Android werd beschreven als een ‘giftige hel’ van kwetsbaarheden, maar dat is niet langer het geval.
De iPhone 14 Pro Max, Google Pixel 7 Pro, Xiaomi 13 Ultra en Galaxy S23 Ultra
Tegenwoordig is Android een van de meest gebruikte en veiligste besturingssystemen ter wereld, maar dat is niet altijd zo geweest. Sterker nog: in 2014 ZDNet noemde Android een "giftige hel" van kwetsbaarheden, wat vervolgens werd geciteerd door Tim Cook bij de iPhone-lancering van dat jaar. Cook maakte een punt door te zeggen dat Android zo gefragmenteerd was en dat updates zo traag arriveerden dat die onmogelijk waren arme mensen die "per ongeluk een Android-telefoon kochten" konden genieten van de veiligheid van hun iPhone-bezit beteren.
Dat is echter niet het volledige verhaal, en het klopt tegenwoordig zeker niet.
Nederig begin
Als we terugdenken aan de allereerste iPhone, die was verbonden via 2G, beschikte over ongeveer veertien apps en maakte foto's met een enorme hoeveelheid ruis en korreligheid. Het voordeel voor Apple was echter dat het bedrijf de hardware en de software maakte, inclusief alle veertien apps, wat, vóór de App Store, het enige was dat je kon gebruiken. Apple beheerde de hele ervaring, wat ook betekende dat ze op elk gewenst moment updates konden uitbrengen.
Daarentegen waren de begindagen van Android een beetje anders, met veel meer koks in de spreekwoordelijke keuken. Eerst zou Google een nieuwe versie van Android uitbrengen, die vervolgens door chipmakers werd aangepast om te werken op welke CPU je telefoon ook gebruikte. Vervolgens moest de fabrikant zijn gang gaan met Android, nieuwe functies of apps toevoegen en meestal een aantal dingen veranderen aan hoe het eruit zag – vaak ten kwade. Vervolgens moest het naar uw provider gaan als het een telefoon van het netwerkmerk was, en zij zouden ervoor zorgen dat het op hun netwerk werkte terwijl ze er ook in schoven meer bloatware, gewoon voor de lol.
Dan, als je geluk hebt, misschien zes maanden nadat een nieuwe Android-versie is gelanceerd, jij als vaste klant persoon, zou het daadwerkelijk op je telefoon krijgen, samen met een paar extra's die je wel of niet hebt gewild. Voor 99% van het Android-ecosysteem was dit de manier waarop updates werkten, en het was een groot pijnpunt. Een beetje alsof je een chique hamburger bestelt in een restaurant en dan moet wachten terwijl de franchise-eigenaar en de server een heleboel rare, grove toppings toevoegen waar je niet om hebt gevraagd.
De enige mensen bij wie het niet lang duurde voordat hun Android-smartphone updates kreeg die vaak ook extra software bevatten, waren Google Nexus-bezitters. Deze telefoons draaiden standaard Android en kregen updates rechtstreeks van Google zonder dat er iets aan werd toegevoegd. Het probleem was dat ze slechts een klein stukje van de steeds groter wordende Android-taart vertegenwoordigden.
Fragmentatie leidt tot veiligheidsproblemen
Deze hele situatie was om verschillende redenen behoorlijk slecht, en één grote was de veiligheid. Het is duidelijk niet geweldig als Google of Qualcomm een beveiligingsfout verderop in de voedselketen moeten oplossen, en dan nog eens maanden moet wachten voordat deze daadwerkelijk op de meeste apparaten terechtkomt.
Dat werd nog verergerd door de aard van Android destijds en de houding van telefoonfabrikanten richting updates. Software-updates voor bestaande telefoons werden vaak als een hele klus gezien, bijna alsof je het verprutste als je dat wel deed Ik moest er een maken, want wat je ook repareert of toevoegt, had gewoon in de originele ROM moeten staan. Als gevolg hiervan was het update-trackrecord van vrijwel iedereen in de Android-wereld destijds naar huidige maatstaven in feite een dumpster-niveau. Vlaggenschepen zouden maanden later één grote OS-update krijgen als ze geluk hadden. Erger nog is dat beveiligingspatches nog niet bestonden.
