Мобильные операционные системы значительно безопаснее, чем их настольные аналоги в прошлом, благодаря всё большему вниманию к безопасности и более строгому подходу к тому, что могут делать приложения.
Фактически, Android стало настолько трудно взломать, что исследователи безопасности часто даже не пытаются атаковать саму ОС. Google говорит, что вместо этого они сосредоточились на прошивке телефона – программном обеспечении, которое работает на «голом железе» в отдельных чипах и контроллерах на SoC.
Вот тут-то и прилагаются новые усилия, о которых компания объявила на этой неделе.
В сообщении в блоге Google объясняет, что работает с партнёрами по экосистеме над усилением безопасности прошивки, взаимодействующей с Android.
Компания указывает на «дезинфицирующие средства» на основе компилятора, такие как BoundSan и IntSan, а также на многие другие меры, предназначенные для защиты от эксплойтов. Компания также хочет добавить в прошивку дополнительные функции безопасности памяти, такие как автоматическая инициализация памяти.
Проблема с усилением прошивки заключается в том, что необходимо найти правильный баланс, чтобы не нанести слишком большой урон производительности, как объясняет Google. Поскольку прошивка часто работает со значительно меньшим объёмом памяти и вычислительной мощностью, чем процессор приложений, на котором работает Android, исправления безопасности могут значительно увеличить использование памяти и снизить производительность.
Мы видели нечто подобное с уязвимостями Intel 2018 Meltdown и Spectre на настольных компьютерах, которые можно было исправить только с серьёзным воздействием на производительность процессора. Google фокусируется на наиболее подверженных атакам поверхностях, таких как базовая полоса сотовой связи и чипы Wi-Fi, которые легко атаковать без физического доступа к устройству.
Другая область, на которой Google фокусируется для создания более безопасной среды, – это безопасность памяти. Компания переписала большие куски Android 13 на Rust, безопасном для памяти языке программирования, который по своей природе защищен от атак с использованием памяти, и компания хочет сохранить его в будущих версиях Android.
Google также указывает, что с запуском Android 13 обновила рекомендации своей программы по вознаграждению за уязвимости, уделив больше внимания ошибкам, которые можно использовать удаленно. Компания надеётся, что это приведёт к большему вкладу сторонних исследователей в эти области.
Вы можете вовсе не заметить всех этих улучшений при повседневном использовании, и это хорошо. Пока меры безопасности работают должным образом, вы не заметите никаких проблем с производительностью или проблем с безопасностью при использовании своего любимого смартфона Android.
