驚くほど安全ではない: Google の Android は新しい Flash

数年前、スティーブ・ジョブズは Adob​​e Flash をセキュリティとパフォーマンスの問題の惨事だと呼び、このソフトウェア プラットフォームに深く投資している業界関係者から軽蔑を集めました。今日、Google の Android プラットフォームは同様に厳しい評価を受けていますが、それは Android 自身のファンからのものです。

今日、事実上誰もが次のことに同意しています。フラッシュウェブ上で腫れ物ができた。有線最近、ある記事の中で、Flash を「誰もが必要とすることを嫌がる、安全ではなく、遍在するリソースを食いつぶすもの」と呼んでいました。記事この記事では、ブラウザで Flash を無効にしようとする Mozilla の取り組みと、Facebook のセキュリティ責任者である Alex Stamos が Adob​​e に対して Flash の廃止日を与えるよう求めていることの両方を詳述している。

かつて 2010 年に Flash の熱心な支持者であり、Apple の Flash フリー iPad と比較して Android タブレットの際立った機能としてクローズド ソースの Web ミドルウェアを活用することを望んでいた Google でさえ、Flash という根深い頭痛の種から距離を置くために多大な努力を払ってきました。 。

Google の Flash に対する新しい見解は、Adobe Flash を Android とその Web ブラウザに深く統合する作業での非常に苦痛な経験を経て初めて発表されました。 Google は、Flash がモバイル デバイスに適さないという Apple の間違いを証明するのではなく、Flash を Android に組み込むために費やした長年のエンジニアリング努力が無駄だったという明確な証拠を示しました。

何億台もの Android デバイスは、一部の Flash コンテンツを再生できるという利点を享受しましたが、その代償として、重大なマルウェア ベクトルなどの大規模なセキュリティ ホールを含む、重大なソフトウェアの欠陥に悩まされることになりました。偽のID「昨年 Bluebox Security によって発見されたエクスプロイト。

多くの軽蔑を集めているにもかかわらず、Flash は依然として遍在しています。 Flash 警告をオンにして Web を閲覧すると、明らかな理由がない場合でも、驚くほど高い割合の Web サイトが Flash Player プラグインのロードを試みます。再生するビデオもウェブレット ゲームも、過剰なナビゲーション アニメーションもありません。ウェブ上の Flash は、アメリカにおける高果糖コーンシロップのようなものです。広く嫌われていますが、避けるのは非常に困難です。

そのため、セキュリティ専門家やプラットフォームベンダーからは、Adobeに対してFlashをやめるよう求める声が高まっている。

Android は Flash によく似ています

Android に Flash を組み込むのは良いアイデアだと考えた Google の同じエンジニアやプロダクト マネージャーが、Android の残りの部分も作成しました。やや皮肉なことに、Google は Android に、通常、副鼻腔炎の分泌物のような不快な色で描かれたロボットのロゴを付けてブランド化しています。

Android のあらゆる側面に対する考慮の欠如は、明らかに示しています。このプラットフォームは今や世界最大の有害なマルウェアのシンクホールとなっており、Windows PC が確実に破壊されることが保証されるほどひどいゴミのプラットフォームを Microsoft が構築したことで多くの怒りを集めたことを考えると、この成果は疑わしいものです。インターネットに接続するだけで、自動的にマルウェアやウイルスが大量に侵入します。

Android は最近、出荷台数の「人気」において Windows を上回っただけでなく、プラットフォームとしての蔓延する不安定さにおいても Windows を上回りました。一連の大規模な脆弱性から始まったものは、Flash によって悪化しましたが、決して完全に Flash のせいではありませんでした。現在、最新の欠陥のおかげで、事実上すべての Android デバイスが 1 つの悪意のあるテキスト メッセージによって乗っ取られる可能性がある段階に達しています。発見されるべきもの:舞台恐怖症。

脆弱性は、RedHat Linux から Apple 独自の iOS や OS X に至るまで、他のプラットフォームにも存在します。主な違いは、Apple のような本格的なエンタープライズ ソフトウェア ベンダーが熱心にパッチを適用し、考えられるすべてのユーザーに修正プログラムを配布していることです。 Appleは長年にわたり、3～4年前、場合によってはそれよりもずっと前に販売されたiPhone、iPad、Macの悪用可能な欠陥にパッチを当ててきた。これにより、ほとんどの場合、発見された欠陥を悪用する悪意のあるコードが作成される前に、Apple ユーザーを悪用から守ることができました。

他のモバイル プラットフォームは次のように主張できません。Symbian、webOS、BlackBerry、Windows Mobile、そして特に Android はすべて、既存の電話ユーザーに新しいソフトウェア パッチを配布するという点でひどい仕事をしました。同じハードウェア ベンダー以前にメンテナンスされたAndroid が Android の脆弱性に迅速にパッチを適用する責任を回避し続ける前に、携帯電話のセキュリティ アップデート パッチを配布したという悲惨な実績を残しました。

