Sécurité Android - un Q & A avec Adrian Ludwig de Google

Nous avons beaucoup parlé de sécurité sur votre appareil Android récemment, et au fur et à mesure de la conversation, il était clair qu'il fallait résoudre les questions qui devaient être répondues par une personne ayant une autorité supérieure. Par exemple, si vous avez besoin d'un logiciel antivirus pour votre téléphone, identifiez les logiciels malveillants et assurez-vous que vos appareils sont généralement en sécurité grâce à une utilisation quotidienne sont des sujets devenus inutilement boueux. Bien que nous puissions en attribuer une partie au blocus apparemment interminable d'articles qui nous expliquent tous les logiciels conçus pour exploiter les utilisateurs d'Android, il existe également des questions légitimes sur la sécurité Android qui n'ont pas de contenu simple réponses.

Pour aider à résoudre ce problème, nous sommes allés directement à la source. Adrian Ludwig, ingénieur en chef chargé de la sécurité Android chez Google, a mis un certain temps par courrier électronique à donner les réponses que nous recherchions.

: Android Security - Questions-réponses avec Adrian Ludwig de Google

Le rôle de Google

Q: De quoi exactement Google tente-t-il de protéger ses utilisateurs Android?

Ludwig: Nous avons conçu Android en utilisant plusieurs niveaux de sécurité - à commencer par les fonctions matérielles des appareils (Trustzone, NX), par le système d’exploitation (Application Sandbox, SELinux, ASLR) et par les applications et services fournis par Google (Google Play, Gestionnaire de périphériques, Vérifiez les applications, etc.). Nous encourageons également l'innovation en matière de sécurité en permettant à des tiers de fournir des solutions de sécurité.

Les menaces de sécurité les plus pressantes auxquelles sont confrontés les appareils mobiles de nos jours incluent: 1. Les appareils perdus et volés (pour lesquels nous fournissons des protections telles que lockscreen, le cryptage des appareils et Android Device Manager) 2. Les attaques au niveau du réseau (pour lesquelles Android fournit des services de chiffrement et d'exposition) une surface d'attaque minimale en l'absence de services d'écoute par défaut) 3. Applications potentiellement dangereuses (pour lesquelles le sandbox d'applications Android, la révision d'applications Google Play et les applications Verify sont tous conçus)

Lorsque nous entendons parler d'une nouvelle menace potentielle, nous commençons à l'intégrer à nos plans et à notre conception futurs.

Politique de soutien

Q: Pendant combien de temps Google prend-il en charge des éléments tels que les vulnérabilités de sécurité découvertes dans le système d'exploitation?

Ludwig: Notre approche en matière de politique de sécurité Android consiste à fournir des mises à jour partout où nous pensons qu'elles seront réellement fournies aux utilisateurs et à améliorer la sécurité. En pratique, cela signifie que nous fournissons plusieurs types de support pour les problèmes de sécurité potentiels:

1. Si un problème peut être résolu en mettant à jour Chrome, Gmail, Google Play ou un nombre quelconque d'applications Google, le problème sera résolu de manière à revenir à toutes les versions d'Android sur lesquelles chaque application est disponible.
2. Les appareils Google Nexus et les appareils d'édition Google Play reçoivent régulièrement des mises à jour de sécurité en temps utile.
3. Nous fournissons des correctifs pour la branche actuelle d'Android dans le projet Open Source Android (AOSP) et fournissons directement à nos partenaires Android des correctifs pour au moins les deux dernières versions majeures du système d'exploitation. Actuellement, nous fournissons des backports pour les problèmes de sécurité couvrant Android 4.3 et les versions ultérieures. WebKit sur Android 4.3 est la seule exception. Il est pris en charge sur Android 4.4 et supérieur en tant que mise à jour binaire. Néanmoins, lorsqu'un OEM demande de l'aide pour développer un correctif pour un périphérique exécutant une version antérieure de la plate-forme et qu'il s'engage à fournir ce correctif en tant qu'OTA aux périphériques, nous leur fournirons une assistance.
4. Dans la mesure du possible, nous mettons également à jour les services de sécurité de Google pour Android afin de fournir une couche de protection supplémentaire à tous les appareils Android, qu'ils soient toujours ou non pris en charge par les constructeurs OEM. Cela inclut la recherche d'applications potentiellement dangereuses et d'autres comportements de sécurité.
5. Nous fournissons également aux développeurs d'applications des informations et des outils pour garantir la protection de leurs applications contre les problèmes de sécurité potentiels. Cela inclut la fourniture d'API au sein des services Google Play, tels que le fournisseur de sécurité pouvant être mis à jour, pouvant être mis à jour par Google sans OTA de périphérique. Nous fournissons également les meilleures pratiques permettant aux développeurs de s’assurer que leurs applications fonctionnent en toute sécurité sur tous les appareils Android, qu’elles soient toujours prises en charge par les constructeurs OEM ou non. Récemment, nous avons commencé à analyser les applications de Google Play à la recherche de vulnérabilités de sécurité potentielles et à avertir les développeurs lorsque ces vulnérabilités sont détectées.
6. Enfin, nous partageons les informations relatives aux problèmes de sécurité (y compris les informations dont nous disposons sur les correctifs et toute exploitation connue) avec les partenaires Android afin de s’assurer qu’ils comprennent le problème, y compris les risques associés aux périphériques ne recevant pas de mise à jour. Cela inclut l'ajout de tests pour les problèmes de sécurité potentiels dans la suite de tests de compatibilité afin de réduire le risque qu'un OEM envoie par inadvertance un périphérique avec un problème de sécurité connu.

