لقد تحسن أمان Android بسرعة فائقة على مدار السنوات العشر الماضية: وإليك الطريقة

في الوقت الحاضر، يعد Android واحدًا من أنظمة التشغيل الأكثر استخدامًا وأمانًا على هذا الكوكب، ولكن لم يكن الأمر كذلك دائمًا. في الواقع، في عام 2014، زد نت يُطلق على Android اسم "خليط الجحيم السام" من نقاط الضعف، وهو ما اقتبسه تيم كوك عند إطلاق iPhone في ذلك العام. أوضح كوك نقطة ليقول إن نظام Android كان مجزأًا للغاية وأن التحديثات كانت بطيئة جدًا في الوصول لدرجة أنه لم يكن هناك أي طريقة لذلك يمكن للفقراء الذين "اشتروا هاتفًا يعمل بنظام Android عن طريق الخطأ" الاستمتاع بأي مكان بالقرب من أمان امتلاك iPhone الخاص بهم الأفضل.

ومع ذلك، هذه ليست القصة الكاملة، وهي بالتأكيد ليست دقيقة في الوقت الحاضر.

بدايات متواضعة

وبالعودة إلى أول هاتف iPhone، كان متصلاً عبر شبكة الجيل الثاني، وكان يحتوي على 14 تطبيقًا، والتقط صورًا بكمية هائلة من الضوضاء والحبوب. ومع ذلك، كانت الفائدة التي حققتها شركة Apple هي أن الشركة صنعت الأجهزة والبرامج، بما في ذلك جميع هذه التطبيقات الأربعة عشر، والتي كانت، قبل متجر التطبيقات، كل ما يمكنك استخدامه. لقد حكمت شركة Apple التجربة بأكملها، مما يعني أيضًا أنها تستطيع إصدار التحديثات في أي وقت تريده.

في المقابل، كانت الأيام الأولى لنظام Android مختلفة بعض الشيء، مع وجود عدد أكبر من الطهاة في المطبخ كما يضرب به المثل. أولاً، ستطلق جوجل إصدارًا جديدًا من نظام التشغيل Android، والذي تم تعديله بعد ذلك من قبل صانعي الرقائق للعمل على أي وحدة معالجة مركزية يستخدمها هاتفك. ثم يتعين على الشركة المصنعة أن تشق طريقها مع Android، وتضيف ميزات أو تطبيقات جديدة، وعادةً ما تغير مجموعة من الأشياء حول مظهرها - غالبًا إلى الأسوأ. ثم يجب أن يذهب إلى شركة الاتصالات الخاصة بك إذا كان هاتفًا يحمل علامة تجارية للشبكة، وسيتأكدون من أنه يعمل على شبكتهم أثناء التجريف أيضًا أكثر bloatware فقط من أجل الجحيم.

وبعد ذلك، إذا كنت محظوظًا، ربما بعد ستة أشهر من إطلاق إصدار Android الجديد، يمكنك أن تقوم بذلك بشكل منتظم شخص ما، سيحصل عليه بالفعل على هاتفك - إلى جانب بعض الإضافات التي قد تكون لديك أو لا تكون لديك مطلوب. بالنسبة إلى 99% من نظام Android البيئي، كانت هذه هي الطريقة التي تعمل بها التحديثات، وكانت بمثابة نقطة ألم كبيرة. يشبه الأمر نوعًا ما طلب همبرغر فاخر في أحد المطاعم ثم الاضطرار إلى الانتظار بينما يضيف مالك الامتياز والخادم مجموعة من الإضافات الغريبة والإجمالية التي لم تطلبها.

الأشخاص الوحيدون الذين لم يكن لديهم هواتفهم الذكية التي تعمل بنظام Android يستغرقون وقتًا طويلاً للحصول على التحديثات التي غالبًا ما تحتوي على برامج إضافية هم أيضًا مالكو Google Nexus. تعمل هذه الهواتف بنظام Android Vanilla وتحصل على تحديثات مباشرة من Google دون إضافة أي شيء فوقها. كانت المشكلة أنها لا تمثل سوى شريحة صغيرة من شريحة فطيرة Android الآخذة في التوسع باستمرار.