Alsof het niet erger kon worden, waren vrijwel alle belangrijke Android-apps op dit moment nog steeds in de firmware ingebakken. Updates voor webbrowsers zouden bijvoorbeeld in een OTA moeten worden verpakt en moeten wachten op certificering door de fabrikant en de vervoerder. Dus als er een kwetsbaarheid opdook in de browserenginecode van bijvoorbeeld Google, was er geen manier om oplossingen breed of snel te verspreiden. Dat betekende dat verschillende mensen vastzaten aan verschillende versies met verschillende aanpassingen en verschillende niveaus van kwetsbaarheid voor malware en andere vervelende zaken. Vandaar: Android-fragmentatie.
Het is de moeite waard om te zeggen dat iOS *zeker niet* vrij was van beveiligingsproblemen, vooral niet tijdens de eerste paar generaties van de iPhone. Het ontbreken van een officiële app store was een grote stimulans voor scriptkiddies en white-hat hackers om de iPhone open te breken en hem nieuwe en opwindende dingen te laten doen. Eén belangrijke manier om iPhones te jailbreaken was destijds het misbruiken van een bug in de browser. Kortom, een webpagina zou de beveiliging van de originele iPhone kunnen doorbreken.
Het verschil was dat Apple deze gaten in de beveiliging veel sneller kon dichten als ze zich voordeden veel groter deel van de gebruikersbasis. Niet zo aan de Android-kant.
Google was slecht, maar Android is nu een stuk beter
Dat was allemaal de ‘giftige hel’ die Google naar verluidt serveerde in de tijd van Android-versies 4 en 5. Terugkijkend is het gemakkelijk om te zeggen dat Google meer had moeten doen om de controle over Android te behouden... of installeer vanaf het begin systemen om de updates vrijer en frequenter te laten stromen.
Het is echter de moeite waard om te onthouden dat toen Android in 2007 voor het eerst werd ontwikkeld, de wereld er anders uitzag. De smartphones die wel bestonden, waren voornamelijk primitieve e-mail-mashing-apparaten voor zakenmensen. Mobiele betalingen waren nog lang niet een feit. Uber zou pas over twee jaar worden opgericht. De bescheiden retweet bestond niet eens.
Het punt is dat het destijds niet duidelijk was hoe in de daaropvolgende tien jaar zoveel essentiële dagelijkse taken konden worden uitgevoerd aan je telefoon zou worden gekoppeld, noch hoe deze zo'n schat aan kostbare, hackbare persoonlijke gegevens zou worden gegevens. Het is de verdienste van Google dat er de afgelopen jaren ontzettend veel is veranderd om Android substantieel veiliger te maken en beveiligingsoplossingen sneller voor meer mensen beschikbaar te maken. Daar zijn een aantal redenen voor.
Google Play-services is bijvoorbeeld iets dat u mogelijk op uw telefoon heeft zien updaten, maar waar u misschien niet veel aandacht aan heeft besteed. Het is echter eigenlijk een enorm belangrijk onderdeel van de manier waarop Google Android veilig houdt en helpt nieuwe functies van Android 13 naar de oude Galaxy S7 van je oma te brengen, die al jaren geen nieuwe firmware heeft gekregen.
In het geval van Play Services is het een systeemapp, dus deze heeft bevoorrechte toegang op het hoogste niveau A+ Platinum tot alles op uw telefoon. Het kan veel meer doen dan een gewone app die u uit de Play Store zou downloaden, zoals het installeren of verwijderen van andere apps of zelfs het op afstand wissen van uw apparaat als het verloren of gestolen is.
