"Veel Android-lekken door aanpassingen fabrikant"
Veel beveiligingslekken die op Android-smartphones aanwezig zijn worden door aanpassingen van de fabrikant veroorzaakt, zo hebben onderzoekers ontdekt. 60% van de lekken die onderzoekers op de onderzochte Android-smartphones aantroffen, waren door aanpassingen van de fabrikant geïntroduceerd.
Hoewel Google de basis van het Android-platform ontwikkelt, wijzigen leveranciers zoals Samsung, Sony en HTC het platform om zo met hun hardware te integreren. Deze leveranciers voegen ook apps toe die ze zelf of hun partners hebben ontwikkeld.
Onderzoekers van de North Carolina State University onderzochten 10 Android-smartphones, waarvan vijf nieuwe modellen met Android-versie 4.x en vijf modellen met Android-versie 2.x van Samsung, HTC, LG, Sony en Google. 80% van de apps die op deze modellen stonden waren door de fabrikant geïnstalleerd.
Kwetsbaar
"Alle tien apparaten waren alleen al door de vooraf geïnstalleerde apps kwetsbaar", zegt onderzoeker Xuxian Jiang. "De oudere versies hadden gemiddeld 22,4 lekken per toestel, terwijl nieuwere versies gemiddeld 18,4 lekken per toestel hadden. En de nieuwere versies waren niet altijd veiliger. Sommige recentere modellen waren zelfs minder veilig dan hun voorgangers." Van de tien onderzochte modellen had de Google Nexus 4 de minste lekken.
Via de kwetsbaarheden was het mogelijk om zonder toestemming van de gebruiker audio op te nemen, telefoonnummers te bellen en de mogelijkheid om de gegevens van de gebruiker te wissen. Verder bleek dat 85% van de vooraf geïnstalleerde apps teveel rechten had. Het gaat dan om rechten die de app heeft, maar niet gebruikt. De onderzoekers zullen hun bevindingen morgen tijdens een beveiligingsconferentie in Berlijn presenteren.
Wellicht is het een idee om -net zoals bij voertuigen bijvoorbeeld- wat zwaardere eisen te gaan stellen aan ICT-apparatuur, waarbij er eerst GOED gecertificeerd wordt door een onafhankelijke partij, voordat een product op de markt gebracht mag worden...
Dat de huidige standaarden niet goed genoeg zijn, is al wat langer duidelijk IMHO.
Wellicht is het een idee om -net zoals bij voertuigen bijvoorbeeld- wat zwaardere eisen te gaan stellen aan ICT-apparatuur, waarbij er eerst GOED gecertificeerd wordt door een onafhankelijke partij, voordat een product op de markt gebracht mag worden...
Dat de huidige standaarden niet goed genoeg zijn, is al wat langer duidelijk IMHO.
Dat idee klinkt leuk al denk ik zelf dat het uiteindelijk weinig uithaalt.
Kwetsbaarheden worden meestal pas gevonden nadat een product op te markt is, mede doordat het toestel dan mede beschikbaar komt voor een grote groep "onderzoekers". Er zullen absoluut zaken voortijdig aan het licht gaan komen echter denk ik dat het op het geheel weinig uitzal maken, zeker wanneer je leest dat sommige nieuwe versies van applicaties meer kwetsbaarheden bevatten dan de voorgaande versies.
Het mooiste zou zijn als de fabrikanten hun toestellen gaan leveren zonder voor geïnstalleerde apps, vaak worden deze relatief weinig tot niet gebruikt in verhouding tot de apps die men zelf installeert. We gaan met de telefoontoestellen dezelfde weg op als Windows vroeger; als je een nieuwe PC kocht ging je eerst alle geinstalleerde programma's verwijderen of het volledige besturingssysteem opnieuw installeren. Het enige verschil met de smartphone is dat je deze voor geïnstalleerde troep vaak niet eens kan verwijderen....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
