La sécurité d'Android s'est améliorée à pas de géant au cours des 10 dernières années: voici comment

De nos jours, Android est l'un des systèmes d'exploitation les plus utilisés et les plus sécurisés de la planète, mais il n'en a pas toujours été ainsi. En fait, en 2014, ZDNet Il est célèbre pour avoir qualifié Android de « ragoût toxique » de vulnérabilités, ce qui a ensuite été cité par Tim Cook lors du lancement de l'iPhone cette année-là. Cook a tenu à dire qu'Android était tellement fragmenté et que les mises à jour étaient si lentes à arriver qu'il n'y avait aucun moyen que ces mises à jour arrivent. les pauvres qui « ont acheté un téléphone Android par erreur » pourraient bénéficier de la sécurité de leur iPhone parieurs.

Cependant, ce n’est pas tout, et ce n’est certainement pas exact de nos jours.

Des débuts modestes

En repensant au tout premier iPhone, il se connectait via 2G, possédait environ 14 applications et prenait des photos avec une énorme quantité de bruit et de grain. Cependant, l’avantage pour Apple était que la société fabriquait le matériel et les logiciels, y compris les 14 applications, qui, avant l’App Store, étaient tout ce que vous pouviez utiliser. Apple régissait l'ensemble de l'expérience, ce qui signifiait également qu'ils pouvaient publier des mises à jour à tout moment.

En revanche, les débuts d’Android étaient un peu différents, avec beaucoup plus de cuisiniers dans la cuisine proverbiale. Tout d’abord, Google publierait une nouvelle version d’Android, qui serait ensuite adaptée par les fabricants de puces pour fonctionner sur le processeur utilisé par votre téléphone. Ensuite, le fabricant a dû se débrouiller avec Android, ajouter de nouvelles fonctionnalités ou applications et modifier généralement un tas de choses sur son apparence – souvent pour le pire. Ensuite, il fallait qu'il soit adressé à votre opérateur s'il s'agissait d'un téléphone de marque réseau, et ils s'assureraient qu'il fonctionnait sur leur réseau tout en l'installant. plus bloatware juste pour le plaisir.

Ensuite, si vous aviez de la chance, peut-être six mois après le lancement d'une nouvelle version d'Android, vous, en tant qu'utilisateur habituel, personne, l'obtiendrait sur votre téléphone - avec quelques extras que vous pourriez ou non avoir recherché. Pour 99 % de l’écosystème Android, c’était ainsi que fonctionnaient les mises à jour, et c’était un gros problème. Un peu comme commander un hamburger raffiné dans un restaurant et devoir ensuite attendre pendant que le propriétaire de la franchise et le serveur ajoutent un tas de garnitures étranges et dégoûtantes que vous n'avez pas demandées.

Les seules personnes qui ne disposaient pas de leur smartphone Android mettaient une éternité à obtenir des mises à jour contenant souvent également des logiciels supplémentaires étaient les propriétaires de Google Nexus. Ces téléphones fonctionnaient sous Android Vanilla et recevaient des mises à jour directement de Google sans rien ajouté. Le problème était qu’ils ne représentaient qu’une petite part du gâteau Android en constante expansion.

La fragmentation crée des problèmes de sécurité

Toute cette situation était plutôt mauvaise pour un certain nombre de raisons, dont la plus importante était la sécurité. Évidemment, ce n'est pas génial si Google ou Qualcomm doivent corriger un bug de sécurité plus haut dans la chaîne alimentaire, et vous devez ensuite attendre des mois supplémentaires pour qu'il soit réellement diffusé sur la plupart des appareils.

Cela a été aggravé par la nature d'Android à l'époque et l'attitude des fabricants de téléphones. vers mises à jour. Les mises à jour logicielles pour les téléphones existants étaient souvent considérées comme une corvée – presque comme si vous aviez fait une erreur si vous J'ai dû en créer un parce que, eh bien, tout ce que vous corrigez ou ajoutez aurait dû être dans la ROM d'origine. En conséquence, les antécédents de mise à jour de presque tout le monde dans le monde Android à l’époque étaient essentiellement de niveau benne à ordures par rapport aux normes actuelles. Les produits phares recevraient une mise à jour majeure du système d'exploitation des mois plus tard s'ils avaient de la chance. Pire encore, les correctifs de sécurité n’existaient pas encore.