Systeemapps zoals Play Services moeten door de fabrikant op je telefoon worden geladen, maar zodra ze er zijn, kunnen ze automatisch op de achtergrond worden bijgewerkt. Dat betekent dat nieuwe versies veilig nieuwe functies en functionaliteit kunnen toevoegen. En Play Services heeft tentakels over het hele besturingssysteem, daarom is er bijvoorbeeld de veilige fotokiezerfunctie van Android 13 kan worden uitgerold naar telefoons met veel oudere versies van het besturingssysteem zonder dat er nieuwe firmware hoeft te worden geïnstalleerd.
Play Services omvat ook Google Play Protect, de antimalwarefunctie van Android op OS-niveau die kwaadaardige apps kan stoppen voordat ze worden geïnstalleerd of deze kan verwijderen als ze er al zijn. Het andere belangrijke aan Play Services is dat het absoluut oude versies van Android ondersteunt. Google laat doorgaans alleen de ondersteuning voor Play Services vallen op Android-versies die ongeveer tien jaar oud zijn. Op dit moment is het zomer 2023 en wordt de huidige versie van Play Services ondersteund tot aan Android 4.4 KitKat uit 2013. Dat schijnbaar willekeurige stukje nerdy trivia is belangrijk omdat het je helpt redelijk veilig te blijven, zelfs op veel oudere versies van Android. Dat is op zichzelf een groot deel van de Android-beveiligingsstrategie.
Interessant genoeg speelde Play Services een interessante rol in de COVID-19-reactie van veel landen over de hele wereld. Een update die via Play Services werd verspreid, was hoe Google het Exposure Notification System dat het samen met Apple had ontwikkeld, in één klap kon uitrollen naar vrijwel het hele Android-gebruikersbestand. Zonder Play Services zou dit soort inspanningen maanden hebben geduurd en lang niet zoveel mensen hebben bereikt.
Het is zelfs behoorlijk gek om te denken dat de pogingen van Google om de Android-fragmentatie bijna tien jaar eerder op te lossen waarschijnlijk zijn indirect heeft uiteindelijk heel wat levens gered tijdens de pandemie.
Plankenkoorts
Malware-apps zijn één ding, maar er zijn andere manieren waarop kwaadwillenden kunnen proberen de controle over uw telefoon over te nemen of uw gegevens te stelen. Browser-exploits waren daar een behoorlijk belangrijk onderdeel van, en nu worden zowel de Chrome-browser als de WebView-code voor webinhoud in andere apps bijgewerkt via de Play Store. In feite geldt dit voor een hele reeks verschillende delen van Android waarvoor ooit een firmware-update nodig was. Anderen zijn onder meer de Google Phone-kiezer, Android-berichten en talloze apps achter de schermen.
Stel dat er vandaag in 2023 een vervelende browserexploit wordt ontdekt waarbij een kwaadaardige webpagina uw telefoon kan laten crashen, uw wachtwoorden kan stelen of ervoor kan zorgen dat de Starbucks-app uw bestelling verpest. Het maakt niet uit welke versie van Android je gebruikt, Google zou via de Play Store updates kunnen uitbrengen voor zowel Chrome zelf als voor elke andere app die webinhoud weergeeft. Vroeger, in de tijd van de zogenaamde giftige hellstew, had het implementeren van dezelfde oplossing een volledige firmware-update nodig om uit te kunnen komen voor elke Android-telefoon: veel meer werk voor veel meer mensen, en in plaats daarvan zou het maanden of zelfs jaren hebben geduurd dagen.
Een ander soort exploit was in 2015 groot nieuws in de Android-beveiligingswereld. De "Stagefright"-bug trof het deel van Android dat de weergave van afbeeldingen en video verzorgde: een foto waarmee op de juiste manier was geknoeid, kon slechte dingen met je telefoon doen. Dit was een groot probleem omdat dat Stagefright-onderdeel destijds niet kon worden bijgewerkt zonder een volledige firmware-update. Nogmaals: heel veel extra werk, certificering en wachten, terwijl het digitale equivalent van een spookachtig schilderij je telefoon op elk moment wijd open kan breken.