التجزئة يخلق مشاكل أمنية

كان هذا الوضع برمته سيئًا جدًا لمجموعة من الأسباب، وكان أحد الأسباب الرئيسية هو الأمن. من الواضح أنه ليس أمرًا رائعًا إذا احتاجت Google أو Qualcomm إلى إصلاح خطأ أمني في السلسلة الغذائية، ثم يتعين عليك الانتظار أشهرًا إضافية حتى يصل فعليًا إلى معظم الأجهزة.

وقد زاد الأمر سوءًا بسبب طبيعة Android في ذلك الوقت وموقف صانعي الهواتف تجاه التحديثات. غالبًا ما كان يُنظر إلى تحديثات البرامج للهواتف الحالية على أنها عمل روتيني، كما لو كنت قد أخطأت كان عليك إنشاء واحدة لأنه، حسنًا، كل ما تقوم بإصلاحه أو إضافته كان يجب أن يكون موجودًا في ذاكرة القراءة فقط الأصلية. ونتيجة لذلك، كان سجل التحديث لكل شخص تقريبًا في عالم Android في ذلك الوقت عبارة عن قمامة وفقًا لمعايير اليوم. ستحصل الشركات الرائدة على تحديث رئيسي لنظام التشغيل بعد أشهر إذا كانوا محظوظين. والأسوأ من ذلك هو أن التصحيحات الأمنية لم تكن موجودة بعد.

كما لو أن الأمر لا يمكن أن يصبح أسوأ من ذلك، فإن جميع تطبيقات Android الأساسية المهمة تقريبًا لا تزال مدمجة في البرامج الثابتة في هذه المرحلة. على سبيل المثال، يجب أن يتم تجميع تحديثات متصفح الويب في OTA وانتظار اعتمادها من قبل الشركة المصنعة والناقل. لذلك، إذا ظهرت ثغرة أمنية في كود محرك المتصفح من جوجل، على سبيل المثال، فلن تكون هناك طريقة للحصول على إصلاحات على نطاق واسع أو سريع. وهذا يعني أن الأشخاص المختلفين سيظلون عالقين في إصدارات مختلفة بتخصيصات مختلفة ومستويات مختلفة من الضعف تجاه البرامج الضارة وغيرها من البرامج الضارة. وبالتالي: تجزئة أندرويد.

ومن الجدير بالذكر أن نظام التشغيل iOS لم يكن *بأي حال من الأحوال* خاليًا من المشكلات الأمنية، خاصة خلال الجيلين الأولين من iPhone. كان عدم وجود متجر تطبيقات رسمي حافزًا كبيرًا لأطفال البرامج النصية والمتسللين ذوي القبعة البيضاء لفتح جهاز iPhone وجعله يفعل أشياء جديدة ومثيرة. كانت إحدى الطرق الرئيسية على الأقل لكسر حماية أجهزة iPhone في ذلك الوقت تتضمن استغلال خطأ في المتصفح. في الأساس، يمكن لصفحة الويب كسر أمان iPhone الأصلي.

كان الاختلاف هو أن شركة Apple يمكنها سد هذه الثغرات الأمنية بسرعة أكبر عند ظهورها والقيام بذلك عبر شبكة كثيراً شريحة أكبر من قاعدة المستخدمين. ليس الأمر كذلك على جانب Android.

كان Google سيئًا، لكن Android أصبح أفضل كثيرًا الآن

كان كل ذلك بمثابة "حساء الجحيم السام" الذي يُزعم أن Google تقدمه في أيام الإصدارين 4 و 5 من Android. إذا نظرنا إلى الوراء مع الاستفادة من الإدراك المتأخر، فمن السهل القول إنه كان ينبغي على Google بذل المزيد من الجهد للاحتفاظ بالسيطرة على Android... أو وضع الأنظمة في مكانها الصحيح منذ البداية للمساعدة في تدفق التحديثات بحرية أكبر وبشكل متكرر.

ومع ذلك، تجدر الإشارة إلى أنه عندما بدأ تطوير Android لأول مرة في عام 2007، كان العالم مكانًا مختلفًا. وكانت الهواتف الذكية التي كانت موجودة في الأساس عبارة عن أدوات بدائية لدمج البريد الإلكتروني لرجال الأعمال. ولم تكن المدفوعات عبر الهاتف المحمول قريبة من الواقع. لن يتم تأسيس أوبر لمدة عامين آخرين. إعادة التغريد المتواضعة لم تكن موجودة أصلاً.

