Android प्लेटफ़ॉर्म में कमजोरियाँ। वर्तमान और भविष्य

प्यारे और प्यारे हेबरवेट्स, हम आपको सुझाव देते हैं कि आप अपने विश्लेषक अलेक्जेंडर गोर्याचेव की बेहद दिलचस्प सामग्री से परिचित हों, जो विशेष रूप से हबराब्र के लिए लिखा गया है। लेख बेहद लोकप्रिय एंड्रॉइड मोबाइल प्लेटफॉर्म की मौजूदा कमजोरियों की समीक्षा के साथ-साथ इसे और अधिक सुरक्षित बनाने के लिए समर्पित है। विषय पर टिप्पणियाँ और स्वयं के विचार स्वागत योग्य हैं।

एंड्रॉइड ओएस कम समय में सभी प्रकार के मोबाइल उपकरणों के लिए सबसे लोकप्रिय प्रणालियों में से एक बन गया है। इसका उपयोग बड़े विश्व-प्रसिद्ध निर्माताओं और छोटी कंपनियों दोनों द्वारा किया जाता है, इसलिए तैयार उत्पादों की कीमत रेंज, जैसे कि स्मार्टफोन और टैबलेट कंप्यूटर, उपभोक्ताओं की जरूरतों को लगभग सौ प्रतिशत से संतुष्ट कर सकते हैं। यह निर्माताओं की एक प्रभावशाली संख्या से एक विस्तृत श्रृंखला, लचीला मूल्य निर्धारण और मंच का समर्थन था जो मुख्य सफलता कारकों में से एक बन गया और प्रणाली को बाजार में अपनी वर्तमान स्थिति लेने की अनुमति दी।

हालांकि, उपयोगकर्ताओं की इतनी बड़ी संख्या बस हमलावरों द्वारा किसी का ध्यान नहीं जा सकती है। अपने स्वयं के कानूनों के साथ दुर्भावनापूर्ण कार्यक्रमों के विकास और वितरण पर एक संपूर्ण उद्योग का निर्माण करने के बाद, वे आसान पैसे के किसी भी स्रोत के प्रति बेहद उदासीन हो गए हैं।

किसी भी अन्य प्रणाली की तरह, एंड्रॉइड, दुर्भाग्य से, पूरी तरह से सुरक्षित नहीं हो सकता है, क्योंकि विकास में शामिल लोग कभी भी सही कोड नहीं बना पाएंगे। हालांकि, डेवलपर्स उपभोक्ताओं को एक गुणवत्ता उत्पाद के साथ अंततः प्रदान करने के लिए प्रयास कर रहे हैं। एंड्रॉइड के उदाहरण पर, हम अभी तक एक और पुष्टि देख सकते हैं कि उत्पाद जितना लोकप्रिय है, उतना ही यह दुर्भावनापूर्ण उपयोगकर्ताओं द्वारा हमला करने के लिए अतिसंवेदनशील है। इस लेख में आगे हम विस्तार से विचार करेंगे कि इस ऑपरेटिंग सिस्टम से क्या खतरा है और इसके परिणामस्वरूप, इसके उपयोगकर्ता उजागर होते हैं।

Android के लिए वायरस? नहीं, मैंने नहीं सुना है!

जब अगस्त 2010 में एंड्रॉइड ओएस के लिए पहला दुर्भावनापूर्ण कार्यक्रम खोजा गया था, तो कई उपयोगकर्ताओं ने इस खबर को एंटीवायरस कंपनियों द्वारा उन्हें डराने और उनके उत्पादों के लिए पैसे खींचने के प्रयास के रूप में लिया। समय के साथ, एंड्रॉइड के लिए खतरों की संख्या बढ़ती रही है। पहला ट्रोजन सामने आने के बाद डेढ़ साल से अधिक समय बीत चुका है, लेकिन इस तथ्य के बावजूद कि 2011 के अंत में इस प्लेटफॉर्म के लिए दुर्भावनापूर्ण कार्यक्रमों की संख्या कम से कम 20 गुना बढ़ गई, बड़ी संख्या में उपयोगकर्ता अभी भी चर्चा के तहत इस मुद्दे पर संदेह कर रहे हैं।

