Googles styreformann, Eric Schmidt, vakte både oppsikt, vantro og latter for en uttalelse han kom med på mandag, under Gartner Symposium/ITxpo som arrangeres i Orlando, Florida denne uken.
Ifølge ZDNet startet det hele med at Gartner-analytikeren David Willis sa det følgende til Schmidt:
– Dersom du hadde spurt, ville mange mennesker i dette publikumet sagt at Google Android ikke er deres viktigste plattform. Når du sier Android, svarer folk «vent nå litt, Android er ikke sikker», sa Willis.
– Ikke sikker? Det er mer sikkert enn iPhone, svarte Schmidt, noe som fikk mange i publikum til å le.
Årsaken til latteren er nok at svært mange har et inntrykk av at iOS er sikrere enn Android fordi det finnes masse skadevare til Android. Rapporter om skadevare til iOS hører derimot til sjeldenhetene. Apples forhåndsgodkjennelse av applikasjonene, samt ingen støtte for andre applikasjonsbutikker enn Apples egen, antas å være hovedårsakene til dette.
Skadevare
De aller fleste tall om skadevare stammer fra selskaper som også leverer antiskadevareverktøy («antivirus»). Men i rapportene unnlater disse aktørene nesten alltid å fortelle at skadevaren nesten utelukkende spres via uoffisielle applikasjonsmarkedsplasser. Det har vært en del tilfeller hvor skadevare også har blitt spredt via Googles Play Store, men disse tallene mikroskopiske sammenlignet med rapportene om en mer enn en million ulike typer skadevare til plattformen. Det er selvfølgelig det sistnevnte tallet leverandørene av sikkerhetsprogramvare foretrekker å fortelle.
Nå virker det som at disse leverandørene kjemper litt i motvind på dette området. Mens de aller fleste har skadevarebeskyttelse på pc-ene sine, mener Juniper Research at andelen av smartmobiler som er sikret på samme måte, er på under 20 prosent.
Analyseselskapet mener at det er mange årsaken til dette, inkludert lav forbrukerkjennskap om nettbaserte angrep mobile enheter, samt utbredt antakelse om at sikkerhetsprodukter til smartmobiler er kostbare.
En annen årsak, som i alle fall ikke nevnes i pressemeldingen, er at de færreste tross alt har opplevd å få skadevare på mobilen sin.
– Det er som å leve i et hyggelig nabolag med høy vegger, slik at du ikke trenger å låse døren. Dette er trivelig inntil du blir plyndret. Inntil det kommer et digert virusangrep som virkelig treffer og blir omtalt i mediene, vil ikke folk gjøre dette [å ta i bruk slike verktøy, red. anm.]. De har ikke noe incentiv til å gjøre dette, sier Tyler Shields, til CSO. Shields er analytiker hos Forrester Research.
«Antivirus»
Han får støtte fra Gartner-analytikeren Dionisio Zumerle, som dessuten mener at «antivirus» ikke er det rette svaret på skadevare.
– Det er mer en reaksjon enn en løsning, sier han til CSO.
– Du bør ikke inkludere antivirus-programvare bare fordi du kan. Programvare som kontinuerlig skanner eller lapper, vil tappe batteriet. Dessuten utvikles og endres denne skadevaren svært raskt, og mye av denne antivirus-programvaren er signaturbasert. Dersom det kommer nye virus, hva vil du gjøre da? Før eller senere vil du ikke være i stand til å henge med, og det vil i det alt vesentlige være ineffektivt, sier Zumerle.
Analytikerne kommenterer ikke de enkelte plattformene, men sier i stor grad at flommen av skadevare ennå ikke har kommet til smartmobiler fordi det fortsatt er enklere å spre dette på pc-er.
Lukket hage
Men tilbake til Schmidts uttalelse. Han skal under Gartner-konferansen ikke ha underbygget sin påstand om at Android er sikrere enn iOS. Google har til nå i det hele tatt fortalt lite om hva selskapet vet om Android og skadevare. Men i forrige uke holdt Adrian Ludwig, Googles sikkerhetssjef for Android, et foredrag under Virus Bulletin-konferansen Berlin, hvor han fortalte mye om Android og sikkerhet. Nyhetstjenesten Quartz har skrevet om dette. Dessuten er lysbildene fra presentasjonen tilgjengelig her.
Ifølge Quartz snakket Ludwig om det samme, lukkede nabolaget, eller hagen, som Shields. Men han tok i bruk begreper kjent fra naturen.
– En tilnærming med «walled garden»-systemer som forhindrer rovdyr og sykdom, faller sammen når rask vekst og evolusjon skaper for mye kompleksitet. Androids innovasjon fra både Google og andre skjer kontinuerlig, noe som umulig å skape en slik innestengt hage ved å låse Android på systemnivå, sa Ludwig.
Overvåkning
Også Googles forsvar mot skadevare minner mer om det man kjenner fra sykdomsbekjempelse enn det som har vært vanlig innen bransjen for pc-sikkerhet.
