Η Google ανέφερε πώς προσπαθεί να βελτιώσει την ασφάλεια του Android και τα μέτρα που λαμβάνει για την αντιμετώπιση κοινών απειλών.
Η εταιρεία αποκάλυψε ότι το 59% των κρίσιμων ευπαθών που επηρεάζουν το λειτουργικό σύστημα Android είναι ζητήματα μνήμης, όπως καταστροφή της μνήμης και υπερχείλιση (overflows).
Τα ζητήματα ασφάλειας της μνήμης ήταν μακράν η κορυφαία κατηγορία ζητημάτων ασφαλείας, ακολουθούμενη από ελαττώματα παράκαμψης δικαιωμάτων, τα οποία αντιστοιχούσαν στο 21% αυτών που επιδιορθώθηκαν από τους τεχνικούς ασφαλείας της Google το 2019.
Τα ζητήματα μνήμης είναι γενικά η κορυφαία κατηγορία κενών ασφαλείας σε μεγάλες πλατφόρμες όπως τις Java, Windows 10 και Chrome. Οι τεχνικοί της Google πέρυσι δήλωσαν ότι το 70% των κενών ασφαλείας του Chrome ήταν ζητήματα μνήμης. Πριν από αυτό οι τεχνικοί της Microsoft είχαν αναφέρει ότι το 70% όλων των σφαλμάτων που επιδιορθώθηκαν στα προϊόντα της ήταν προβλήματα μνήμης ή ζητήματα λογισμικού που επιτρέπουν πρόσβαση στη μνήμη του λειτουργικού συστήματος.
Η Google σήμερα αναφέρει ότι ενθαρρύνει τους προγραμματιστές να χρησιμοποιούν γλώσσες προγραμματισμού που είναι ασφαλείς στη μνήμη, όπως Java, Kotlin και Rust, αλλά προσπαθεί επίσης να βελτιώσει και την ασφάλεια των C και C++. Όλα αυτά είναι μέρος των προσπαθειών της εταιρείας να σκληρύνει το Android και να προστατεύσει το λειτουργικό σύστημα από κακόβουλα προγράμματα και exploits.
“Οι C και C++ δεν παρέχουν ασφάλεια στη μνήμη όπως κάνουν οι γλώσσες Java, Kotlin και Rust. Δεδομένου ότι η πλειονότητα των κενών ασφαλείας που αναφέρθηκαν στο Android είναι ζητήματα ασφάλειας μνήμης, εφαρμόζεται μια διττή προσέγγιση: βελτίωση της ασφάλειας των C/C++ ενώ ταυτόχρονα ενθαρρύνουμε τη χρήση γλωσσών που είναι ασφαλείς στη μνήμη” αναφέρει η Google σε μια δημοσίευση στο blog της από την Ομάδα ασφάλειας και απορρήτου του Android.
Η Amazon Web Services (AWS) και η Microsoft πιέζουν επίσης για την υιοθέτηση της Rust για τους ίδιους λόγους ασφαλείας. Η Mozilla δημιούργησε το Rust για να αντιμετωπίσει ζητήματα ασφαλείας που σχετίζονται με τη μνήμη C++ στο Gecko engine του Firefox. Η έκδοση 1.0 της Rust κυκλοφόρησε το 2015, αλλά η υιοθέτηση της γλώσσας εξακολουθεί να είναι σχετικά χαμηλή.
Όσον αφορά το Android, η πλειοψηφία των σφαλμάτων που έχει επιδιορθώσει η Google το 2020 ήταν στα στοιχεία media, Bluetooth και NFC. Η βιβλιοθήκη πολυμέσων (media library) ήταν το βασικό στοιχείο που επηρεάστηκε από κρίσιμα και απομακρυσμένα σφάλματα Stagefright στο Android που αποκάλυψε η Google το 2015.
Σύμφωνα με την Google, οι προσπάθειές της να σκληρύνει το media server framework στο Android είχε σαν αποτέλεσμα το 2020 να μην λάβει καμία αναφορά για exploits κρίσιμων τρωτών σημείων στα Android media frameworks.
Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ….
