Hier is een vies geheim: de meeste Android-apparaten ontvangen nooit beveiligingsupdates. Vijfennegentig procent van de Android-apparaten kan nu worden gehackt via een mms-bericht, en dat is gewoon de meest spraakmakende bug. Google heeft geen manier om beveiligingspatches op deze apparaten toe te passen, en het kan fabrikanten en providers gewoon niet schelen.
Het Android-ecosysteem wordt een giftige hel van niet-gepatchte apparaten vol beveiligingslekken. Ter vergelijking: als Apple's iOS een beveiligingslek heeft, kan Apple alle ondersteunde iPhones bijwerken met een nieuwe versie. Zelfs Windows-telefoons zijn hier beter dan Android.
Android-telefoons krijgen niet gegarandeerd beveiligingsupdates
VERWANT: Waarom uw Android-telefoon geen besturingssysteemupdates krijgt en wat u eraan kunt doen
De recente Stagefright MMS bu g geeft ons een goede casestudy, die laat zien wat er gebeurt als iemand een beveiligingslek in Android ontdekt. Google maakt patches en past deze toe op de belangrijkste open source-projectcode van Android. Google stuurt deze patches vervolgens naar hardwarefabrikanten - Samsung, HTC, Sony, LG, Motorola, Lenovo en anderen. De betrokkenheid van Google eindigt hier. Ze kunnen fabrikanten niet dwingen om deze patches daadwerkelijk vrij te geven . Dit lijkt vaak te zijn waar het proces eindigt.
Als een fabrikant deze patches wil toepassen, moet hij deze toepassen op de Android-code van een apparaat en een nieuwe versie van Android voor dat apparaat bouwen. Dit is een apart proces voor elke telefoon en tablet die de fabrikant ondersteunt. Elke fabrikant moet vervolgens contact opnemen met de koerier die de telefoons heeft verkocht en elke individuele apparaatspecifieke patch aan elke koerier over de hele wereld verstrekken. De betrokkenheid van de fabrikant eindigt hier. Zelfs als ze gek worden en elk apparaat patchen dat ze nog ondersteunen - zeer onwaarschijnlijk - kunnen ze providers niet dwingen om deze patches daadwerkelijk toe te passen
Vervoerders kunnen er vervolgens voor kiezen om de nieuwe, gepatchte build van Android naar hun apparaten te sturen of niet. Als ze dat doen, is de kans groot dat het na een uitgebreide testperiode is dat de beveiligingslekken blijven bestaan. Zelfs als een koerier dit wil doen, is de kans groot dat ze de update alleen willen testen op een paar vlaggenschiptelefoons en niet op oudere apparaten.
In de praktijk ontvangen de meeste Android-apparaten geen beveiligingsupdates en blijven ze kwetsbaar. Google heeft er niet voor gekozen om de levering van beveiligingsupdates af te dwingen zoals ze andere dingen afdwingen in contracten met fabrikanten. Fabrikanten maken veel, veel verschillende apparaten en willen niet het werk doen om ze allemaal bij te werken. Vervoerders verzenden heel veel verschillende apparaten en willen deze niet testen. In plaats van updates te leveren en oude telefoons te onderhouden, pushen ze klanten liever om nieuwe apparaten te kopen. Die beveiligingslekken zijn verholpen in de nieuwste builds van Android, dus een nieuw apparaat is veilig - tenminste totdat er meer gaten zijn gevonden en niet gepatcht.
Ja, die functie 'controleren op updates' op uw Android-apparaat controleert alleen of er updates zijn die door de fabrikant en de provider zijn goedgekeurd. Het is geen betrouwbare manier om ervoor te zorgen dat u over beveiligingsupdates beschikt.
iPhones zijn gegarandeerd tijdige beveiligingsupdates
VERWANT: Waarschuwing: de webbrowser van uw Android-telefoon krijgt waarschijnlijk geen beveiligingsupdates
Het Android-updatemodel is vreselijk kapot. Het gaat niet alleen om het ontvangen van de nieuwste en beste functies. In plaats daarvan is er geen manier om te garanderen dat u over de huidige beveiligingspatches beschikt. Er is zelfs geen manier om precies te vertellen welke beveiligingslekken in uw apparaat zijn gepatcht, aangezien u ervan afhankelijk bent dat de fabrikant de patch toevoegt aan hun aangepaste versie van Android en deze uitrolt naar uw apparaat.