De gevolgen van die griezelige Stagefright-beveiligingsangst waren tweeledig: ten eerste begon Google maandelijkse beveiligingspatches voor Android uit te brengen, waarmee je beveiligingsniveau aan een specifieke datum werd gekoppeld. Niet alleen dat, maar het zorgde er ook voor dat Google het modulair maken van Android een stuk serieuzer ging nemen, zodat delen van het besturingssysteem zoals Stagefright via de Play Store konden worden bijgewerkt zonder dat een volledige firmware-update nodig was.
Tot op de dag van vandaag verschijnen er nog steeds elke maand nieuwe Android-beveiligingspatches. En ze omvatten ook oudere versies van het besturingssysteem, niet alleen de nieuwste, dus zelfs als een telefoon nog op Android 11 of 12 staat, kan deze nog steeds worden beschermd. Over het algemeen, Google Pixel en de vlaggenschepen van Samsung krijgen als eerste beveiligingspatches, terwijl anderen, zoals Motorola, zwetend achter de rest van het ecosysteem aan rennen en het contractuele minimum van één patch per kwartaal vrijgeven.
Dat is de andere kant van deze vergelijking: Google vereist nu wettelijk dat telefoonfabrikanten zich verplichten tot een minimaal ondersteuningsniveau als ze Android met Google-services op hun apparaten willen hebben. Terug in 2018, De rand gerapporteerd dat Google twee jaar lang beveiligingspatches verplicht stelt, die minstens eens in de 90 dagen worden uitgebracht
Tegenwoordig beloven populaire merken als Samsung en OnePlus vier jaar OS-updates en vijf jaar beveiligingspatches, mogelijk met enige aanmoediging van Google achter de schermen.
Ondanks dat updates tegenwoordig veel vaker verschijnen, vereisen ze nog steeds veel technisch werk, vooral als het een grote update is, zoals een geheel nieuwe versie van het besturingssysteem. Android lijkt niet op Samsung's One UI of Oppo's ColorOS als het de Google-chocoladefabriek Mountain View verlaat, toch? En in het begin zou jij, als Samsung of Oppo, die geheel nieuwe versie van Android moeten integreren in je aangepaste vork van de vorige versie. Het is een beetje alsof je een aantal ingrediënten probeert te verwisselen als de maaltijd al klaar is: je moet uiteindelijk bijna helemaal opnieuw beginnen.
De oplossing van Google? Kortom, een tv-dinerbord: je serveert de maaltijd in twee verschillende delen. Je scheidt de aanpassingen van de fabrikant (alle One UI- of ColorOS-dingen) van het kernbesturingssysteem. En dat betekent dat u de ene gemakkelijker kunt bijwerken zonder met de andere te knoeien. Deze hele onderneming heet Project Treble, en hoewel je het niet op je telefoon kunt zien, is het je misschien opgevallen hoe het Android-apparaat dat je vandaag bezit een stuk sneller updates krijgt dan het apparaat dat je zeven of acht jaar gebruikte geleden.
Bovendien is Google al in een veel eerder stadium begonnen met het delen van toekomstige versies van Android met OEM’s. Dus tegen de tijd dat de eerste ontwikkelaar previews krijgt van Androïde 14 openbaar waren, hadden mensen als Samsung er waarschijnlijk al een paar maanden achter de schermen naar gekeken. Wat de beveiligingspatches betreft, deze worden een maand eerder privé gedeeld om fabrikanten een voorsprong te geven.
Dus hoewel dat allemaal goed en wel is, houden mensen hun telefoon vaak langer dan een paar jaar. Het uitbrengen van nieuwe firmware is nog steeds een niet-triviale hoeveelheid werk, en die ingenieurs werken niet gratis. Project Hoofdlijn in 2019 heeft Android zelf modulairer gemaakt, met softwaremodules voor zaken als WiFi, Bluetooth, mediaverwerking en nog veel meer. Deze modules kunnen vervolgens rechtstreeks door Google of de fabrikant afzonderlijk worden bijgewerkt, zonder de rompslomp van het hele firmware-updateproces.