النقطة المهمة هي أنه في ذلك الوقت، لم يكن من الواضح كيف، على مدى العقد التالي، تم تنفيذ العديد من المهام اليومية الأساسية سوف يكون مرتبطًا بهاتفك، ولا كيف سيصبح كنزًا ثمينًا من الأشياء الشخصية الثمينة التي يمكن اختراقها بيانات. يُحسب لشركة Google أن الكثير قد تغير خلال السنوات القليلة الماضية لجعل Android أكثر أمانًا بشكل كبير وتوفير الإصلاحات الأمنية بسرعة أكبر لعدد أكبر من الأشخاص. هناك عديد من الأسباب لذلك.

على سبيل المثال، خدمات Google Play هي شيء ربما تكون قد شاهدت تحديثه على هاتفك وربما لم تعيره الكثير من الاهتمام. ومع ذلك، فهو في الواقع جزء مهم للغاية من كيفية قيام Google بالحفاظ على أمان Android والمساعدة في جلب ميزات جديدة من Android 13 إلى جهاز Galaxy S7 القديم الخاص بجدتك والذي لم يحصل على برامج ثابتة جديدة منذ سنوات.

في حالة Play Services، فهو تطبيق نظام، لذا فهو يتمتع بوصول متميز من المستوى الأعلى A+ Platinum إلى كل شيء على هاتفك. يمكنه القيام بما هو أكثر من مجرد تطبيق عادي يمكنك تنزيله من متجر Play، مثل تثبيت تطبيقات أخرى أو حذفها أو حتى مسح جهازك عن بُعد في حالة فقده أو سرقته.

يجب أن يتم تحميل تطبيقات النظام مثل Play Services على هاتفك من قبل الشركة المصنعة، ولكن بمجرد وجودها، يمكن تحديثها تلقائيًا في الخلفية. وهذا يعني أن الإصدارات الجديدة يمكنها إضافة ميزات ووظائف جديدة بشكل آمن. وتتمتع خدمات Play بمخالب في جميع أنحاء نظام التشغيل، ولهذا السبب، على سبيل المثال، ميزة التقاط الصور الآمنة في Android 13 يمكن طرحه على الهواتف التي تعمل بإصدارات أقدم من نظام التشغيل دون الحاجة إلى تثبيت أي برامج ثابتة جديدة.

تشتمل خدمات Play أيضًا على Google Play Protect، وهي إمكانية مكافحة البرامج الضارة على مستوى نظام التشغيل Android والتي يمكنها إيقاف التطبيقات الضارة قبل تثبيتها أو إزالتها إذا كانت موجودة بالفعل. الشيء المهم الآخر في Play Services هو أنه يدعم الإصدارات القديمة تمامًا من Android. عادةً ما تقوم Google بإسقاط الدعم لخدمات Play فقط على إصدارات Android التي يبلغ عمرها حوالي عشر سنوات. في الوقت الحالي، نحن في صيف 2023، والإصدار الحالي من Play Services مدعوم بدءًا من Android 4.4 KitKat لعام 2013. يعد هذا الجزء العشوائي من الأمور التافهة أمرًا مهمًا لأنه يساعدك على البقاء آمنًا بشكل معقول حتى على الإصدارات الأقدم من Android. وهذا في حد ذاته جزء كبير من استراتيجية أمان Android.

ومن المثير للاهتمام أن Play Services لعبت دورًا مثيرًا للاهتمام في استجابة العديد من البلدان لفيروس كورونا (COVID-19) حول العالم. كان التحديث الذي تم توزيعه عبر Play Services هو كيف تمكنت Google من طرح نظام إشعارات التعرض الذي طورته مع Apple إلى قاعدة مستخدمي Android بالكامل بشكل أساسي في ضربة واحدة. بدون خدمات التشغيل، كان هذا النوع من المساعي سيستغرق شهورًا ولم يصل إلى عدد كبير من الأشخاص تقريبًا.

