Dzisiaj, już drugi rok z rzędu, prezentujemy nasz coroczny raport dotyczący bezpieczeństwa Androida. To szczegółowe podsumowanie, które zawiera informacje jak usługi Google chronią ekosystem Androida, przegląd nowych zabezpieczeń wprowadzonych w 2015 r. i opis naszej współpracy z partnerami i społecznością zajmującą się bezpieczeństwem. Pełny raport znajdziecie tutaj, a jego podsumowanie poniżej.

Jednym z głównych celów tego raportu jest dostarczenie informacji pozwalającej na sensowną debatę nt. bezpieczeństwa Androida. Ten cel możemy osiągnąć poprzez dostarczanie dokładniejszych i sprawdzonych informacji oraz obserwacji tego, co dzieje się w całym ekosystemie. Wierzymy, że poparta danymi debata pomoże w zwiększeniu bezpieczeństwa całego ekosystemu Androida.

Rozwój usług Google by chronić użytkowników Androida

W ubiegłym roku zainwestowaliśmy w systemy uczące się i systemy korelacji zdarzeń, które wykrywają potencjalnie niebezpieczne zachowania.

  • Chroniliśmy użytkowników przed malwarem i innymi potencjalnie niebezpiecznymi aplikacjami (Potentially Harmful Apps - PHA), sprawdzając ponad 6 mld. aplikacji instalowanych każdego dnia.
  • Chroniliśmy użytkowników przed zagrożeniami płynącymi z internetu i z aplikacji zainstalowanych na urządzeniach dzięki skanowaniu codziennie ponad 400 mln urządzeń.
  • Chroniliśmy też setki milionów użytkowników Chrome przed niebezpiecznymi witrynami dzięki technologii Bezpieczne Przeglądanie.

Jeszcze bardziej utrudniliśmy przedostanie się PHA do Google Play. Łącznie ulepszenia wprowadzone w ubiegłym roku spowodowały, że ryzyko zainstalowania PHA w Google Play spadło o 40% w stosunku do 2014 r. Większość kategorii PHA zmniejszyła swoje udziały, między innymi:

  • Zbieranie danych - spadło o 40%, do 0,08% instalacji
  • Oprogramowanie szpiegowskie - spadło o 60%, do 0,02% instalacji
  • Hostile Downloader - spadło o 50%, do 0,01% instalacji

Podsumowując, mniej niż 0,15% urządzeń, które instalują aplikacje z Google Play miało zainstalowane PHA. Biorąc pod uwagę także urządzenia, na których instalowane były aplikacje spoza Google Play, zaledwie 0,5% z nich miało zainstalowane PHA w 2015 roku, podobnie do 2014 r.

Chcemy także chronić użytkowników, którzy instalują aplikacje spoza Google Play. Rozszerzyliśmy zakres ostrzeżeń PHA w naszym narzędziu Verify Apps i zwiększyliśmy ich efektywność o ponad 50%. W 2015 r. widzieliśmy wiele próba instalacji PHA poza Google Play i udało nam się powstrzymać wiele skoordynowanych prób takich instalacji na urządzeniach użytkowników.

Nowe funkcje bezpieczeństwa platformy Android

W zeszłym roku przedstawiliśmy Androida 6.0. Marshmallow, wprowadzając nowy zestaw zabezpieczeń i ustawień dotyczących bezpieczeństwa:

  • Pełne szyfrowanie danych jest teraz wymagane dla większości urządzeń z Androidem i działa także w przypadku danych na kartach SD.
  • Zaktualizowane uprawnienia aplikacji pozwalają użytkownikom na dokładniejszą i bardziej precyzyjną kontrolę nad danymi udostępnianymi poszczególnym aplikacjom
  • Nowe zweryfikowane uruchamianie zapewnia dobrą kondycję telefonu od uruchomienia bootloadera do startu systemu operacyjnego
  • Aktualizacje wersji Androida pozwalają sprawdzić czy urządzenie ma zainstalowane najnowsze łatki dotyczące bezpieczeństwa
  • I wiele więcej, włączając w to skanowanie odcisków palców czy rozszerzenia SELinux

Większe zaangażowanie w ekosystem Androida

Pracujemy nad tym, by wspierać badania dotyczące bezpieczeństwa Androida i inwestujemy w to, by wzmocnić zabezpieczenia chroniące ekosystem już teraz i w dalekiej przyszłości.

W czerwcu, Android dołączył do programu Google nagradzającego odkrycie błędów związanych z bezpieczeństwem, który pozwala ekspertom na otrzymanie zapłaty za odkrycie i powiadomienie nas o błędach. W ten sposób poprawiliśmy ponad 100 błędów, a ich odkrywcom wypłaciliśmy ponad 200 tys. USD.

W sierpniu przedstawiliśmy nasz comiesięczny program aktualizacji zabezpieczeń w ramach projektu Android Open Source oraz comiesięczne aktualizacje dla urządzeń z serii Nexus. Chcemy aby model przyjęty w urządzeniach Nexus był obowiązujący dla wszystkich urządzeń z Androidem wprowadzanych na rynek i aktywnie pracujemy z partnerami by było to możliwe. Od tego czasu producenci sprzętu dostarczyli comiesięczne aktualizacje setkom różnych modeli urządzeń z Androidem, które zostały zainstalowane przez setki milionów użytkowników. Mimo tych starań wiele urządzeń z Androidem nadal nie otrzymuje tych comiesięcznych aktualizacji - pracujemy z partnerami nad tym by było ich znacznie więcej.

Większa przejrzystość, poparta danymi dyskusja i ciągłe innowacje pozwolą dalej chronić bezpieczeństwa użytkowników. Będziemy kontynuować nasze starania by poprawiać systemy zabezpieczeń Androida i być w stałym kontakcie ze społecznością zajmującą się bezpieczeństwem w 2016 r.

Adrian Ludwig, Lead Engineer, Android Security