Android बनाम आईओएस। सुरक्षा का मुद्दा

कुछ समय पहले, हमने सिमेंटेक में अपनी सुरक्षा के लिए दो लोकप्रिय प्लेटफार्मों - एंड्रॉइड और आईओएस की जांच की । आगे की हलचल के बिना, हम अपने शोध के विवरण की घोषणा करते हैं।


तो, Google और Apple के मोबाइल प्लेटफ़ॉर्म, मोबाइल सुरक्षा के पाँच मूल सिद्धांतों पर, अलग-अलग डिग्री पर भरोसा करते हैं ...

हमने स्पष्टता के लिए प्लेटफ़ॉर्म व्यवहार के इन सिद्धांतों और विशेषताओं को प्रस्तुत किया:

1. अभिगम नियंत्रण

प्रत्येक "मूल" एप्लिकेशन एक अलग प्रक्रिया है जो एआरएम प्रोसेसर से सीधे काम करता है; अनुप्रयोग साझा ऑब्जेक्ट (उदा। DLL फ़ाइलें) का उपयोग नहीं कर सकते हैं;	प्रत्येक बाइटकोड-आधारित एप्लिकेशन एक अलग वर्चुअल मशीन पर चलता है, एक अलग लिनक्स प्रक्रिया में; एआरएम आर्किटेक्चर (जैसे डीएलएल फाइलें) के आधार पर अनुप्रयोगों में "मूल" साझा ऑब्जेक्ट हो सकते हैं।

2. आवेदनों की उत्पत्ति की जाँच

प्रत्येक एप्लिकेशन को Apple द्वारा जारी आधिकारिक प्रमाण पत्र के साथ हस्ताक्षरित होना चाहिए; सार्वजनिक उपयोग के लिए होस्ट किए गए एप्लिकेशन को Apple द्वारा मैन्युअल / स्वचालित समीक्षा से गुजरना चाहिए; सार्वजनिक उपयोग के लिए होस्ट किए गए एप्लिकेशन को ऐप्पल ऐप स्टोर में शारीरिक रूप से होस्ट किया जाना चाहिए; प्रमाणित कंपनियां अपने दम पर वितरित कर सकती हैं अपने कर्मचारियों के उपकरणों पर विकसित अनुप्रयोग, जिनके लिए संगठन का प्रमाण पत्र लागू होता है।

प्रत्येक एप्लिकेशन को एक डिजिटल प्रमाण पत्र के साथ हस्ताक्षरित होना चाहिए; हालांकि, अनाम प्रमाणपत्रों द्वारा स्व-हस्ताक्षर करने की अनुमति है; एप्लिकेशन को Google की सहमति और सत्यापन के बिना होस्ट किया जा सकता है; एप्लिकेशन किसी भी वेबसाइट से (डिफ़ॉल्ट रूप से, एंड्रॉइड मार्केट से) वितरित किए जा सकते हैं।

3. एन्क्रिप्शन

iOS डिवाइस के एसडी कार्ड पर एन्क्रिप्टेड प्रारूप में सभी डेटा संग्रहीत करता है; IOS और एप्लिकेशन द्वारा पढ़ने पर डेटा स्वचालित रूप से डिक्रिप्ट हो जाता है, कोई पासवर्ड नहीं; जब तक डिवाइस स्पष्ट रूप से अनलॉक नहीं हो जाता, तब तक आईओएस कोड सुरक्षा, ब्लॉकिंग एक्सेस का उपयोग करके ईमेल को एन्क्रिप्ट करता है; तृतीय-पक्ष एप्लिकेशन एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) के कोड संरक्षण का उपयोग करके एन्क्रिप्शन का उपयोग भी कर सकते हैं।

एंड्रॉइड में संवेदनशील डेटा (एप्लिकेशन, कैलेंडर, संपर्क, पासवर्ड, आदि) का अंतर्निहित एन्क्रिप्शन है जो केवल संस्करण 3.0 से दिखाई दिया; एप्लिकेशन डेटा छिपाने के लिए एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) के जावा एन्क्रिप्शन का उपयोग कर सकते हैं।

कुछ अपवादों के साथ, अनुप्रयोगों की उत्पत्ति का निर्धारण करने के लिए एप्पल का दृष्टिकोण बहुत प्रभावी है। अनुप्रयोगों की उत्पत्ति का निर्धारण करने के लिए Google का कठोर दृष्टिकोण एंड्रॉइड को मैलवेयर और ट्रोजन द्वारा हमला किए गए कानूनी कार्यक्रमों को विकसित करने के लिए कमजोर बनाता है। लाइटवेट प्रमाणन ने इस तथ्य को जन्म दिया है कि आज आप Android उपकरणों के लिए दुर्भावनापूर्ण कार्यक्रमों की संख्या में लगातार वृद्धि देख सकते हैं।
आगे बढ़ो:

4. प्रक्रिया अलगाव

एप्लिकेशन अन्य एप्लिकेशन / OS / डेटा को ओवरराइट / रीड / राइट नहीं कर सकते हैं; एप्लिकेशन उपयोगकर्ता मोड तक सीमित हैं और ड्राइवर स्थापित नहीं कर सकते हैं; अलगाव के नियम आने वाले ई-मेल और एसएमएस के फ़ोल्डर तक पहुंच को रोकते हैं, एसएमएस भेजते हैं, फोन कॉल शुरू करते हैं, जीपीएस।	एप्लिकेशन अन्य एप्लिकेशन को फिर से लिख सकते हैं और उनके स्रोत कोड की जांच कर सकते हैं, लेकिन संवेदनशील डेटा नहीं; हालांकि, डिफ़ॉल्ट रूप से एसडी मेमोरी कार्ड पर संग्रहीत डेटा को हर कोई पढ़ सकता है; एप्लिकेशन उपयोगकर्ता मोड तक सीमित हैं और ड्राइवर स्थापित नहीं कर सकते हैं; उपयोगकर्ता अनुरोध के "हां" जवाब के बाद ही अधिकांश सिस्टम सेवाओं तक पहुंच प्राप्त करते हैं।

5. भूमिकाओं द्वारा अभिगम नियंत्रण

उपयोगकर्ता को अनुमति देना चाहिए: GPS तक पहुंच, दूरस्थ सूचनाओं को सक्षम करना, फोन कॉल शुरू करना और एसएमएस भेजना; अन्य सभी उप-प्रणालियों के लिए एक्सेस / ब्लॉकिंग नीति को iOS और Apple के अनुमोदन / सत्यापन प्रक्रिया में बनाया गया है।

एप्लिकेशन अन्य एप्लिकेशन को फिर से लिख सकते हैं और उनके स्रोत कोड की जांच कर सकते हैं, लेकिन संवेदनशील डेटा नहीं; हालांकि, डिफ़ॉल्ट रूप से एसडी मेमोरी कार्ड पर संग्रहीत डेटा को हर कोई पढ़ सकता है; एप्लिकेशन उपयोगकर्ता मोड तक सीमित हैं और ड्राइवर स्थापित नहीं कर सकते हैं; अनुरोध के लिए उपयोगकर्ता के सकारात्मक जवाब के बाद ही एप्लिकेशन को अधिकांश सिस्टम सेवाओं तक पहुंच मिलती है; Android OS, Dalvik VM नहीं, अलगाव प्रदान करता है।

IOS सैंडबॉक्स मॉडल अनुप्रयोगों से संभावित नुकसान को सीमित करता है, लेकिन साथ ही, iOS सुरक्षा के लिए एप्लिकेशन बनाना मुश्किल बनाता है। एंड्रॉइड के लिए, बाहरी एसडी कार्ड तक पहुंचने की क्षमता के अपवाद के साथ, डिफ़ॉल्ट आइसोलेशन नियम आईओएस में उपयोग किए जाने वाले की तुलना में अधिक कठोर हैं।
बेशक, केवल कुछ एप्लिकेशन डिफ़ॉल्ट नियमों तक सीमित हैं।

दुर्भाग्य से, हमारे द्वारा तैयार किए गए प्लेटफार्मों के विकास के दौरान कड़ी सुरक्षा आवश्यकताओं के बावजूद, जो कॉर्पोरेट तैयारियों की सुरक्षा के लिए अपर्याप्त है, वह कॉर्पोरेट जानकारी की सुरक्षा के लिए अपर्याप्त है जो इतनी बार उन पर पड़ती है। जब उपयोग किया जाता है और सही तरीके से कॉन्फ़िगर किया जाता है, तो दोनों प्लेटफ़ॉर्म - एंड्रॉइड और आईओएस - उपयोगकर्ताओं को एक साथ रिसाव के जोखिम के बिना कई (निजी और कॉर्पोरेट) क्लाउड सेवाओं के साथ अपने उपकरणों को एक साथ सिंक्रनाइज़ करने की क्षमता देते हैं। यदि यह गलत है, तो वे हमलावरों को डिवाइस के स्थान, फोन नंबर, ईमेल पते और संपर्कों पर डेटा चोरी करने का मौका देते हैं, एक वैध IMEI कोड चोरी करते हैं और इसे निष्क्रिय / नकली फोन पर इंस्टॉल करते हैं, लेफ्ट-विंग एप्लिकेशन इंस्टॉल करने के लिए शुल्क प्राप्त करते हैं, फोन को एसएमएस संदेश भेजने के लिए मजबूर करते हैं या भुगतान के लिए डायल नंबर डायल करते हैं। कॉल, इंटरनेट एक्सेस सर्वर की सेटिंग्स को बदलकर हमला करने वाले प्रॉक्सी सर्वर, जासूस और बहुत कुछ।