في الواقع، من الجنون الاعتقاد بأن الجهود التي بذلتها Google لإصلاح تجزئة Android قبل عقد من الزمن تقريبًا محتملة بشكل غير مباشر انتهى الأمر بإنقاذ عدد لا بأس به من الأرواح أثناء الوباء.

رهبة المسرح

تعد تطبيقات البرامج الضارة شيئًا واحدًا، ولكن هناك طرقًا أخرى يمكن للجهات الفاعلة السيئة أن تحاول السيطرة على هاتفك أو سرقة بياناتك. وكانت عمليات استغلال المتصفح جزءًا رئيسيًا جدًا من ذلك، والآن يتم تحديث كل من متصفح Chrome وكود WebView لمحتوى الويب داخل التطبيقات الأخرى من خلال متجر Play. في الواقع، ينطبق هذا على مجموعة كاملة من الأجزاء المختلفة لنظام Android التي كانت تتطلب في السابق تحديث البرنامج الثابت. وتشمل التطبيقات الأخرى برنامج Google Phone Dialer ورسائل Android وعددًا لا يحصى من التطبيقات التي تعمل خلف الكواليس.

لذلك، لنفترض أنه تم اكتشاف استغلال سيئ للمتصفح اليوم في عام 2023، حيث يمكن لصفحة ويب ضارة أن تعطل هاتفك أو تسرق كلمات المرور الخاصة بك أو تجعل تطبيق ستاربكس يفسد طلبك. لا يهم إصدار Android الذي تستخدمه، يمكن لـ Google نشر التحديثات عبر متجر Play الذي يغطي كلاً من Chrome نفسه وأي تطبيق آخر يعرض محتوى الويب. بالعودة إلى أيام ما يسمى بـ "Hellstew السام"، كان نشر نفس الإصلاح يتطلب تحديثًا كاملاً للبرامج الثابتة حتى يتم تنفيذه لكل هاتف يعمل بنظام Android: المزيد من العمل لعدد أكبر بكثير من الأشخاص، وقد يستغرق الأمر شهورًا أو حتى سنوات بدلاً من ذلك أيام.

نوع آخر من الاستغلال كان خبرًا كبيرًا في عالم أمان Android في عام 2015. أثر خطأ "Stagefright" على الجزء الذي يتعامل مع عرض الصور ومقاطع الفيديو في نظام التشغيل Android: فالصورة التي تم التلاعب بها بالطريقة الصحيحة يمكن أن تؤدي إلى حدوث أشياء سيئة لهاتفك. كانت هذه مشكلة كبيرة لأنه في ذلك الوقت، لم يكن من الممكن تحديث مكون Stagefright دون تحديث البرنامج الثابت بالكامل. مرة أخرى: الكثير من العمل الإضافي، والشهادات، والانتظار، بينما من المحتمل أن المعادل الرقمي للوحة مسكونة يمكن أن يكسر هاتفك مفتوحًا على مصراعيه في أي وقت.

كانت تداعيات هذا الذعر الأمني ​​المخيف من Stagefright ذات شقين: أولاً، بدأت Google في إصدار تصحيحات أمنية شهرية لنظام Android، وربط مستوى الأمان الخاص بك بتاريخ محدد. ليس هذا فحسب، بل جعل جوجل تأخذ جعل نظام Android المعياري أكثر جدية، لذلك يمكن تحديث أجزاء من نظام التشغيل مثل Stagefright عبر متجر Play دون الحاجة إلى تحديث كامل للبرامج الثابتة.

لا تزال تصحيحات أمان Android الجديدة تصدر كل شهر حتى يومنا هذا. وهي تغطي الإصدارات الأقدم من نظام التشغيل أيضًا، وليس فقط الأحدث، لذلك حتى لو كان الهاتف لا يزال يعمل بنظام Android 11 أو 12، فلا يزال من الممكن حمايته. عمومًا، جوجل بيكسل وتحصل هواتف Samsung الرائدة على تصحيحات الأمان أولاً، بينما تركض شركات أخرى مثل Motorola بعرق شديد خلف بقية النظام البيئي، وتطلق الحد الأدنى التعاقدي وهو تصحيح واحد كل ربع سنة.