Google が Android の既知の欠陥にパッチを適用する努力をしている場合でも、ハードウェア ベンダーは既存のユーザーにパッチを迅速に展開することにほとんど関心がないようです。これは主に、数万のユーザーに適用するパッチの調整が複雑であるためです。現在使用されているさまざまな Android モデル。それに加えて、各携帯通信会社は自社で取り扱う多数のハードウェア モデルを独自のカスタマイズで微調整するため、携帯通信会社は Android パッチの配布を複雑にするために独自の障害を設けることがよくあります。

Android ファンを自称する Lorenzo Franceschi-Bicchierai 氏は、最近次の記事を書きました。副マザーボードAndroid のセキュリティがずさんな状態であることを嘆いており、注目する「Android ユーザーは、アップデートやオペレーティング システムの新しいバージョンの入手に関して、基本的に通信事業者と携帯電話メーカーの言いなりになっています。」

同氏は、セキュリティ研究者ニコラス・ウィーバー氏の削除されたツイートを引用し、「Windowsのパッチが届く前に、デルとISPを通過しなければならなかったとしたら、想像してみてください?そしてどちらも気にしませんでした?それがAndroidと呼ばれるものです。」と述べた。

Androidのセキュリティ問題はFlashよりも悪い

実際、Android のセキュリティ問題は、Flash として知られる Adob​​e の絶え間なく更新されるガベージ ウェアよりも悪いです。ブラウザの Flash Player を最新の状態に保つのは大変ですが、少なくとも、新しいソフトウェア アップデートを何度もインストールすることを気にしなければ、それは可能です。おそらく、それを使用する必要があるたびに思われます。

Android では、独自のコード ベースを保守し、定期的に新しいカーネルを自分でコンパイルできるほど精通したエンジニアでない限り、基本的なセキュリティを実現することさえできません。それでも問題はあります。多くの場合、Google は通信事業者やそのハードウェア パートナーと同じように、ユーザーの問題を気にしません。

たとえば、Flash を深く統合しようとする同社の取り組みによって汚染された Google の Android WebView は、コードが公開された 1 月に Android ユーザーの 60% の大多数が影響を受けていたにもかかわらず、何億人ものユーザーにとって修正されていないままです。公的に報告された重大な欠陥だらけになること。

Google による Android ソフトウェアの新しいバージョンの採用数は徐々に増加し続けていますが、この問題が広く報告されてから 6 か月後、Android インストール ベース全体のほぼ半分が採用されました。Google Playを積極的に利用するGoogle が修正を拒否している WebView の重大な欠陥に対して脆弱なままです。

Flash に重大な欠陥の長いリストがあり、ユーザーの大多数はAdobe は、これらのユーザーが最終的には新しいコンピューターを購入することを望んでいたため、修正を無視しました。これは、通常通りの Android の国以外の場所ではとんでもないことです。

Android のセキュリティ問題は Google の設計の結果です

Android は、ユーザーのことを考えない一連のパートナーによってメンテナンスが不十分なだけではありません。 GoogleはAndroidユーザーを高いリスクにさらす立場を定期的に取っている設計上、何も問題が起こらないことをうっかり願っています。これは、Android の中核となるポリシーで明らかであり、多くの場合、Apple に対するイデオロギー的な軽蔑で作られています。Google によるモバイル デバイス向けの驚くほど愚かな採用は、その一例にすぎません。Googleは設計上Androidユーザーを高いリスクにさらす立場を定期的に取っており、何も問題が起こらないことを不用意に期待してきた

Android のイデオロギー的なオープンソースの自由の概念の核心は、URL リンク、NFC、または最近では Google の最新の「Eddystone」の試みを介して実行可能ソフトウェアが無造作にインストールされることをブロックする、デバイスにはいかなる種類のセキュリティ ポリシーも必要ないという概念です。ランダムな BTLE デバイスがモバイル デバイスに URL を送信できる、iBeacon に匹敵する新しいプロトコルを使用して Apple と競合します。まるで Google が Android を安全ではない状態にしたいと思っているかのようです。

Google は当初から、Android の「自由」の一例として、事実上どこからでもソフトウェアをロードできるという考えを擁護していましたが、現実には、「オープン アプリ ストア」は、セキュリティの観点からは、ハードワイヤード Flash と同じくらい非常識です。ブラウザに。存在するほぼすべてのモバイル マルウェアが Android 用に作成されている主な理由は、ほとんどの Android デバイスがどこからでも、場合によってはユーザーが気付かないうちにソフトウェアをインストールできる寛容なセキュリティ ポリシーを利用して、マルウェアを配布するのが驚くほど簡単であるという単純な事実です。そのソフトウェアはインストールされています。

