Efter skarp kritik: Langsomt bliver sikkerheden i Android-enheder bedre

Illustration: Android Logo
Android-smartphones halter stadig efter i forhold til sikkerhed, og ikke mindst gamle versioner er decideret usikre. Men med den nyeste version, Marshmallow, er der sket betydelige sikkerhedsfremskridt.

Fødekæden for sikkerhedsopdateringer i Android er langsommelig og udgør en konstant sikkerhedsrisiko. For selv om en sårbarhed hurtigt opdages, kan det tage måneder, før en patch/sikkerhedsopdatering rammer slutbrugerens smartphone – hvis den nogensinde gør det.

Imens er smartphonen potentielt i farezonen for at blive kompromitteret, og anvendes mobilen til også at huse forretningsapplikationer, er der decideret risiko for, at virksomhedens it-sikkerhed bliver kompromitteret, eller at værdifulde virksomhedsinformationer falder i de forkerte hænder.

»Smartphones og især Android-enheder er en kæmpe sikkerhedsudfordring for virksomhederne, men heldigvis er der sket forbedringer undervejs, og med den seneste version, Android Marshmallow, er der for alvor skruet op for sikkerheden,« fortæller it-sikkerhedsekspert hos SEC Datacom Morten Ekeroth Stenfeldt.

Læs også: Center for Cybersikkerhed: Sandsynligt at Stagefright vil blive forsøgt udnyttet inden for de næste måneder

Han er netop vendt hjem fra den årlige RSA-sikkerhedskonference i San Francisco, og et helt centralt tema på konferencen var netop mobilsikkerhed, ikke mindst når det gælder Android-styresystemet.

Lang vej for opdateringer

Udfordringen med Android er den fødekæde, som sikkerhedsopdateringer skal igennem, før de rammer brugerens mobil.

Først skal et sikkerhedshul opdages, og så skal Google finde en løsning på problemet. Det medfører en patch, som Google kan sende ud til de telefoner, som Google selv administrerer – de såkaldte Nexus.

Læs også: Google lukker fem kritiske sikkerhedsproblemer i Android - herunder endnu en MMS-trussel

Resten af markedet er afhængigt af, at mobiltelefonproducenten pakker patchen ind i netop deres udgave af Android, hvilket kan svinge i tid for de enkelte producenter fra få dage til flere måneder – og for visse udgaver af Android er producenterne helt holdt op med at sende opdateringer ud.

Læs også: Kritiske opdateringer ignoreres: Millioner af Android-telefoner fyldt med sikkerhedshuller

I nogle tilfælde er opdateringen også afhængig af de forskellige teleudbydere i de enkelte lande, der igen kan lægge hindringer i vejen for en hurtig sikkerhedsopdatering.

Forebyggende beskyttelse

Et sådant univers er egnet til at give it-administratorer grå hår i frisuren og efterlader store bekymringer om brugen af smartdevices til forretningskritiske løsninger. Men der er hjælp at hente, påpeger Morten Ekeroth Stenfeldt.

»Vi ser allerede nu – og det vil accelerere over de kommende år – en stigende efterspørgsel på løsninger til styring af mobile enheder, også kaldet mobile device management (MDM). På den måde kan netværksadministratoren styre, hvilke apps der kan hentes ned på de enkelte enheder, og det er også muligt at definere private og professionelle ‘rum’ på enhederne, så den samme enhed kan anvendes til både private og forretningsmæssige forhold,« forklarer han.

Et ekstra lag på sikkerheden kan virksomhederne få ved at anvende forebyggende beskyttelse på mobile enheder, såkaldt mobile threat prevention (MTP), hvor virksomhederne kan holde sig ajour med, hvilke apps der eksempelvis udgør en trussel, og som evt. har tiltusket sig rettigheder på telefonen, som brugeren eller virksomheden reelt ikke ønsker, at applikationerne har adgang til.

Tre risikogrupper

»MTP inddeler de enkelte apps i tre risikogrupper. Lidt ligesom et lyssignal, og det er klart, at de apps, der kommer ud som røde, skal man holde sig langt væk fra. Det er imponerende, som en simpel – og tilsyneladende uskyldig – app kan sikre sig adgang til funktioner på telefonen, som eksempelvis e-mailkontakter, opkaldslog, internetbrug, kalenderdata, geografiske data, device ID samt information om, hvorledes du bruger selve appen. Hvis app-udbyderen indsamler data om dig, er der en risiko for, at det bliver solgt videre til tredjepart,« uddyber Morten Ekeroth Stenfeldt.

Blandt de nye sikkerhedstiltag i Android Marshmallow er netop muligheden for på visse apps at tilkendegive, hvilken adgang til telefonens ressourcer de skal have.

Selv om Android og ikke mindst ældre Android-telefoner er i risikozonen for angreb eller malware, så er Apples iPhone heller ikke gået helt fri. I 2015 lykkedes det hackere at komme ind bag Apples ellers lukkede Appstore ved at inficere et udviklingsværktøj, der anvendes til app-udvikling med malware.

På den måde kunne malwaren slippe uset gennem Apples kontrolrutiner, fordi Appstores udgangspunkt var, at udviklingsværktøjet var i orden.

Kom gratis med til Danmarks største IT-sikkerhedsevent!

Infosecurity, Europas mest populære IT-sikkerhedsevent, afholdes for første gang i Danmark den 3. og 4. maj 2016. 50 udstillere, 5 konferencesale og mere end 60 seminarer og caseoplæg fra ind- og udland. Læs mere her.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (0)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Log ind eller Opret konto for at kommentere