هذا هو الجانب الآخر من هذه المعادلة: تطلب Google الآن بشكل قانوني من صانعي الهواتف الالتزام بالحد الأدنى من الدعم إذا كانوا يريدون تشغيل Android مع خدمات Google على أجهزتهم. مرة أخرى في عام 2018، الحافة ذكرت أن جوجل تفرض عامين من التصحيحات الأمنية، ويتم إصدارها مرة واحدة على الأقل كل 90 يومًا

في هذه الأيام، تعد العلامات التجارية الشهيرة مثل Samsung وOnePlus بأربع سنوات من تحديثات نظام التشغيل وخمس سنوات من التصحيحات الأمنية، ربما مع بعض التشجيع من Google خلف الكواليس.

على الرغم من ظهور التحديثات بشكل متكرر هذه الأيام، إلا أنها لا تزال تتطلب الكثير من العمل الهندسي، خاصة عندما يكون تحديثًا كبيرًا، مثل إصدار نظام تشغيل جديد تمامًا. لا يشبه Android واجهة One UI الخاصة بشركة Samsung أو ColorOS الخاصة بشركة Opp عندما يغادر مصنع شوكولاتة Mountain View التابع لشركة Google، أليس كذلك؟ وفي الأيام الأولى، كنت، كشركة Samsung أو Opp، ستحتاج إلى دمج هذا الإصدار الجديد بالكامل من Android في النسخة المخصصة الخاصة بك من الإصدار السابق. يشبه الأمر إلى حد ما محاولة استبدال بعض المكونات بمجرد طهي الوجبة بالفعل - وينتهي بك الأمر إلى البدء من الصفر تقريبًا.

الحل جوجل؟ في الأساس، طبق عشاء تلفزيوني: تقدم تلك الوجبة في قسمين مختلفين. يمكنك فصل تخصيصات الشركة المصنعة - جميع عناصر One UI أو ColorOS - عن نظام التشغيل الأساسي. وهذا يعني أنه يمكنك تحديث أحدهما بسهولة أكبر دون العبث بالآخر. يُطلق على هذا المسعى برمته اسم Project Treble، وعلى الرغم من أنك لا تستطيع رؤيته على هاتفك، فربما لاحظت ذلك كيف يحصل جهاز Android الذي تمتلكه اليوم على التحديثات بشكل أسرع قليلاً من الجهاز الذي استخدمته لمدة سبع أو ثماني سنوات منذ.

علاوة على ذلك، بدأت Google بمشاركة الإصدارات المستقبلية من Android مع مصنعي المعدات الأصلية في مرحلة مبكرة جدًا. لذلك بحلول الوقت الذي قام فيه المطور الأول بمعاينة أندرويد 14 كانت علنية، ومن المحتمل أن أمثال سامسونج كانت تنظر إليها خلف الكواليس لمدة شهرين أو نحو ذلك. أما بالنسبة للتصحيحات الأمنية، فتتم مشاركتها بشكل خاص قبل شهر من موعدها لمنح الشركات المصنعة السبق.

لذا، في حين أن كل هذا جيد وجيد، غالبًا ما يحتفظ الأشخاص بالهواتف لفترة أطول من عامين فقط. لا يزال طرح البرامج الثابتة الجديدة يمثل قدرًا غير تافه من العمل، وهؤلاء المهندسون لا يعملون مجانًا. مشروع الخط الرئيسي في عام 2019، جعل نظام Android نفسه أكثر نمطية، مع وحدات برمجية لأشياء مثل WiFi وBluetooth ومعالجة الوسائط وغير ذلك الكثير. يمكن بعد ذلك تحديث هذه الوحدات مباشرة بواسطة Google أو الشركة المصنعة بشكل منفصل، دون صعوبة متابعة عملية تحديث البرامج الثابتة بأكملها.

إذا سبق لك أن رأيت تحديث نظام Google Play على هاتفك، فهذا هو الأمر. فكر في الأمر على هذا النحو: إذا انفجر مصباح كهربائي في منزلك، فيمكنك الآن تغيير المصباح فقط... بينما في السابق، كنت تخرج وتحرق منزلك بالأرض وتبني منزلًا جديدًا فوقه.