Google heeft geprobeerd dit te vermijden met Google Play-services, die automatisch wordt bijgewerkt op alle Android-apparaten . Maar het kan alleen zoveel doen. Alle Android-apparaten met Android 4.4.4 en ouder - dat wil zeggen de meeste Android-apparaten - momenteel een webbrowser vol beveiligingslekken hebben omdat Google deze niet kan updaten . En nu kunnen bijna alle Android-apparaten nu worden gecompromitteerd met een mms.
Dit is echt verschrikkelijk. Stel je voor dat Windows-laptops nooit beveiligingsupdates van Microsoft hebben ontvangen. In plaats daarvan zou Microsoft patches uitgeven aan Dell, Lenovo, HP en andere fabrikanten. De fabrikant kan ervoor kiezen om het al dan niet te patchen, en als ze ervoor kiezen om het te patchen, moet die patch worden goedgekeurd door de winkel waar u de laptop hebt gekocht voordat deze u bereikt. Microsoft zou hiervoor terecht over de kolen worden geharkt. In plaats daarvan brengt Microsoft een patch uit en deze wordt via Windows Update aan gebruikers van alle modellen Windows-pc's aangeboden. Zelfs het eigen Chrome OS van Google werkt op deze manier zonder dat fabrikanten in de weg zitten.
Wilt u een daadwerkelijke garantie op beveiligingsupdates voor uw smartphone? Je moet vrijwel een iPhone kopen, hoewel zelfs de Windows-telefoons van Microsoft hier voorlopen op Android. Wanneer er een beveiligingslek in een iPhone wordt ontdekt, kan Apple in één keer een patch voor elke iPhone-gebruiker vrijgeven - zelfs vervoerders staan niet in de weg .
Machtigingen en privacycontroles zijn ook beter op iOS
VERWANT: iOS heeft ook app-machtigingen: en ze zijn ongetwijfeld beter dan die van Android
App-machtigingen zijn een ander geval waarin iPhones Android-telefoons verslaan. Android begon sterk en bood "app-machtigingen" - u kunt zien wat een app vereist voordat u deze installeert en ervoor kiezen om deze niet te installeren. iPhones hebben nu een verbeterd toestemmingssysteem waarmee je daadwerkelijk kunt kiezen tot welke gegevens een app toegang krijgt. Heeft u een app nodig, maar wilt u deze geen toegang geven tot uw contacten of andere gevoelige gegevens? U kunt dit op iOS doen.
Op Android lijken app-machtigingen meer op eisen: neem het of verlaat het. Apps vragen vaak om veel meer toestemmingen dan ze echt nodig hebben om te functioneren, en je weet nooit echt of die game die je hebt geïnstalleerd, je contactenlijst uploadt naar een externe server. Google werkt aan het toevoegen van een machtigingsbeheer aan toekomstige versies van Android, maar dat is te weinig, te laat. Dergelijke functies zijn momenteel alleen beschikbaar in aangepaste ROM's van derden na Google heeft het verborgen machtigingsbeheer van Android verwijderd r.
iPhones geven u eigenlijk controle over wat apps op uw telefoon kunnen doen , waardoor app-machtigingen worden onthuld als nuttige privacycontroles die iedereen kan begrijpen. Dit helpt om uw privégegevens te beveiligen. Op Android is het eigenlijk alleen aan de app: u kunt alleen bepalen of u die app gebruikt of niet.
De afgesloten app store van Apple heeft overboord gegaan in het verbieden van specifieke soorten inhoud , maar alleen apps van een goedgekeurde bron toestaan, biedt enige extra beveiliging tegen malware. De meeste malware op Android komt van buiten Google Play, vaak wanneer een gebruiker een illegale app downloadt en installeert. Dit is niet mogelijk zonder een iPhone te jailbreaken. Het goedkeuringsproces voor de iOS-app store is ook wat rigoureuzer, waarbij een persoon betrokken is die de app daadwerkelijk test in plaats van een geautomatiseerd algoritme.
Google moet deze situatie oplossen. Het is voor de meeste Android-apparaten onaanvaardbaar dat ze nooit beveiligingsupdates ontvangen en kwetsbaar worden voor een ontelbaar aantal beveiligingslekken. Veel apparaten hebben zelfs vergrendelde bootloaders, waardoor u de bug niet zelf kunt patchen een aangepast ROM installeren .
Ja, Android is een open platform met veel betrokken fabrikanten, maar Windows ook. Google moet zijn platform op orde krijgen. We zullen steeds erger wordende beveiligingsuitbraken in Android-land blijven zien totdat het hele Android-ecosysteem om beveiliging gaat geven en in staat wordt om beveiligingsproblemen op een tijdige en consistente manier te verhelpen, zoals elk ander modern besturingssysteem.
Afbeelding tegoed: Indi samarjeeva op flickr
