bardóczi ákos @post.r

Amikor kezdem azt hinni, hogy én már semmin sem lepődök meg, tényleg nincs lejjebb, ha Android platformról van szó, jön valami olyan elképesztően durva hír, ami kapcsán már nem is az informatikai-biztonsági vonatkozás az, ami elgondolkoztat, hanem sokkal inkább az a mikroökonómiai vonatkozás, hogy tényleg nem lehet eléggé silány minőségű egy termék vagy szolgáltatás az IT-piacon sem, hogy ne legyen rá kereslet, aminek az okait korábban fejtegettem már.

Közismert, hogy az androidos mobilokon számos funkció érhető el, a mobil gyakorlatilag a végtelenségig testre szabható, ha rootolva van, azaz a felhasználó az összes, biztonsági és stabilitási szempont miatt beállított korlátozást kiiktatja. Az Androidot futtató mobil rootolás nélkül is egy ön- és közveszélyes, ahogy azt az összes független kutatás alátámasztja, ezt gyakorlatilag csak a teljesen bigott Android-fanatikusok cáfolják az elmúlt évek androidos botrányai után. [Azokkal a fanatikusokkal meg konkrétan nem tudok mit kezdeni, akik azzal jönnek, hogy az Android mennyivel van előbb, mint az iOS, ami lehet, hogy jól hangzik, csak egy-két keresés után azonnal kiderül, hogy egyszerűen nem igaz. ] Lényeg, hogy a rootolást követően a felhasználó az eszköz teljhatalmú ura lesz, tehát a rootolás csak egészen kivételes esetekben lehet indokolt, például ha egy Android-fejlesztő alaposan vizsgálni szeretné a rendszer valamilyen részét, amihez addig nem fért hozzá. Vagy esetleg egy hardeningelt Android-klón operációs rendszert fejlesztene, egyékbént még a témában legjártasabb felhasználók is azt javasolják,  hogy ha már Androidot használ valaki, ne rootoljon, ha nem tudja pontosan, hogy mit csinál, márpedig a többség nem harceddzett mobiloprendszer-fejlesztő.

Erre mi történtik? A Google Playben, ami a legbiztonságosabbnak mondott alkalmazásbolt az Androidhoz, ahova az alkalmazások elvben többlépéses ellenőrzést követően kerülnek fel, felkerült több olyan alkalmazás is, ami képes a jelenleg futtatott androidos mobilok 90%-át rootolni néhány kattintással!

Azaz nem, az androidos felhasználó még akkor sincs biztonságban, ha kizárólag a Google Playből telepít alkalmazást, rendeltetésszerű használat mellett folyamatosan frissíti az eszközön lévő rendszert és alkalmazásokat, ha egyrészt a részben Google által felügyelt alkalmazásbolt, másrészt maga az operációs rendszer ilyet lehetővé tesz. Androidos sebezhetőséggel kapcsolatos hír, a legtöbb esetben már az ingerküszöböt sem éri el, mondjuk azok után, hogy az alkalmazásboltban feltöltött alkalmazásokat utólag lehetett módosítani tetszőlegesen éveken keresztül vagy éppen, hogy az iOS-en potom 8 éve natív és kikapcsolhatatlan fájlrendszeri szintű titkosítás az Androidon kevesebb, mint 3-4 éve érhető el, opcionálisan. Ráadásul az egész azzal lett önmaga paródiája, hogy miután bejelentették, hogy az összes felhasználói adat titkosítását lehetővé tevő lehetőséget továbbfejlesztették a 4.1-es verzióban, néhány héttel később már nyilvánosságra is került, hogy az elvben teljesen titkosított andoridos mobil teljes adattartalma dekódolható a titkosítási kulcs ismerete nélkül. A titkosítást azért emelem ki, mert évről évre számtalan mobilt hagynak vagy lopnak el szerte a világon, így elvárható lenne, hogy a rajta lévő adatok ne legyenek háztáji módszerrel kinyerhetők, amire ráadásul a felhasználó összes adata rá van drótozva a Google Accountnek "hála", csak csatlakoztatni kell az eszközt egy géphez fejlesztői módban vagy simán kivenni a memóriakártyát.

A mostani esetről részletek az Arstechnica-n.

kép: Techshift