Le traitement parfois boulevardier de l’information contamine malheureusement de plus en plus les nouvelles technologies. A en croire certains pamphlets, on à l’impression que le système Android est truffé de virus. J’ai même entendu le chiffre de 500’000 virus en circulation alors que le Google Play Store compte environ un million d’applications…
Faut-il croire ces concentrés de slogans alarmistes qui prennent pour argent comptant la propagande des fabricants d’antivirus? Le minimum est au moins de confronter les dires d’une industrie qui a tout intérêt à faire peur à la propagande des concepteurs d’Android, le système de Google. Soudain la perception de la situation devient beaucoup plus nuancée… Incroyable, non?
Propagande contre propagande
Commençons par la publicité des laboratoires Kaspersky Labs que nous avons déjà disséquée ici. Lorsqu’on dépasse la lecture du communiqué de presse, on réalise que la menace ne semble pas venir directement du marché officiel Google Play, mais d’autres horizons, comme expliqué sur cette page mise en lien par l’éditeur…
On réalise alors, lorsqu’on se documente, que le danger provient essentiellement des marchés tiers d’applications, notamment en Asie. Du coup, le message est beaucoup moins alarmant. On peut même se demander si le consommateur sous nos latitudes peut être concerné par la titraille indélicate de certaines marques puisqu’ils ne s’exposeront jamais à ces dangers.
La surveillance de Google
En effet, chez Google on souligne que les mesures de sécurité sur Android sont de plus en plus sophistiquées comme il est expliqué dans ce document fruit du travail d’Adrian Ludwig, un des ingénieurs en charge de la sécurité d’Android. Rappelons que le Google Play Store est scanné en permanence à la recherche d’éventuelles menaces, selon les réclames de Mountain View.
En lisant cette documentation, on apprend que 95% des terminaux Android sont désormais équipés d’un système de détection des virus directement intégré au système. Par ailleurs, pour les plus craintifs, il est toujours possible d’installer gratuitement un antivirus. Décidément, on est loin des annonces tapageuses qui gangrènent même les plus grands noms de l’information…
Xavier Studer
Sécurité sur Android
Suite à ma demande, voici la réponse que Google m’a transmise après la propagation d’informations pour le moins contestables:
At this week’s RSA conference, Adrian Ludwig–Android’s lead security engineer, is talking about Android’s layered security model and offering clarity in the data in some recent security exploits. Increasing connectivity and open-ness of platforms is leading to greater security, not insecurity. Data is being used intelligently to improve security in near real time through a combination of reliable products and trusted services. We are working to provide better data about actual risk and focus more attention on calming users while protecting them.
Android delivers a layered approach to security, though the Platform, Services and Innovation:
- Platform security: We built Android’s security model around the principles of the web and an application-focused platform.
- o Application sandboxing, permissions: The most fundamental of those principles is isolation of applications from one another and from the operating system. Android verifies an application signature and assigns an application sandbox at install time (system services and data have their own sandbox). Application Sandboxes isolate data by running each app as it’s own UID. Inter-process communication (IPC) requires mutual request.
- o SELinux is another example of platform-level security.
- Services: Data is being used intelligently to improve security in near real time through a combination of reliable products and trusted services. Those services include:
- o Google Play: Blocks distribution of potentially harmful apps, maintains relationship with developers, encourages security best practices, provides application updates
- o Verify Apps: Apps are verified prior to install, warns for or blocks potentially harmful apps, is available on Android 2.3+ with Google Play (nearly all active devices)–now with constant on device warning, and over 20 million installs verified every day
- o Other services include: Safebrowsing for Chrome, Android Safety Net and Device Manager
- The last security layer is through fostering security innovation. Add-on security is allowed, but not required, and working together with third party researchers helps all Android users:
- o Foster security innovation in the platform
- o Directly support research as well as development
- o Enable security solutions on top of the platform
Clarity in Data: we are working to provide better data about actual risk and focus more attention on calming users while protecting them.
- Android security, by the numbers:
- o 100% of devices have sandboxes and permissions
- o 95% of devices have Verify Apps
- o Most devices only install from trusted sources
- o ~.8% of app installs from unknown sources receive a warning
- o <0.18% of apps from unknown sources are installed after a warning
- o <.001% of installed apps attempt to evade runtime defenses
- o <?% of installed apps evade runtime defenses and cause harm
- A snapshot of a security vulnerability — MasterKey:
- o 1 day after Google notified: Google Play secured
- o <1 month after Google notified: Patch delivered to OHA partners
- o 1 month after Google notified: Verify apps secured
- o 1 month before first exploit reported: Devices begin to receive update
- o Installs from Unknown Sources: <8 in a million
- o Estimated installs: <1 in a million