Contrôle utilisateur

Q: Dans le cas où une application était jugée malveillante mais pas nécessairement dangereuse - par exemple une application qui spams le plateau de notification avec des annonces indésirables - quels outils sont disponibles pour aider les utilisateurs?

Ludwig: Android fournit aux utilisateurs des commandes leur permettant de contrôler l'expérience sur leur appareil. Cela inclut des fonctionnalités telles que l'affichage des autorisations des applications, la configuration de paramètres tels que la possibilité pour une application d'afficher des notifications ou la possibilité de désactiver ou de supprimer des applications à tout moment.

Si une notification est indésirable, l'utilisateur peut appuyer longuement sur la notification pour voir quelle application l'a produite, puis modifier les paramètres de notification de l'application ou désinstaller l'application.

Contrôles de sécurité

Q: Que se passe-t-il lorsque Google envoie un message avertissant les utilisateurs d'une application malveillante et que celui-ci ne la supprime pas, soit parce qu'ils ont choisi de ne pas le faire, soit parce que le message a été accidentellement rejeté?

Ludwig: Il existe plusieurs contrôles de sécurité redondants conçus pour s'assurer qu'une application réputée potentiellement nuisible ne sera pas installée accidentellement. À chacune de ces vérifications, la majorité des utilisateurs qui reçoivent un avertissement concernant une application potentiellement nuisible choisissent de ne pas poursuivre.

Voici toutes les étapes principales:

Google a intégré son système d'alerte pour les applications potentiellement dangereuses connues dans le backend de nombreuses de nos applications. Ainsi, par exemple, le navigateur Chrome avec navigation sécurisée peut avertir l'utilisateur, avant même de télécharger une application depuis un site Web, qu'il a l'air d'être sur un site Web hébergeant des applications potentiellement nuisibles.

S'ils choisissent quand même de télécharger et d'installer, ils recevront un avertissement au moment de l'installation (ainsi que d'autres informations, telles que les autorisations des applications, qui peuvent les aider à décider si elles souhaitent installer).

S'ils décident quand même de continuer, l'application est installée, mais elle ne peut toujours rien faire jusqu'à ce que l'utilisateur décide réellement d'exécuter l'application. Ils ont donc encore une chance de choisir de supprimer l’application avant que celle-ci ne cause le moindre dommage.

Qu'ils choisissent ou non d'exécuter l'application, s'il est installé sur leur appareil, l'analyse en arrière-plan de vérification des applications signalera l'application et fournira un autre avertissement leur recommandant de supprimer l'application. Cet avertissement se produit généralement environ une fois par semaine, bien que l'utilisateur ait la possibilité de dire "ne plus me le rappeler".

Applications antivirus

Q: Les applications de sécurité tierces me protègent-elles davantage des applications Play Store potentiellement dangereuses?

Ludwig: Les protections intégrées à Google Play sont très robustes. Nous recommandons fortement aux utilisateurs qui installent des applications en dehors de Google Play d'activer Verify Apps, qui est fourni sur les appareils Android exécutant Android 2.3 ou une version ultérieure (ce qui représente plus de 99% des appareils Android) sur lesquels Google Play est installé.

En 2014, selon les données Verify Apps collectées par Google et en ignorant les applications de root installées intentionnellement par les utilisateurs, moins de 0, 15% des applications installées en dehors de Google Play sur des appareils anglais américains étaient classées comme applications potentiellement nuisibles. Compte tenu de la protection intégrée fournie par Verify Apps et de la faible fréquence d’installation des PHA, l’avantage potentiel en termes de sécurité d’une solution de sécurité supplémentaire est très faible.

ROM personnalisées

Q: Les fonctionnalités de sécurité de Google s'appliquent-elles aux utilisateurs ayant installé des versions tierces d'Android (lire: ROM créées par la communauté)?

Ludwig: Oui, les ROM tierces sont généralement construites sur AOSP. Elles prennent donc en charge le bac à sable Android et nombre d'entre elles utilisent les applications de Google, y compris nos services de sécurité.

Et voila. Google fait un travail incroyable pour protéger Android, et une grande partie de ce travail est en cours de préparation. Mais ça va toujours être un peu un jeu de chat et de souris. Comme cela a toujours été le cas, assurer la sécurité de votre appareil revient uniquement à savoir où vous tapez, ce que vous installez et à être aussi informé que possible.

Assurez-vous de consulter le reste de notre série sur la sécurité si vous souhaitez en savoir plus.