svému vývoji je daleko bezpečnější než neaktualizovaný původní FW.
20.2.2012 14:44
Ghull:
A co poté rychlost telefonu po zašifrování všech dat? Při šifrování na PC pomocí TrueCrypt apod. dojde k jisté ztrátě přenosové rychlosti, né výrazné, ale je tam.
20.2.2012 14:37
Sir Sprice:
Jasně, kůli bezpečnosti nebudeme nahrávat custom ROMky.. hovadina
20.2.2012 13:58
renoar:
sbírejte hovínka po svém pejskovi třiďte odpad nechoďte po trávě přecházejte pouze po přechodu nekuřte nepijte nesázejte a hlavně, čtěte si všeobecné podmínky,že?
20.2.2012 13:48
