Fiasco: Quem garante a segurança dos apps para celular?
Trecho da minha coluna de ontem no TechTudo a respeito do recente episódio no Android Market:
Imagine baixar uma app da loja on-line oficial do fabricante do sistema do seu celular, e descobrir que ela veio com um rootkit e que a única solução completa pode ser “zerar” todo o celular e reinstalar o seu sistema operacional?
Uma situação assim aconteceu a milhares de usuários nesta semana, e abre espaço para uma discussão sobre os limites do que anos de experiência nos ensinaram sobre downloads seguros.
Quem garante?
Já escrevi em várias oportunidades, e este texto é mais uma oportunidade de repisar o alerta, de que a próxima fronteira da segurança digital a ser desbravada pelos usuários não é em seus próprios equipamentos, e sim nas fontes (aparentemente confiáveis) de aplicativos para instalação.
Afinal de contas, nem mesmo um repositório de programas tão restrito e controlado como a App Store da Apple está imune a aplicativos com funcionalidades disfarçadas – e no caso de modelos de distribuição de apps mais abertos, como o Android Market, a situação se complica muito mais, pois as barreiras de entrada são extremamente baixas.
Evitando algum mal-entendido, já antecipo a explicação: não estou defendendo o modelo restrito – acho que até mesmo a App Store da Apple vai precisar de uma estratégia que permita identificar comportamentos indevidos dos programas enviados para a aprovação da Apple.
Mas no caso das lojas abertas (como a do Android) e dos repositórios públicos (como os mantidos pela comunidade em complemento ao das distribuições de Linux), a situação é (…) (via techtudo.com.br)
@brlinuxblog
Feed RSS
Espero que não chegue ao ponto de ter que usar anti-vírus, anti-spyware e anti-rookit em nossos smartphones. Mas sabem como é né, nenhum sistema está imune a essas pragas.
“Arquitetura de segurança
O ponto central do design de segurança a arquitetura Android é de que nenhuma aplicação, por padrão, tem permissão de atuar em qualquer operação que possa adversamente impactar outras aplicações, o sistema operacional ou o usuário. Isto inclui leitura e escrita dos dados pessoais do usuário (tais como contatos ou e-mails), leitura ou escrita de arquivos de outras aplicações, atuar no acesso de rede, manter o sistema desperto, etc
Um processo de aplicação é executado em uma sandbox* de segurança. O sandbox é desenvolvido para prevenir aplicações de interferir em outras, exceto pela declaração explícita de permissão que precisam para capacidades adicionais não providas pelo sandbox básico. O sistema lida com as requisições de permissões de várias formas, tipicamente permitindo ou negando por meio de certificados ou perguntando ao usuário. As permissões requeridas pelas aplicações são declaradas estaticamente na aplicação, assim que pode-se saber de antemão no momento da instalação e as permissões não podem ser alteradas depois disto. “
pensei que linux n tinha virus!
Procure no EULA de qualquer software e você vai saber quem garante. Geralmente é o nosso amigo Zé Ninguem.
O usuário é quem deve decidir. Não precisa ser diretamente. Só que pra decidir, o usuário vai precisar entender um pouco sobre segurança.
A Google, ou a Apple poderiam oferecer repositórios ultra restritos por padrão. Caberia ao usuário habilitar ou não novas chaves de assinatura eletrônica e novos repositórios. A prória Google, a Apple e OUTROS poderiam oferecer a opção de repositórios menos restritos. Se o usuário confiar em quem não é confiável (superdownloads), então não há muito o que se fazer…
Nesta semana os responsáveis pelo Android Market descobriram que estavam disponibilizando 21 aplicativos desenvolvidos por um programador com finalidade de roubar dados de quem instalasse qualquer um dos aplicativos. O desenvolvedor foi expulso mas o Google não garantiu que alguém não foi prejudicado. Ou seja, o repositório oficial estava oferecendo programas infectados.
Tudo bem que usuário só que usar e deixa abóbora lascar e depois é só meter o pau nas empresas. Mas, penso que já passou da hora das pessoas terem cursos de segurança na escola. O problema que a facilidade chegou primeiro do que a responsabilidade… Penso que deveremos conviver com isto e que os mais fortes/espertos sairão ilesos…
A notícia da a entender que o problema é maior do que realmente acontece. Ou que a AppStore é mais segura que o market, o que não é.
As aplicações só podem atingir quem colocou root no aparelho. O que não é simples e nem recomendado. A google tem consulte de como aconteceu, e tem a identidade do infrator. Não é como um vírus.
No ios é pior, porque mais pessoas precisam fazer jailbreak.
Se você faz root ou jailbreak está sujeito a essas coisas.
Por enquanto o android é muito mais seguro do que antivírus.
Outro Marcos, aparentemente você está comentando algum outro caso, Neste caso narrado na notícia, os próprios aplicativos listados incluíam um rootkit. O usuário infectado não precisava ter feito jailbreak.
Não Augusto, eu estou comentando este mesmo caso. A notícia em questão está exagerada neste livro ponto. Os aplicativos em questão prestavam de que o usuário já tivesse feito root no aparelho. Eles se aproveitavam de um furo nos root kits instalados pelos usuários.