昨年、GoogleのAndroid責任者サンダー・ピチャイ氏は、述べた, 「マルウェア専門の会社があれば、Android にも攻撃を送るだろう」と、同氏のプラットフォームのマルウェア問題の主な原因は Android の広範な使用によるものであり、マルウェアで有名な Microsoft の Windows プラットフォームと類似していることを示唆しました。

Android と Windows が約 10 億人のユーザーを抱える唯一のグローバル プラットフォームであれば、その考えは信じられるかもしれません。 PC における Apple の Mac 市場シェアが比較的小さかったため、長年にわたって、Mac が PC の一定の割合に達すると、PC も蔓延するマルウェアの問題に悩まされるだろうという考えが維持されてきました。

しかし、AppleのiOSは現在、出荷台数で間もなくWindowsを追い越す勢いだ。また、より多くの一般的なモバイル デバイスに何らかのバージョンの Android が搭載されていますが、Apple がほとんどのユーザーを 1 年未満の最新バージョンの iOS に維持できるということは、iOS 8 を実行しているデバイスの数が 1 年に実行されているデバイスの数よりも多いことを意味します。または 2 つの古いバージョンの Android。 Apple には数億人の iOS ユーザーと数千万人の Mac ユーザーがいます。 Android や Windows のような大規模なマルウェアの問題がないだけです。

これは、マルウェアが人気の避けられない単なる副産物ではないことを非常に明確に示しています。他の捕食者と同様に、マルウェア作成者は群衆だけでなく、弱い立場にある人々を探し出します。 iOS の脆弱性にパッチを当て、iOS ユーザーを最新の状態に保ち、iOS アプリを保護するという Apple のセキュリティ ポリシーによって、メディアが iOS が Android と同じくらい悪いという欺瞞的な記事を書くことは止められませんでしたが、そのせいで商業的な利益を得ることが事実上不可能になってしまいました。 iOS 用のマルウェアを作成します。

その一方で、Android や Windows ユーザーに対する詐欺やスパイ行為で莫大な利益が得られます。 Android および Windows ユーザーをスパイするソフトウェアは、公然と売られているインターネット上にはありますが、iOS 用の同様のツールは利用できません。法執行機関にも— スパイ被害者の携帯電話がジェイルブレイクされていない限り。

FinSpy マルウェアは脱獄せずに iOS に感染できない

これは、iOS が悪意のあるハッカーにとって明らかに貴重な標的である一方で、このプラットフォームは Apple によって十分に保護されているため、過去のエクスプロイトベクトルが排除またはブロックされるにつれて継続的にターゲットを絞ったり再ターゲットしたりするには実質的にコストが高すぎることを示しています。

Google は、大多数のユーザーを既知の問題に対して無防備な状態に繰り返し放置してきたため、これらのユーザーを簡単に悪用して利益を得ることができました。そのため、何億人もの iOS ユーザーは、飢えた捕食者の目には素早く動く魚の群れのようなものですが、Android ユーザーはむしろ、人口の半分以上が足が不自由で、最も怠惰な攻撃からさえ逃れることができないカリブーの群れのようなものです。攻撃者たち。 iOS は苛立たしいターゲットですが、Android は簡単に殺すことができます。

Android の人口統計は、Google が確保する価値がさらに低くなりつつある

Android の現在のマルウェア状況を複雑にしているのは、iOS がすでに市場の人口統計上の中心を占めているという現実です。 Apple のユーザーは最も多く買い物をし、最も多くのアプリを購入し、最も多く閲覧しており、広告主にとってより価値のあるユーザーです。 Android のマルウェア問題は、プラットフォームの最も熱心なファンの間でさえ困惑を引き起こし続けており、残りの貴重なユーザーが唯一残された安全なプラットフォームに逃亡するため、その価値の割合はますます iOS に有利になるでしょう。

その結果、Google は維持しサポートする価値のないユーザーをさらに残すことになります。この移行は単なる概念的なものではありません。 Appleの最新のiPhone 6は、Androidから記録的な数の新規ユーザーを惹きつけているが、Androidの最大ライセンシーであるSamsungは、一連の四半期にわたって大幅な収益の減少を経験している。他の Android ベンダーは、持続的な利益を獲得するどころか、損益分岐点さえ達成している企業はほとんどありません。

それにも関わらず、Apple は大量出荷により最終的にはマルウェア危機を引き継ぐ運命にあると一貫して報じてきた同じ情報筋が、今では Apple が破滅の瀬戸際に立たされており、来年の iPhone はユーザーを引き付けるのに苦労するだろうと心配している。この考えを裏付ける証拠はまったくありません。

まるで評論家やイデオローグたちは、自分たちのアイデアを実現するために十分に同じことを繰り返すことができさえすれば、Android に言い訳をすればその問題は解消される一方、Apple に新たな破滅の大惨事をでっち上げれば成功は沈むだろうと考えているかのようだ。

それは過去10年間、彼らにとってうまくいかなかった戦略だ。