Comme si cela ne pouvait pas être pire, à ce stade, presque toutes les applications Android principales étaient encore intégrées au micrologiciel. Les mises à jour du navigateur Web, par exemple, devraient être regroupées dans un OTA et attendre d'être certifiées par le fabricant et l'opérateur. Ainsi, si une vulnérabilité apparaissait dans le code du moteur du navigateur, par exemple de Google, il n'y avait aucun moyen de diffuser largement ou rapidement des correctifs. Cela signifiait que différentes personnes seraient bloquées sur différentes versions avec différentes personnalisations et différents niveaux de vulnérabilité aux logiciels malveillants et autres logiciels malveillants. D’où: fragmentation d’Android.

Il vaut la peine de dire qu'iOS n'était *en aucun cas* exempt de problèmes de sécurité, en particulier au cours des deux premières générations d'iPhone. L’absence d’une boutique d’applications officielle a fortement incité les script kiddies et les pirates informatiques à ouvrir l’iPhone et à lui faire faire des choses nouvelles et passionnantes. À l’époque, au moins un moyen majeur de jailbreaker les iPhones impliquait l’exploitation d’un bug dans le navigateur. Fondamentalement, une page Web pourrait briser la sécurité de l'iPhone d'origine.

La différence était qu'Apple pouvait boucher ces failles de sécurité beaucoup plus rapidement lorsqu'elles apparaissaient et ce, sur l'ensemble d'un réseau. beaucoup une plus grande partie de la base d’utilisateurs. Ce n’est pas le cas du côté Android.

Google était mauvais, mais Android est bien meilleur maintenant

Tout cela était le « ragoût toxique » que Google aurait servi à l’époque des versions 4 et 5 d’Android. Avec le recul, il est facile de dire que Google aurait dû faire davantage pour conserver le contrôle d'Android... ou mettre en place des systèmes dès le départ pour permettre aux mises à jour de circuler plus librement et plus fréquemment.

Il convient cependant de rappeler qu’à l’époque où Android était en développement pour la première fois en 2007, le monde était différent. Les smartphones qui existaient étaient pour la plupart des engins primitifs de messagerie électronique destinés aux hommes d'affaires. Les paiements mobiles étaient loin d’être une réalité. Uber ne serait pas fondé avant deux ans. L’humble retweet n’existait même pas.

Le fait est qu’à l’époque, il n’était pas clair comment, au cours de la décennie suivante, tant de tâches quotidiennes essentielles serait lié à votre téléphone, ni comment il deviendrait un tel trésor d'informations personnelles précieuses et piratables. données. Au crédit de Google, énormément de choses ont changé au cours des dernières années pour rendre Android plus sécurisé et fournir plus rapidement des correctifs de sécurité à un plus grand nombre de personnes. Il ya un certain nombre de raisons à cela.

Par exemple, les services Google Play sont quelque chose que vous avez peut-être vu mis à jour sur votre téléphone et auquel vous n'avez peut-être pas prêté beaucoup d'attention. Cependant, il s'agit en fait d'un élément extrêmement important dans la façon dont Google assure la sécurité d'Android et contribue à apporter de nouvelles fonctionnalités d'Android 13 à l'ancien Galaxy S7 de votre grand-mère qui n'a pas reçu de nouveau firmware depuis des années.

Dans le cas des services Play, il s'agit d'une application système, elle dispose donc d'un accès privilégié de niveau A+ Platinum de haut niveau à tout ce qui se trouve sur votre téléphone. Il peut faire bien plus qu'une application classique que vous téléchargeriez sur le Play Store, comme installer ou supprimer d'autres applications ou même effacer à distance votre appareil en cas de perte ou de vol.