أصبحت الحماية الأمنية أفضل بكثير الآن

لا تزال المخاوف الأمنية على Android تحدث، حتى في عام 2023. لكن الفرق اليوم، مقارنة بأزمنة الجحيم السامة، هو أن هناك الكثير من الأدوات اللازمة لتحييدها. لنأخذ على سبيل المثال ثغرة Stagefright لعام 2015. جزء Android المتأثر بهذا الخطأ هو وحدة Project Mainline اليوم، ويمكن تحديثه بسهولة وصولاً إلى Android 10 دون تحديث كامل للبرنامج الثابت.

وكمثال آخر، في عام 2014، قد يسمح خطأ "المعرف المزيف" لتطبيق ضار بانتحال شخصية تطبيق بأذونات خاصة، مما قد يعرض بياناتك للمهاجم. إذا حدث شيء من هذا القبيل اليوم، فإن Play Protect سيوقفه في مساراته، ويمكن القضاء على الخطأ الأساسي بسرعة في تحديث Mainline لوحدة وقت تشغيل Android. علاوة على ذلك، بذلت Google أيضًا الكثير من الجهود فيما يتعلق بالتشفير وإدارة الذاكرة لتجعل من الصعب القيام بأي شيء مفيد مع ثغرات Android المستقبلية في حالة ظهورها.

لا يوجد برنامج آمن تمامًا على الإطلاق. توجد ثغرات 0-day - أي: نقاط الضعف السرية غير المصححة - في جميع أنظمة التشغيل وتستخدمها الدول القومية وتباع بمبالغ كبيرة في السوق السوداء. هناك العديد من الأمثلة الحديثة لأشخاص بارزين تم استهدافهم بواسطة برامج ضارة معقدة بشكل مخيف تعتمد على 0 أيام: أشخاص مثل جيف بيزوس، وإيمانويل ماكرون، و ليز تروس. وفي عام 2022، ورد أن رئيس وزراء المملكة المتحدة السابق اضطر إلى الاستمرار في تغيير أرقام الهواتف بعد تعرضه للاختراق، على يد عملاء روس على ما يبدو. في نهاية المطاف، تم اعتبار أن جهازها معرض للخطر تمامًا لدرجة أنه تم قفله في الهاتف الذكي المعادل لتابوت تشيرنوبيل.

إذا كنت تتساءل عن سبب قيامها بتغيير رقم هاتفها، فمن الممكن أن يكون هاتفها مستهدفًا بشيء من هذا القبيل Pegasus، برنامج التجسس الإسرائيلي الصنع الذي يُقال إنه يمكنه السيطرة على أجهزة Android أو iOS بمجرد امتلاك هواتفها رقم. يقال إن روسيا لا تستخدم برامج تجسس أجنبية الصنع، ولكن من المحتمل أن يكون لديها ما يعادلها محليًا استنادًا إلى عمليات استغلال مماثلة لـ 0-day.

يوضح كل هذا أن الأمان بنسبة 100% ما هو إلا وهم، فهو بعيد المنال، بغض النظر عن الجهاز أو نظام التشغيل الذي تستخدمه. ومع ذلك، فإن Android قد تجاوز بكثير كونه "خليطًا سامًا من نقاط الضعف" بنفس الطريقة التي كان من الممكن أن تزعم أنها كانت عليه قبل عقد من الزمن. إنها في وضع أفضل بكثير للتعامل مع تهديدات تنوع الحدائق التي قد يواجهها أولئك منا الذين ليسوا رؤساء حكومات أو مديرين تنفيذيين لشركة تبلغ قيمتها تريليون دولار.

علاوة على ذلك، من المرجح أن يقع الشخص العادي ضحية للهندسة الاجتماعية أو أي عملية احتيال أخرى بدلاً من التعرض للبرامج الضارة المستندة إلى الهاتف. هذا النوع من الاحتيال آخذ في الارتفاع في العديد من البلدان، وفي المملكة المتحدة، وارتفعت بنسبة 25% بين عامي 2020 و2022، مع معظم الحالات التي تنطوي على سوء استخدام الكمبيوتر. مع تحسن أمان الهواتف الذكية، يمكنك القول إن العديد من الأشرار يدركون أنه من الأسهل في الواقع استغلال المكون الاسفنجي المرتبط بالشاشة: أنت.