87% Android-apparaten onveilig door lakse fabrikanten
Bijna alle Android-apparaten die de afgelopen vier jaar in omloop waren hadden met beveiligingslekken te maken waardoor ze kwetsbaar voor kwaadaardige apps waren. En de schuld ligt bij de fabrikanten van de toestellen, die niet tijdig met beveiligingsupdates komen, zo stellen onderzoekers (pdf).
De onderzoekers van de Cambridge Universiteit ontdekten dat gemiddeld 87% van de Android-apparaten in de afgelopen vier jaar onveilig was, omdat er geen beveiligingsupdates beschikbaar waren. Sommige fabrikanten doen het echter beter dan andere. Zo blijkt dat de Nexus-toestellen van Google zelf het beste scoren, gevolgd door LG en Motorola. Toch scoren ook deze apparaten een onvoldoende.
De onderzoekers maakten een formule waarbij er werd gekeken naar het aantal toestellen zonder bekende kritieke beveiligingslekken, het aantal toestellen dat de laatste versie gebruikte en het aantal kwetsbaarheden dat de fabrikant in nog geen enkel toestel had opgelost. In totaal waren er 10 punten te halen. Google eindigt bovenaan met een 5,2. Samsung (2,7), Sony (2,5), HTC (2,5) en Asus (2,4) zetten van de bekende merken de laagste score neer, zo blijkt uit het overzicht op Androidvulnerabilities.org.
Volgens de onderzoekers is het gebrek aan updates voor Android-toestellen een algemeen bekend probleem. Recentelijk hebben zowel Google als Samsung aangekondigd om elke maand beveiligingsupdates uit te brengen. Door de prestaties van elke fabrikant te publiceren willen de onderzoekers de problematiek inzichtelijk maken en zo consumenten helpen als ze een toestel willen kiezen. Dit moedigt vervolgens de fabrikanten weer aan om tijdig updates uit te brengen.
Verder stellen de onderzoekers dat Google goed werk heeft geleverd door veel van de risico's te verhelpen. Gebruikers krijgen daarnaast het advies om alleen apps uit Google Play te downloaden, aangezien de apps daar worden gecontroleerd. "Google kan echter niet alles doen, en recente Android-beveiligingsproblemen hebben duidelijk gemaakt dat dit niet voldoende is om gebruikers te beschermen. Apparaten hebben updates nodig van fabrikanten en de meeste toestellen krijgen die niet", aldus onderzoeker Alastair Beresford.
CyanogenMod erop zetten is een goede manier om de beveiliging helemaal up-to-date te krijgen.
Daarmee breng je de Android software inderdaad up-to-date. En dat geldt zelfs voor behoorlijk oude toestellen.
Maar: Je moet het toestel rooten. En dat maakt het toestel er toch onveiliger op. Dat is een belangrijk nadeel van deze oplossing.
Maar: Je moet het toestel rooten. En dat maakt het toestel er toch onveiliger op. Dat is een belangrijk nadeel van deze oplossing.
Is het dan beter geregeld bij andere platformen ? Lakse providers spelen in deze problematiek overigens ook een grote rol, die rollen updates immers vaak veel te laat, of helemaal niet uit. Wat dat betreft ligt de oplossing niet alleen bij de fabrikanten.
Verder zouden gebruikers wel in staat gesteld moeten worden om, zonder het toestel te jailbreaken, zelf ook in staat te zijn om beveiligings updates van de fabrikant te installeren op hun toestel. Het is belachelijk dat je hiervoor afhankelijk bent van je telco.
Hoe serieus moet je de bewuste site nemen?
Ik koop zelf ook altijd mijn toestel los.
1) Toestellen krijgen tegelijk dezelfde update aangeboden, direct vanuit de fabrikant (Apple) of met een kleine vertraging (Microsoft).
2) Met name Apple (en in mindere mate Microsoft) trekt zich geen klap aan van wat providers vinden. De updates worden centraal door hen aangeboden en ook staan zij geen branded crapware toe. Vooral dat laatste maakt het updateproces veel makkelijker.
3) Apple (en in mindere mate Microsoft) laten zich niet in met Chineese OEMs. Ook dat maakt centraal updaten veel makkelijker, aangezien custom aanpassingen op OS niveau gewoon niet zijn toegestaan.
1) Toestellen krijgen tegelijk dezelfde update aangeboden, direct vanuit de fabrikant (Apple) of met een kleine vertraging (Microsoft).
2) Met name Apple (en in mindere mate Microsoft) trekt zich geen klap aan van wat providers vinden. De updates worden centraal door hen aangeboden en ook staan zij geen branded crapware toe. Vooral dat laatste maakt het updateproces veel makkelijker.
3) Apple (en in mindere mate Microsoft) laten zich niet in met Chineese OEMs. Ook dat maakt centraal updaten veel makkelijker, aangezien custom aanpassingen op OS niveau gewoon niet zijn toegestaan.
Wat Android updates betreft zou Google hier inderdaad wat van kunnen leren!
Dat ligt niet aan Google. Die komen regelmatig met updates. Het probleem dat de fabrikanten die android telefoons maken geen updates meer beschikbaar stellen voor iets oudere toestellen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