Les applications système telles que les services Play doivent être chargées sur votre téléphone par le fabricant, mais une fois qu'elles sont là, elles peuvent être mises à jour automatiquement en arrière-plan. Cela signifie que les nouvelles versions peuvent ajouter de nouvelles fonctionnalités en toute sécurité. Et les services Play ont des tentacules partout dans le système d'exploitation, c'est pourquoi, par exemple, la fonction de sélection de photos sécurisée d'Android 13 pourrait être déployé sur des téléphones exécutant des versions beaucoup plus anciennes du système d’exploitation sans qu’il soit nécessaire d’installer un nouveau micrologiciel.

Les services Play incluent également Google Play Protect, la fonctionnalité antimalware au niveau du système d'exploitation Android qui peut arrêter les applications malveillantes avant qu'elles ne soient installées ou les supprimer si elles sont déjà là. L'autre chose importante à propos des services Play est qu'ils prennent en charge des versions absolument anciennes d'Android. Google ne supprime généralement la prise en charge des services Play que sur les versions Android datant d'environ dix ans. Nous sommes actuellement à l’été 2023 et la version actuelle des services Play est prise en charge depuis Android 4.4 KitKat de 2013. Cette anecdote apparemment aléatoire est importante car elle vous aide à rester raisonnablement en sécurité, même sur des versions beaucoup plus anciennes d'Android. Cela constitue en soi une grande partie de la stratégie de sécurité Android.

Il est intéressant de noter que les services Play ont joué un rôle intéressant dans la réponse au COVID-19 de nombreux pays à travers le monde. Une mise à jour distribuée via les services Play a permis à Google de déployer d'un seul coup le système de notification d'exposition qu'il avait développé avec Apple à l'ensemble de la base d'utilisateurs Android. Sans Play Services, ce genre d’effort aurait pris des mois et n’aurait pas touché autant de personnes.

En fait, il est assez fou de penser que les efforts de Google pour remédier à la fragmentation d'Android près d'une décennie plus tôt sont probablement indirectement a fini par sauver de nombreuses vies pendant la pandémie.

Trac

Les applications malveillantes sont une chose, mais il existe d'autres moyens par lesquels des acteurs malveillants peuvent tenter de prendre le contrôle de votre téléphone ou de voler vos données. Les exploits du navigateur en sont une part importante, et désormais, le navigateur Chrome et le code WebView pour le contenu Web d'autres applications sont mis à jour via le Play Store. En fait, cela s’applique à tout un tas de parties différentes d’Android qui nécessitaient autrefois une mise à jour du micrologiciel. D'autres incluent le numéroteur téléphonique Google, les messages Android et d'innombrables applications en coulisses.

Supposons qu'un méchant exploit de navigateur soit découvert aujourd'hui en 2023, où une page Web malveillante pourrait faire planter votre téléphone, voler vos mots de passe ou faire en sorte que l'application Starbucks gâche votre commande. Quelle que soit la version d'Android que vous utilisez, Google pourrait publier des mises à jour via le Play Store couvrant à la fois Chrome lui-même et toute autre application affichant du contenu Web. À l’époque de ce qu’on appelle le ragoût toxique, le déploiement du même correctif nécessitait une mise à jour complète du micrologiciel pour être mis en œuvre. à chaque téléphone Android: beaucoup plus de travail pour beaucoup plus de personnes, et cela aurait pris des mois, voire des années au lieu de jours.

Un autre type d’exploit a été une grande nouvelle dans le monde de la sécurité Android en 2015. Le bug "Stagefright" affectait la partie d'Android qui gérait le rendu des images et des vidéos: une photo qui avait été falsifiée de la bonne manière pouvait faire de mauvaises choses à votre téléphone. C'était un gros problème car à l'époque, ce composant Stagefright ne pouvait pas être mis à jour sans une mise à jour complète du firmware. Encore une fois: beaucoup de travail supplémentaire, de certification et d'attente alors que potentiellement, l'équivalent numérique d'une peinture hantée pourrait ouvrir grand votre téléphone à tout moment.