– CDC (Center for Disease Control, red. anm) vet at det ikke er realistisk å forsøke å utrydde alle sykdommer. I stedet overvåker det sykdommer med vitenskapelig grundighet, tilbyr preventive råd og effektive reaksjoner på skadelig utbrudd, sa Ludwig.
Google, som naturlig nok har god oversikt over Android-økosystemet, har tilgang til verktøy som kan måle hvor mange ganger en gitt skadevare-applikasjon blir installert, til dels også når appen lastes ned fra andre kilder enn Google Play Store. Men denne informasjonen har etter alt å dømme i liten grad blitt gjort tilgjengelig for uavhengige sikkerhetsselskaper. Dette skyldes at det kanskje viktigste analyseverktøyet, Verify Apps-funksjonen i Android, ikke kom for stort mer enn et år siden. Ifølge Ludwig er funksjonen, som advarer ved installasjon om potensielt skadelige apper fra «ukjente» kilder, tilgjengelig i Android 2.3 og nyere.
– De har ikke pålitelige tall
Ifølge Ludwig er sikkerhetsforskere svært flinke til å finne og å stoppe skadevare, men de mangler pålitelige data fra et «CDC» til å måle størrelsen på utbruddene og å koordinere en respons. Dette skal ha ført til til dels ekstreme overdrevne tall om utbredelse. Ludwig nevnte i foredraget noen eksempler på mye omtalt skadevare hvor færre enn én av en million installasjoner faktisk blir fullført.
Årsaken til dette er den lagdelte sikkerheten i Android, som illustrasjonen i toppen av artikkelen viser. Skadevaren må trenge gjennom en rekke hindringer før den eventuelt kan gjøre noen skade. Dette inkluderer den generelle advarselen til brukerne om installasjon fra ukjente kilder, før den nevnte Verify Apps-funksjonen trer i kraft. Deretter utføres det sikkerhetstesting på runtime-nivå, før applikasjonen får kjøres i sikkerhetssandkassen med de privilegiene som brukeren har godkjent.
Tall basert på 1,5 milliarder installasjonsforsøk av applikasjoner hentet fra utsiden av Google Play viser at under 0,5 prosent av disse forsøkene har endt opp med at en advarsel fra Verify Apps. Under 0,13 prosent av applikasjonene som brukerne blir advart mot, blir installert. Av de installerte applikasjonene skal andelen som forsøker å omgår runtime-forsvaret være på under 0,001 prosent. Blant disse er det ifølge Ludwigs lysbilder ukjent, men nødvendigvis enda mindre andel som fører til skade og omgår runtime-forsvaret.
Rooting
Blant de potensielt skadelige applikasjonene som faktisk installeres, utgjør applikasjoner for rooting av systemet omkring 41 prosent. Selv om disse applikasjonene kan gjøre skade, er de ikke regnet som ondsinnede. Blant annet utviklere og entusiastbrukere tar i bruk slike applikasjoner for å kunne installere andre versjoner av Android, for eksempel CyanogenMod, eller for å fjerne uønskede apper som er forhåndsinstallert på enheten.
Men en nesten like stor andel av de installerte appene er svindelvare som påfører brukeren til dels store kostnader ved å utføre kostbare telefonsamtaler eller å sende dyre SMS-meldinger.
Omtrent 15 prosent av appene blir ansett som kommersiell spionvare, mens de resterende appene er ulike typer trojanere, bakdører, phishing-apper og annet.
NSA
Oversikten nedenfor viser teknikker som er implementert i Android på runtime-nivå. Dette inkluderer blant annet SELinux (Security Enhanced Linux), eller SEAndroid, som Android-implementeringen kalles. Dette er sikkerhetsfunksjonalitet som interessant nok er laget av NSA, men som er utgitt som åpen kildekode og kan inspiserer av alle.
Ludwig skal ha avsluttet foredraget med å oppfordre hele bransjen bør ha som mål å tilby bedre data om faktiske risikoer og å øke innsatsen for å redusere mengden av falske positiver.
Han konkluderer nemlig med at telling av potensielt skadelige applikasjoner ikke reflekterer den faktiske risikoen, at «malware»-kategoriseringen er overforenklet og at virkelige data kan brukes til å analysere trusselen mot brukerne.
Konkurrentene
Bortsett fra uttalelsen om den lukkede hagen, unnlot Ludwig etter alt å dømme å si noen som sikkerheten i konkurrerende systemer. Det man kan konkludere med, er at tilnærmingene er forskjellige. Det er vanskeligere å kunne konkludere at den ene tilnærmingen er sikrere enn andre mot både dagens og morgendagens trusler.
Dermed kan man godt si at latteren Schmidt mottok for sin uttalelse var vel fortjent. I alle fall inntil han sier noe om hvorfor han mener Android er sikrere enn iOS.
Les også:
- [05.03.2014] – Lite skadevare å finne på Google Play
- [28.01.2014] NSA-kode skal gi bedre Android-sikkerhet
- [16.10.2013] Tror ikke på Android-sikkerheten
