電話は信頼できない、セキュリティはモバイルに根ざしている必要がある

ViaForensicsのCEOであるAndrew Hoogは、RSAC 2014で「なぜモバイルは心配するのを止めてルートを愛することを学ぶべきか」というセッションで首をかしげることを知っていました。 ルートはモバイル機器の汚い言葉ですが、Hoogは携帯電話に対する私たちの信頼は根拠がないと信じています。 モバイルセキュリティについて真剣に考えたい場合、Hoogは、強力なルートアクセスにはよりアクセスしやすくする必要があると言います。

ルートへのレース

Hoogの重要な議論の1つは「ルートへの競争」です。ルートアクセスによって付与される権限は、最初に勝った人が勝つことを意味するため、そのように名付けられました。 Hoog氏は、この特権的な立場から、すべてのものと他のすべての人を締め出すことができると言いました。 「ルート」とフーグは言った、「絶対にすべてを与えてくれます」。

実際には、これは、オペレーティングシステムの変更、ソフトウェアのインストール、サンドボックス環境からの脱出、ファイル許可の無視などの機能を意味します。 特定の電話を標的とする攻撃者にとってこれがいかに価値があるかを見ることができます。これはまさにHoogに関するシナリオです。

問題は、モバイルデバイスの制限が不均一な戦場を作成するということです。 「あなたを狙っている人々は、彼らが根を張ることができます」とフーグは言いました。 「私たちは敵にすべての利点を与えました、そして、私たちは締め出されました。」

Appleが人々の携帯電話のジェイルブレイクを防ぎ、より多くのアクセスを獲得するのを防ぐためにAppleが積極的に取り組んでいるため、ユーザー権限の増加の問題はiOSデバイスで特に論争を呼んでいます。 この種の特権を探しているユーザーは、更新プログラムからロックアウトされ、新しいルートツールが利用可能になるまで長時間待つ必要があります。 「悪者が根を張るとき、彼らはそれを維持します」とHoogが言いました。 「または、彼らはそれを50万ドルで販売します。」

誰が信頼されるべきか？

消費者向けスマートフォンモデルには、Hoogの目には少なからぬ信頼が必要です。 「私たちはこれらのデバイスにルートを持っていないので、あなたはそれらを信頼する必要があります」と彼は言いました。 これは、オペレーティングシステムを管理する人々が最善を尽くし、開発者がそれに追随するという考え方です。

もちろん、これはマルウェアの原因ではありませんが、Hoogは明確でした。「漏れやすいアプリはマルウェアよりも大きい」。 viaForensicsによると、すべてのiPhoneアプリの75％とAndroidアプリの60％が何らかの危険な行動を示しています。 さらに厄介なことに、モバイルアプリの25〜30％は、ユーザーの情報をユーザーの電話から吸い取り、他の場所に送信しています。

許可だけを見てもこの種の洞察は得られないため、viaForensicsはviaProtectを作成しました。 これは、お使いの携帯電話でのあらゆる種類のアプリアクティビティを追跡できる、iPhoneおよびAndroid用の無料のアプリケーションです。 これとWebインターフェイスを使用して、アプリによって生成されたネットワークトラフィック、そのトラフィックの行き先、およびセキュリティで保護されているかどうかをドリルダウンして確認できます。 おそらく、その多くがまったく保護されていないことに驚かないでしょう。

奇妙な異常もあります。 例として、Hoogは、ストックAndroidスマートフォンからの暗号化なしで、デバイスに向かうルートレベルアクセスからのいくつかの接続を示しました。 「Apple、Google、およびGoogleによってインストールされたプロセスがあり、それらのデバイスには特権とアクセス権があり、常にリークしています」とHoog氏は述べています。

セキュリティに根ざした

Hoogは、デバイスのルートアクセスを許可することで、セキュリティ会社はデバイスを保護するためにもっとできると言いました。 たとえば、エンタープライズシナリオでは、Hoogは、ルートアクセスを制御することで、企業がAndroidデバイスをより適切にポリシングできるようにすることを提案しました。

また、AppleはGoogleと同様に、Appleが開発者の携帯電話に完全な特権を有効にする必要があると述べました。 Hoogによれば、iOSのセキュリティはデバイスの制限だけでなく、研究者がデバイスをルート化する方法を見つけるのに時間を費やさなければならないためだという。 「私たちはこのゲームをAppleでプレイしなければならず、それから私たちができないことは何が起こっているのかを知ることです」と彼は言いました。

しかし、個人にとっては、問題はより困難です。 Hoog氏は、根ざしたデバイスのリスクを個人的に受け入れる意思があると述べました。 「実際にデバイスに対する特権を持っているので、実際に自分を10倍よく保護します」と彼は言いました。 しかし、私は平均的なユーザーがそれほど精通しているとは思わない。 また、ルートアクセスはセキュリティアプリに大きな権限を付与できますが、Androidアプリストアで知っているエディターズチョイスアバスト！ モバイルセキュリティとアンチウイルス。

viaProtectのようなサービスには、AndroidやiOSの既存の許可システムよりもはるかに大きな価値があると思います。 Hoog氏は、より多くの知識があれば、ユーザーは情報を漏らさないアプリストアから別のアプリを簡単にダウンロードできると提案しました。

これは優れたソリューションではありませんが、信頼できる暗闇で動作するアプリよりもはるかに優れています。