Les conséquences de cette effrayante alerte à la sécurité de Stagefright ont été doubles: premièrement, Google a commencé à publier des correctifs de sécurité mensuels pour Android, liant votre niveau de sécurité à une date spécifique. Non seulement cela, mais cela a amené Google à prendre beaucoup plus au sérieux la modularité d'Android, de sorte que des parties du système d'exploitation comme Stagefright pouvaient être mises à jour via le Play Store sans avoir besoin d'une mise à jour complète du micrologiciel.

De nouveaux correctifs de sécurité Android sont encore publiés chaque mois à ce jour. Et ils couvrent également les anciennes versions du système d’exploitation, pas seulement les dernières, donc même si un téléphone est toujours sous Android 11 ou 12, il peut toujours être protégé. En général, Google-Pixels et les produits phares de Samsung reçoivent les correctifs de sécurité en premier, tandis que d'autres, comme Motorola, suivent en sueur le reste de l'écosystème, publiant le strict minimum contractuel d'un correctif par trimestre.

C'est l'autre côté de cette équation: Google exige désormais légalement que les fabricants de téléphones s'engagent à un niveau minimum de support s'ils souhaitent qu'Android avec les services Google soit installé sur leurs appareils. En 2018, Le bord signalé que Google impose deux ans de correctifs de sécurité, sortant au moins une fois tous les 90 jours

De nos jours, des marques populaires comme Samsung et OnePlus promettent quatre ans de mises à jour du système d'exploitation et cinq ans de correctifs de sécurité, éventuellement avec les encouragements de Google en coulisses.

Même si les mises à jour sont beaucoup plus fréquentes de nos jours, elles nécessitent encore beaucoup de travail d'ingénierie, surtout lorsqu'il s'agit d'une mise à jour importante, comme une toute nouvelle version du système d'exploitation. Android ne ressemble pas au One UI de Samsung ou au ColorOS d'Oppo lorsqu'il quitte l'usine de chocolat de Google à Mountain View, n'est-ce pas? Et au début, vous, en tant que Samsung ou Oppo, deviez intégrer cette toute nouvelle version d'Android dans votre fork personnalisé de la version précédente. C'est un peu comme essayer d'échanger certains ingrédients une fois qu'un repas est déjà cuit: vous finissez par devoir presque recommencer à zéro.

La solution de Google? En gros, une assiette télé: vous servez ce repas dans deux sections différentes. Vous séparez les personnalisations du fabricant – tous les éléments One UI ou ColorOS – du système d'exploitation principal. Et cela signifie que vous pouvez plus facilement mettre à jour l’un sans jouer avec l’autre. Toute cette initiative s'appelle Project Treble, et même si vous ne pouvez pas le voir sur votre téléphone, vous l'avez peut-être remarqué. comment l'appareil Android que vous possédez aujourd'hui obtient des mises à jour un peu plus rapidement que celui que vous avez utilisé pendant sept ou huit ans il y a.

De plus, Google a commencé à partager les futures versions d’Android avec les constructeurs OEM bien plus tôt. Ainsi, au moment où les premiers développeurs présentent un aperçu de Android 14 étaient publics, des sociétés comme Samsung y jetaient probablement un coup d'œil dans les coulisses depuis environ quelques mois. Quant aux correctifs de sécurité, ils sont partagés en privé un mois à l’avance pour donner une longueur d’avance aux fabricants.

Ainsi, même si tout cela est bien beau, les gens gardent souvent leur téléphone plus longtemps que quelques années. La publication d’un nouveau micrologiciel représente toujours une quantité de travail non négligeable, et ces ingénieurs ne travaillent pas gratuitement. Ligne principale du projet en 2019, Android lui-même a été plus modulaire, avec des modules logiciels pour des choses comme le WiFi, le Bluetooth, la gestion des médias et bien plus encore. Ces modules peuvent ensuite être directement mis à jour par Google ou le fabricant séparément, sans avoir à passer par tout le processus de mise à jour du firmware.

