Android vs. iOS. Вопрос безопасности

Какое-то время назад мы в Symantec рассмотрели две популярные платформы – Android и iOS на предмет их безопасности. Без лишних предисловий объявляем подробности наших изысканий.


Итак, мобильные платформы Google и Apple в разной степени полагаются на пять основных принципов мобильной безопасности...

Мы представили эти принципы и особенности поведения платформ в таблице для наглядности:

1. Контроль доступа

Каждое «родное» приложение является отдельным процессом, который работает напрямую с процессора ARM; Приложения не могут использовать общие объекты (напр., файлы DLL);	Каждое приложение, основанное на байт-коде, работает на отдельной виртуальной машине, в отдельном Linux процессе; Приложения могут иметь «родные» общие объекты, основанные на ARM архитектуре (напр., файлы DLL).

2. Проверка происхождения приложений

Каждое приложение должно быть подписано официальным сертификатом, выпущенным Apple; Приложения, размещенные для общего пользования, должны пройти ручную/автоматизированную проверку со стороны Apple; Приложения, размещенные для общего пользования, должны быть физически размещены в магазине приложений Apple; Сертифицированные компании могут распространять самостоятельно разработанные приложения на устройствах своих сотрудников, на которые распространяется сертификат организации.

Каждое приложение должно быть подписано цифровым сертификатом; Однако допускается самостоятельное подписание анонимными сертификатами; Приложения можно размещать без согласия и проверки со стороны Google; Приложения могут распространяться с любого веб-сайта (по умолчанию, с Android Market).

3. Шифрование

iOS хранит все данные в зашифрованном формате на SD карте устройства; Данные автоматически расшифровываются при считывании iOS и приложениями, паролей нет; iOS во вторую очередь шифрует электронную почту при помощи кодовой защиты, блокируя доступ, кроме случаев, когда устройство очевидно разблокировано; Сторонние приложения также могут использовать шифрование при помощи кодовой защиты интерфейсов программирования приложений (API).

У Android встроенное шифрование конфиденциальных данных (приложений, календаря, контактов, паролей, и т.п.) появилось только с версии 3.0; Приложения могут использовать Java шифрование интерфейсов программирования приложений (API) для сокрытия данных.

За некоторыми исключениями, подход Apple к определению происхождения приложений является очень эффективным. Нестрогий подход Google к определению происхождения приложений делает Android уязвимым для эволюционирующих вредоносных программ и легальных программ, атакованных троянцами. Облегченная сертификация привела к тому, что сегодня можно наблюдать постоянный прирост числа вредоносных программ для Android-устройств.
Идем дальше:

4. Изоляция процессов

Приложения не могут переписывать/читать/записывать другие приложения/ОС/данные; Приложения ограничены режимом пользователя и не могут устанавливать драйвера; Правила изолирования блокируют доступ к папкам входящей электронной почте и SMS, отсылке SMS, инициировании телефонных звонков, GPS.	Приложения могут переписывать другие приложения и исследовать их исходный код, но не конфиденциальные данные; Однако данные, хранящиеся на SD карте памяти по умолчанию, могут быть прочитаны всеми; Приложения ограничены режимом пользователя и не могут устанавливать драйвера; Приложения получают доступ к большинству системных услуг только после утвердительного ответа пользователя на запрос.

5. Разграничение доступа по ролям

Пользователь должен дать разрешение на: доступ к GPS, включение удаленных уведомлений, начало телефонных звонков и отправку SMS; Политика доступа / блокировки для всех остальных подсистем встроена в iOS и процедуру одобрения/проверки со стороны Apple.

Приложения могут переписывать другие приложения и исследовать их исходный код, но не конфиденциальные данные; Однако данные, хранящиеся на SD карте памяти по умолчанию, могут быть прочитаны всеми; Приложения ограничены режимом пользователя и не могут устанавливать драйвера; Приложения получают доступ к большинству системных услуг только после утвердительного ответа пользователя на запрос; ОС Android, а не Dalvik VM, обеспечивает изоляцию.

Модель изолированной программной среды iOS ограничивает потенциальный вред от приложений, но, в то же время, осложняет создание приложений для обеспечения безопасности iOS. Что касается Android, то за исключением возможности доступа к внешней SD карте, используемые по умолчанию правила изоляции являются даже более строгими, чем те, которые используется в iOS.
Конечно же, лишь немногие приложения ограничиваются используемыми по умолчанию правилами.

К сожалению, несмотря на довольно жесткие требования к безопасности, которые выдвигались еще при разработке препарированных нами платформ, степень их защищенности недостаточна для защиты корпоративной информации, которая так часто на них попадает. При правильном использовании и настройке обе платформы – Android и iOS – дают пользователям возможность одновременно синхронизировать свои аппараты с множеством (частных и корпоративных) облачных сервисов без риска утечки. При неправильном – дают злоумышленникам возможность украсть данные о местонахождении устройства, номер телефона, электронный адрес и контакты, украсть действительный код IMEI и установить его на деактивированный/поддельный телефон, получить плату за установку левых приложений, заставить телефон отсылать SMS сообщения или набирать номера для платных звонков, изменить настройки сервера доступа к интернет на прокси-сервер атакующих, шпионить и много чего еще.