Als je ooit een Google Play-systeemupdate op je telefoon hebt gezien, dan is dat het. Zie het als volgt: Als er bij u thuis een gloeilamp kapot gaat, kunt u nu gewoon de lamp vervangen... Terwijl je voorheen naar buiten ging, je huis platbrandde en er een nieuw huis overheen bouwde.
De beveiliging is nu een stuk beter
Android-beveiligingsangsten komen nog steeds voor, zelfs in 2023. Maar het verschil vandaag de dag, vergeleken met de giftige tijden van de hel, is dat er voldoende middelen zijn om ze te neutraliseren. Neem bijvoorbeeld de Stagefright-kwetsbaarheid uit 2015. Het deel van Android dat door deze bug wordt getroffen, is tegenwoordig een Project Mainline-module en kan eenvoudig worden bijgewerkt naar Android 10 zonder een volledige firmware-update.
Nog een voorbeeld: in 2014 kon de bug 'Fake ID' ervoor zorgen dat een kwaadwillende app zich voordeed als een app met speciale machtigingen, waardoor uw gegevens mogelijk aan een aanvaller werden blootgesteld. Als zoiets vandaag de dag zou gebeuren, zou Play Protect dit tegenhouden en zou de onderliggende bug snel kunnen worden opgelost in een Mainline-update van de Android-runtime-module. Bovendien heeft Google onder de motorkap ook veel gedaan op het gebied van encryptie en geheugenbeheer om het moeilijker te maken om iets nuttigs te doen met toekomstige Android-kwetsbaarheden als en wanneer deze zich voordoen.
Geen enkele software is ooit volledig veilig. 0-day exploits – dat wil zeggen: geheime, niet-gepatchte kwetsbaarheden – bestaan voor alle besturingssystemen en worden door natiestaten gebruikt en voor enorme bedragen op de zwarte markt verkocht. Er zijn veel recente voorbeelden van spraakmakende personen die het doelwit zijn van griezelig geavanceerde malware op basis van 0-days: mensen als Jeff Bezos, Emmanuel Macron en Liz Truss. In 2022 moest de voormalige Britse premier naar verluidt steeds van telefoonnummer wisselen nadat hij was gehackt, vermoedelijk door Russische agenten. Uiteindelijk werd aangenomen dat haar apparaat zo volledig gecompromitteerd was dat het werd opgesloten in het smartphone-equivalent van de sarcofaag van Tsjernobyl.
Als je je afvraagt waarom ze haar telefoonnummer veranderde, is het mogelijk dat haar telefoon het doelwit was van zoiets als Pegasus, de in Israël gemaakte spyware die naar verluidt Android- of iOS-apparaten kan overnemen door alleen maar hun telefoon te hebben nummer. Rusland maakt naar verluidt geen gebruik van in het buitenland gemaakte spyware, maar het is waarschijnlijk dat ze hun eigen equivalent van eigen bodem hebben, gebaseerd op soortgelijke 0-day exploits.
Dit alles laat zien dat 100% beveiliging een illusie is; het is onhaalbaar, welk apparaat of besturingssysteem u ook gebruikt. Niettemin is Android al lang niet meer een ‘giftige hel van kwetsbaarheden’, zoals je tien jaar geleden had kunnen beweren. Het is veel beter geplaatst om de bedreigingen voor de tuinvariëteit aan te pakken waarmee degenen onder ons die geen regeringsleider zijn of de CEO van een biljoenenbedrijf zijn, te maken kunnen krijgen.
Bovendien is de kans veel groter dat de gemiddelde persoon het slachtoffer wordt van social engineering of een andere vorm van oplichting, dan dat hij wordt gestoken door telefoongebaseerde malware. Dit soort fraude neemt in veel landen toe, en in Groot-Brittannië tussen 2020 en 2022 is het met 25% gestegen, waarbij in de meeste gevallen sprake is van computermisbruik. Nu de beveiliging van smartphones is verbeterd, zou je kunnen zeggen dat veel slechteriken zich realiseren dat het eigenlijk gemakkelijker is om misbruik te maken van het zachte, vlezige onderdeel dat aan het scherm is bevestigd: jij.