Android и сотоварищи: вот где собака порылась
Непрерывная эволюция операционных систем, прикладного программного обеспечения и миллиардные рекламные бюджеты разработчиков сделали своё дело: широкая общественность поверила в защищенность этого ПО. Да, некоторое улучшение информационной безопасности произошло, спору нет.
Но речь о лабораторных условиях эксплуатации, о чем PR-службы вендоров не говорят. А в реальности все иначе. Достаточно посмотреть на непрерывно возрастающие доходы отечественной «Лаборатории Касперского» или израильского Check Point — одних из мировых лидеров ИБ.
Причин такого положения дел много. Многие вещи могла бы предотвратить операционная система, но проблемы там, где она бессильна. Давайте разбираться.
BIOS грузит «не по-детски»
У нас в России в полный голос об этой проблематике заговорили с трибун только после войны в Южной Осетии, когда вдруг вылезли наружу многочисленные проблемы, о которых спецслужбы знали, но предпочитали не распространятся. Знаковым событием стала конференция РБК «Безопасность бизнеса, технологии 2012».
Тогда Ренат Юсупов, старший вице-президент компании Kraftway, впервые публично рассказал о некоторых из них. С его слов: «при включении девайса — компьютера, смартфона, планшетника — проходит несколько фаз: инициализация процессора, шин, памяти, прочих устройств, поиск загрузчика, старт виртуальных машин, операционной системы и ее компонентов и драйверов. В итоге загружается очень много постороннего кода, о котором сегодня пользователи не имеют никакого представления».
Были приведены примеры того, как посторонний гипервизор сразу после отработки штатных загрузчиков BIOS устанавливал сам себя еще до основных компонентов операционной системы. В итоге эта ОС понятия не имела о том, что стала сама стала виртуальной машиной под управлением гипервизора, который неизвестно кем контролируется. Антивирус оказался бесполезен, а зашифрованный VPN-трафик рекой лился в руки благодарных хакеров.
Другие спикеры рассказывали и показывали, как можно удаленно включить в смартфоне на базе Android (если он специально не защищен) камеру и микрофон и запросто наслаждаться трансляцией заседания совета директоров конкурирующей компании. А если таки микрофон не включается, то звук снимается с помощью встроенного во многие смартфоны гироскопа!
«Южный мост» всему виной
Через три года эксперт отечественного рынка ИБ Сергей Груздев, генеральный директор компании «Аладдин Р.Д.», буквально шокировал высокопоставленную аудиторию другого мероприятия в этом году.
Он заявил: «Отечественным спецслужбам уже нет нужды скрывать, что процессоры Intel, изготовленные по технологиям V-Pro (PC, Server), а затем – Centrino PRO (Mobile), имеют аппаратную «закладку» на южном мосту чипсета. Мы убедились в этом в результате собственных лабораторных исследований. «Фича» для удаленного администрирования, инвентаризации, обновления прошивки BIOS и прочее, кроме своих прямых обязанностей, позволяет скрытно при выключенном компьютере (но подключенном сетевом кабеле) снимать любую информацию, «слушать» все, что делается на таком компьютере».
За это время мобильные устройства еще глубже проникли в сферы бизнеса и государственного управления. Но если раньше основную угрозу представляли ноутбуки на Centrino PRO, то сейчас вектор сместился в сторону девайсов на базе процессоров ARM и платформе Android.
«Почти вся электроника, которая нас окружает — смартфоны, умные часы, автомобильные навигаторы, Smart-TV, платежные терминалы и даже элементы промышленных АСУ ТП, — способны следить за своими хозяевами. Ведь большинство из них построено на базе ARM-процессоров с технологией TrustZone, к которой есть масса вопросов, но пока нет ответов», добил Сергей Груздев тех, кто не успел проникнуться первой частью его речи.
Впадать в панику и уничтожать мобильные устройства вокруг себя не стоит, но знать о проблемах информационной безопасности необходимо.
А чтобы разбираться в тонкостях мобильной разработки, рекомендуем профессию «Разработчик мобильных приложений».