Si vous avez déjà vu une mise à jour du système Google Play sur votre téléphone, voilà de quoi il s'agit. Pensez-y comme ceci: si une ampoule explose dans votre maison, vous pouvez désormais simplement changer l'ampoule... alors qu'avant, vous sortiez, brûliez votre maison et en construisiez une nouvelle par-dessus.

Les protections de sécurité sont bien meilleures maintenant

Les craintes liées à la sécurité d’Android se produisent encore, même en 2023. Mais la différence aujourd’hui, par rapport à l’époque de l’enfer toxique, c’est qu’il existe de nombreux outils pour les neutraliser. Prenez par exemple la vulnérabilité Stagefright de 2015. La partie d'Android affectée par ce bug est aujourd'hui un module Project Mainline, et elle est facilement mise à jour jusqu'à Android 10 sans mise à jour complète du micrologiciel.

Comme autre exemple, en 2014, le bug « Fake ID » pourrait permettre à une application malveillante d’usurper l’identité d’une application avec des autorisations spéciales, exposant potentiellement vos données à un attaquant. Si quelque chose comme cela se produisait aujourd’hui, Play Protect l’arrêterait net, et le bogue sous-jacent pourrait être rapidement corrigé dans une mise à jour Mainline du module d’exécution Android. En plus de cela, Google a également fait beaucoup de choses en coulisses en matière de cryptage et de gestion de la mémoire pour rendre plus difficile toute action utile avec les futures vulnérabilités Android si et quand elles apparaissent.

Aucun logiciel n’est jamais complètement sécurisé. Les exploits du jour 0, c'est-à-dire les vulnérabilités secrètes et non corrigées, existent pour tous les systèmes d'exploitation et sont utilisés par les États-nations et vendus pour des sommes considérables sur le marché noir. Il existe de nombreux exemples récents d'individus de premier plan ciblés par des logiciels malveillants effrayants et sophistiqués basés sur le jour 0: des personnes comme Jeff Bezos, Emmanuel Macron et Liz Truss. En 2022, l’ancien Premier ministre britannique aurait dû changer de numéro de téléphone à plusieurs reprises après avoir été piraté, soi-disant par des agents russes. Finalement, son appareil a été jugé si complètement compromis qu'il a été enfermé dans l'équivalent pour smartphone du sarcophage de Tchernobyl.

Si vous vous demandez pourquoi elle a changé son numéro de téléphone, il est possible que son téléphone ait été ciblé par quelque chose comme Pegasus, le logiciel espion de fabrication israélienne qui pourrait s'emparer des appareils Android ou iOS simplement en possédant leur téléphone nombre. La Russie n’utiliserait apparemment pas de logiciels espions fabriqués à l’étranger, mais il est probable qu’elle ait son propre équivalent local basé sur des exploits similaires de type 0-day.

Tout cela montre qu'une sécurité à 100 % est une illusion: elle est inaccessible, quel que soit l'appareil ou le système d'exploitation que vous utilisez. Néanmoins, Android est bien plus qu’un « enfer toxique de vulnérabilités », de la même manière qu’on aurait pu le prétendre il y a dix ans. Il est bien mieux placé pour faire face aux menaces liées aux variétés potagères auxquelles pourraient être confrontés ceux d’entre nous qui ne sont pas chefs de gouvernement ou PDG d’une entreprise valant des milliards de dollars.

De plus, la personne moyenne est beaucoup plus susceptible d’être victime d’ingénierie sociale ou d’une autre arnaque que d’être piquée par des logiciels malveillants basés sur son téléphone. Ce type de fraude est en augmentation dans de nombreux pays, et au Royaume-Uni, il a augmenté de 25% entre 2020 et 2022, la plupart des cas impliquant une mauvaise utilisation de l'ordinateur. À mesure que la sécurité des smartphones s’est améliorée, on pourrait dire que de nombreux méchants se rendent compte qu’il est en réalité plus facile d’exploiter le composant visqueux et charnu attaché à l’écran: vous.