Taloussanomat

Androidin haavoittuvuuteen eivät tietoturvaohjelmat tepsi

Kuva: Dado Ruvic / Reuters

21.3.2016 13:21 Ihmisten elämän keskittyminen puhelimeen yhä enemmän ja Android-laitteiden retuperällä oleva tietoturva on vaarallinen yhdistelmä, sanoo F-Securen Mikael Albrecht.

Viime viikolla julki tullut Android-käyttöjärjestelmän Stagefright-aukkoon kohdistuva Metaphor-hyökkäys johti Viestintäviraston kehotukseen lopettaa haavoittuvien puhelimien käyttö.

Ohje oli varsin radikaali, sillä se koskee hyvin suurta osaa käytössä olevista Android-laitteista.

F-Securen tietoturva-asiantuntija Mikael Albrecht pitää perusteltuna Viestintäviraston kehotusta lopettaa haavoittuvien Androidien käyttö.

– Mutta ei suurin osa ihmisistä tule sitä noudattamaan, Albrecht jatkaa.

Suurin ongelma piilee Android-käyttöjärjestelmän nykytilassa ja tavassa, jolla ihmiset suhtautuvat puhelimiinsa. Monikaan Android-puhelinmalli ei kuitenkaan saa tietoturvapäivityksiä jälkikäteen tai ne tulevat pitkällä viiveellä.

– Android on kertaostos, jota ei ylläpidetä. IPhone sen sijaan on sijoitus, jota ylläpidetään, Albrecht sanoo.

– Menemme koko ajan kohti maailmaa, jossa elämämme on yhä enemmän kännykässämme ja muissa digitaalilaitteissa. Samaan aikaan markkinoille on tulossa uusia tuoteryhmiä, nettiin liitetyt IoT-laitteet, joiden turvallisuutta ei ylläpidetä. Se on pelottava tilanne.

Tietoturvaohjelmat eivät auta kuten Windowsissa

Kyky torjua Android-haittoja muilla tavoilla kuin käyttöjärjestelmän korjauksella on hyvin vaikeaa. Windows-maailmassa tietoturvaohjelmat voivat estää hyökkäykset paikkaamattomiinkin tietoturva-aukkoihin, mutta Android-maailmassa tämä ei päde.

Albrechtin mukaan Androidille tehdyt tietoturvaohjelmat torjuvat haittaohjelmia kahdella tavalla. Ensimmäinen perustuu haitallisten verkkosivustojen tunnistamiseen ja pääsyn estämiseen niille. Toinen tapa on se, että tietoturvaohjelmaan lisätään rutiinit tunnettujen haittaohjelmien tunnistamiseksi.

Tämä tarkoittaa sitä, että uudenlainen Metaphor-hyökkäys tunnistetaan puhelimien tietoturvaohjelmissa vasta, kun hyökkäyskoodi on löydetty ja lisätty turvaohjelmien rutiineihin.

Windowsista tuttua muistinvaraista tarkistusta ja aiemmin tuntemattoman haittaohjelmakoodin tunnistamista sen käyttäytymisen perusteella ei ole mahdollista toteuttaa Androidissa. Tämä johtuu mobiilikäyttöjärjestelmien tiukoista turvakäytännöistä, joissa sovellusten oikeuksia rajataan tarkasti.

Ratkaisu parantaa turvallisuutta, mutta turvatuote ei voi enää tarkkailla järjestelmää reaaliajassa monella eri tasolla.

Puhelimen vaihto edessä?

Toistaiseksi Metaphor-hyökkäyskoodia ei ole julkistettu, eikä aukkoa tiedetä käytetyn hyväksi. Tämä voi muuttua nopeastikin.

– Tiedustelupalveluilla on usein tietoa haavoittuvuuksista etukäteen, joten heillä hyökkäys voi olla jo käytössä, Albrecht arvelee.

– Rikolliset alkavat käyttää koodia heti, kun saavat sen käyttöönsä. Se voi tapahtua huomenna tai sitten myöhemmin.

Puhelimensa testillä haavoittuvaksi todenneen laitteen omistajalla on melko vähän vaihtoehtoja. Hän voi Albrechtin mukaan tarkistaa puhelimen päivitykset vielä käsin valmistajan sivuilta.

– Ja jos on tosissaan huolestunut, niin laite vaihtoon. Tai ainakin seuraava puhelin ostetaan tämä mielessä pitäen, Albrecht sanoo.

Varteenotettavimmat vaihtoehdot, eli iPhone ja Windows-puhelimet, ovat Albrechtin mielestä tietoturvan näkökulmasta hyviä vaihtoehtoja.

– Koska Windows on harvinaisempi, sitä vastaan ei tällä hetkellä hyökätä. Siksi se on jopa turvallisempi vaihtoehto tällä hetkellä.