Outro Marcos, você tem alguma referência que indique isto? Porque o relato do site que encontrou o problema e informou ao Google é bem claro ao informar que o rootkit vinha inserido nos próprios pacotes infectados, e não cita qualquer dependência de o usuário ter efetuado um jailbreak previamente.
O nome do malware incluído nos pacotes em questão é droiddream, e ele executa o seu esquema em 2 atos para escapar da sandbox do Android e obter acesso de root, com base em exploits batizados de exploid e rageagainstthecage – e sem depender de um jailbreak prévio pelo usuário.
Infelizmente, acho que qualquer pessoa que tenha um pouco de conhecimento sabia que isso poderia acontecer logo, e a possibilidade era bem grande na minha opinião.
apps de root em um clique, mais possibilidades econômicas…
Por isso e mais coisas que prefiro que se tenha pelo menos nos mobiles mais sistemas, assim se tem concorrência e melhores sistemas e se escolhe o sistema conforme precisa.
Concordo com Augusto, segundo o que li dá notícia original, realmente os apps entravam como root. Peço ao Outro Marcos que nos dê mais base para uma conclusão.
Quanto a segurança é simples, o Android apesar de ser Linux, não é tão seguro como um distro Linux, pois este já vem com uma senha root pré definida, a qual até agora não pode ser colocada pelo usuário. Caso isso fosse possível poderiamos inabilitar o ‘su’ e ter mais segurança. Ou impedir esses ataques mais elaborados.
Ainda acho o Android mais seguro que o IOS, como vocês podem ver a falha foi dectada e corrigida, enquanto que do lado IOS, e preciso que terceiros descubram a falha e depois a Apple decida, enquanto isso usuários são prejudicados, neste exato momento seus aparelhos apple podem ter sido invadidos e vcs nem desconfiam.
http://ipnews.com.br/telefoniaip/index.php?option=com_content&view=article&id=17131:empresa-eslovaca-alerta-sobre-malware-para-iphone&catid=67:seguranca&Itemid=566
@Psicoppardo, simplesmente falar q um sistema aberto eh mais seguro q um proprietario nao pode ser usado como regra, principalmnete nestas circustancias.
A unica falha rescente do iOS que ouvir falar a respeito foi referentes a arquivos pdf, onde podia conseguir rodar codigos a nivel de superuser, e foi corrigido a tempos. Fora isto todos outros prbs de malware que se falam eh com um telefone com jailbreak, instalando prgs sem ser da appstore… isto eh o mesmo de em um linux instalar prgs com o login de root.
No caso do android nao importa o tao rapido se descubra falha de seguranca, pq a maior parte dos usuarios estao de refens das operadoras ou fabricantes, a lancarem atualizacoes destes bugs descobertos, onde pode demorar meses ou ate mesmo nunca sair.
Nestes casos as falhas sao mais criticas, pq ate mesmo um usuario que em um desktop se procure atualizar todos patchs de seguranca nao pode fazer nada para tirar aquela falha conhecida do sistema a nao ser ter cuidado ao rodar qq prb mesmo da store oficial.
Opa. Parece que eu não tinha todas as informações mesmo. Mas a reportagem está também discutindo a coisa errada. Existe um furo de segurança enorme no android, e outras aplicações legítimas podem estar explorando ele.
Tal coisa pode acontecer com qualquer so. Precisamos ver quão rápido a Google vai resolver o problema, que não tem nada a ver com o market, é muito maior. Apesar de atire eu não vi nenhuma informação oficial de que este é mesmo o caso.
Fiz uma pesquisa rápida. Não encontrei nenhum site de fonte confiável afirmando que as aplicados podem instalar um rootkit.
O tal rageagaisthecage não é um furo do android, mas o nome de um root kit comum. Para instalar ele é preciso fazer procedimentos complexos. Aparentemente o que os programas faziam era aproveitar um bug nesse root kit, e não podem causar estrago em sistemas sem root. Mas isso precisa ser confirmado, mas faz mas sentido, uma vez que ninguém nunca ouviu falar de fazer root em android sem usar um pc.
@Outro Marcos valeu, tirou minha dúvida é justamente isto.
minha regra é simples: leio comentários e reviews e presto atenção em que tipo de permissões o app pede. Tem muito app aí que pede muito mais do que devia, e simplesmente não uso.
Mas o grande problema não é ser infectado… O grande problema é saber como reinstalar o sistema…
Se o seu windows der pau, vc coloca o CD e começa tudo do zero.
Se o seu Linux der pau, vc coloca o CD e começa tudo do zero.
E se o android der pau? Onde baixo o firmware? Ainda mais com esse monte de hw chinês (que é o meu caso, um ZTE mobile) não se acha informação nenhuma de como atualizar o firmware…
Para mim, celular é pra ligar, no máx. ver TV e ouvir mp3.
Outro Marcos, aqui estão algumas fontes para você verificar que o rootkit em questão já vinha no malware inserido nas apps:
- More than 50 Android apps found infected with rootkit malware (Guardian)
- Google Removes More Malware from Android Market (PC Magazine)
- Google Pulls Infected Apps From Android Market (eWeek)
Um trecho elucidativo, da matéria do Guardian:
E aqui tem uma explicação detalhada sobre como o malware em questão faz para ganhar root nos celulares em que é executado: Android Root Source Code: Looking at the C-Skills.