Jutun kirjoitti: Henrik Kärkkäinen

Henrik Kärkkäinen

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kommentit (116)

Sivut: 1 2 3 4 5 6 ... 12
EdellinenSeuraava

Anonyymi
Viekäkö joku ihmettelee miksi yritykset päätyvät järkeään Windows-puhelimiin. IT-pomot repivät hiuksiaan kun työntekijät haluavat väkisin tuoda omia laitteitaan töihin.
Anonyymi: WPToimii 21.3.2016 13:30

Anonyymi
Nokia Symbian on vielä harvinaisempi kuin Windows Phone. 3110 rulez!
Anonyymi: Kai_Kohtalainen 21.3.2016 13:32

Anonyymi
Kuitenkin Metaphor vaatii toimiakseen havoittuvan Android version, jossa on paikkaamaton StageFright haavoittuvuus. Ilmainen CM Security paikkaa StageFrightin, joten Metaphor ei toimi. Toisekseen kumpikaan suositelluista käyttöjärjestelmistä ei ole ollut XP:stä luopumisen jälkeen yhteensopiva firman Linuxien kanssa, toisin kuin Android.
Anonyymi: kldfjglsdkjfgl 21.3.2016 13:43

Anonyymi
No kylläpä taas liiotellaan asiaa. Metaphor koskee vain osaa android-puhelimista ja kaikki pitäisi laittaa vaihtoon :(

Suurimmalla osalla käyttäjistä lienee kuitenkin JellyBean tai KitKat, jotka ei ole haavoittuvia versiosta 4.1 lähtien.

Myöskään Nexukset ei ole haavoittuvia koska ne päivittyy.

Pelkkää statefright-haavoittuvuutta on käytännössä lähes mahdoton toteuttaa ilman Metaphoria, ellei käyttäjä sitten tee jotain todella hölmöä.

En sano etteikö haavoittuvuuksia pitäisi tuoda esiin, androidin kohdalla vaan mopo karkaa aina käsistä (lienee maksettua FUD-kampanjaa).

Samoin perustein Windows pitäisi kieltää desktop-puolella.
Anonyymi: turhaaFUDia 21.3.2016 13:55

Anonyymi
Siitä sitten F-Securen poijaat vääntämään koodia Androidille ja vuolemaan appseilla kultaa. Eikä se javakirjasto ole edes vaikea paikata. patch../paikan_nimi && ./configure && make && make install. Voi joutua tekemään Makefilen ja configuren, mutta silti. Kysyttävää?
Anonyymi: enOleXperttiMutta 21.3.2016 13:55

Anonyymi
Kuluttaja-asiamies? EFFI? Pankaa jo nämä edesvastuuttomat laitevalmistajat kuriin!
Anonyymi: Teroidi 21.3.2016 14:13

Anonyymi
Nii-in, koska mobiililaite on ympäristönä turvallisempi kuin desktop, eikä se siten anna haitakkeen nimeltä tietoturhaohjelma tehdä mitä sattuu. Ja tämäkös F-Securea harmittaa. Tietoturvaohjelmistoja tarvitaan vain persiilleen suunnitelluissa ympäristöissä, kuten wintoosassa.
Anonyymi: abcdef 21.3.2016 14:27

Anonyymi
Miksei voi vaihtaa uudempaan Androidiin? On tämä Windows Phone -mainonta kyllä säälittävää. Vaikka Ubuntu Touch mieluummin sitten.
Anonyymi: AndroidPower 21.3.2016 14:30

Anonyymi
– Koska Windows on harvinaisempi, sitä vastaan ei tällä hetkellä hyökätä. Siksi se on jopa turvallisempi vaihtoehto tällä hetkellä.


No entäs sitten jos suosio kasvaa ja hyökkäykset alkavat? Sittenkö taas vaihdetaan takaisin Androidiin?

Koska viruspesä-Windows kielletään työpöydillä?
Anonyymi: UbuntuPower 21.3.2016 14:32

Anonyymi
Suurimmalla osalla käyttäjistä lienee kuitenkin JellyBean tai KitKat, jotka ei ole haavoittuvia versiosta 4.1 lähtien.


Totta. Ainoastaan 41.1% Android-laitteista käyttää haavoittuvaa Android-versiota:
http://www.engadget.com/2016/03/08/lollipop-leads-android-usage-share/
Anonyymi: Nokipoika 21.3.2016 14:48
Sivut: 1 2 3 4 5 6 ... 12
EdellinenSeuraava
Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit.
Lue koko keskusteluetiketti
Varaa oma nimimerkkisi Taloussanomien uutiskommentointiin rekisteröitymällä käyttäjäksi tai kirjaudu sisään.

Rekisteröityminen ja nimimerkin varaus eivät ole pakollisia.

Nimimerkissä saa käyttää ainoastaan kirjaimia ja numeroita. Sen minimimitta on viisi merkkiä ja maksimi kaksikymmentä merkkiä.
Olet kirjautunut sisään, muttet ole vielä valinnut omaa, muille käyttäjille näkyvää nimimerkkiäsi. Varaa nimimerkki omaksesi kirjoittamalla se nimimerkki-kenttään.

Varauksen jälkeen muut eivät voi käyttää nimimerkkiäsi ja se näkyy automaattisesti kaikissa kirjoittamissasi viesteissä.

Huomioithan, ettei nimimerkkiä ei voi muuttaa jälkikäteen.

Nimimerkissä saa käyttää ainoastaan kirjaimia ja numeroita. Sen minimimitta on viisi merkkiä ja maksimi kaksikymmentä merkkiä.

Uusimmat uutiset

Digiyesterday

2011

Viisi vuotta sitten

Nintendo-perijä köyhtyi yli 300 miljoonaa dollaria

29.07.2011 Nintendon osake lähti tänään jyrkkään alamäkeen yhtiön tarkennettua ennustetta. Japanilaisyhtiön pääperijä menetti yhdessä päivässä yli 300 miljoonaa dollaria


2013

Kolme vuotta sitten

Kuva vihjaa: Halpa-iPhonesta tulee 5C

29.07.2013 Kiinalaisfoorumilla julkaistun valokuvan perusteella Applen edulliseksi huhuttu älypuhelin saa nimekseen iPhone 5C.

.