तो, एंड्रॉइड ओएस के लिए किस तरह का मैलवेयर मौजूद है और वे खतरनाक क्यों हैं?
यह सूची एसएमएस ट्रोजन (Android.SmsSend परिवार) के नेतृत्व में है। ऐसे कार्यक्रमों का उद्देश्य कम संख्या में उच्च टैरिफ वाले संदेश भेजना है। इन संदेशों की लागत का एक हिस्सा घुसपैठियों की जेब में जाता है, उन्हें समृद्ध करता है। इस तरह के कार्यक्रम व्यावहारिक रूप से एक-दूसरे से भिन्न नहीं होते हैं, केवल इंटरफ़ेस में मामूली बदलाव और संदेश भेजने के लिए छोटी संख्या को छोड़कर। सबसे अधिक बार, उन्हें लोकप्रिय अनुप्रयोगों और गेम की आड़ में वितरित किया जाता है, जैसे कि ओपेरा मिनी, आईसीक्यू, स्काइप, एंग्री बर्ड्स, आदि।



सूची में "हैवीवेट" ट्रोजन के बाद है। इनमें शामिल हैं, उदाहरण के लिए, Android.Gongfu, Android.ukong, Android.reamExploid, Android.Geinimi, Android.Spy, आदि। परिवार के आधार पर, इन दुर्भावनापूर्ण कार्यक्रमों में ऐसी कार्यक्षमता होती है, उदाहरण के लिए, गोपनीय उपयोगकर्ता जानकारी एकत्र करना, जोड़ना। ब्राउज़र में बुकमार्क, दुर्भावनापूर्ण उपयोगकर्ताओं (बैकडोर और बॉट फ़ंक्शंस) से कमांड निष्पादित करना, एसएमएस संदेश भेजना, अन्य एप्लिकेशन इंस्टॉल करना, आदि। उपयोगकर्ता की ओर से संदेह पैदा किए बिना अनुप्रयोगों को स्थापित करने की क्षमता को लागू करने के लिए ट्रोजन को मूल अधिकारों (अधिकारों) की आवश्यकता होती है। आप किसके साथ काम करते हो प्रणाली के मूल)। ऐसा करने के लिए, वे विभिन्न तरीकों का उपयोग करते हैं, जिन पर बाद में अधिक विस्तार से चर्चा की जाएगी।

वाणिज्यिक स्पाइवेयर को नोट करना भी महत्वपूर्ण है। इन एप्लिकेशन का उपयोग उपयोगकर्ताओं को ट्रैक करने के लिए किया जाता है। उनकी शस्त्रागार, वर्ग, लागत और निर्माता के आधार पर, इनकमिंग और आउटगोइंग एसएमएस संदेशों और कॉल, पर्यावरण की ऑडियो रिकॉर्डिंग, निर्देशांक पर नज़र रखने, ब्राउज़र से आंकड़े एकत्र करने (उदाहरण के लिए, बुकमार्क का दौरा), आदि जैसे कार्यों में शामिल हैं। इस तथ्य के बावजूद कि इन कार्यक्रमों में से अधिकांश को प्रारंभिक कॉन्फ़िगरेशन और मैनुअल इंस्टॉलेशन की आवश्यकता होती है, वे एक महत्वपूर्ण खतरा पैदा करते हैं, क्योंकि डिवाइस में लागू होने के बाद वे अन्य इंस्टॉल किए गए कार्यक्रमों के बीच एक आइकन नहीं बनाते हैं, और आप उनकी उपस्थिति का पता लगा सकते हैं केवल अप्रत्यक्ष संकेतों द्वारा, आवेदनों की सूची के साथ सिस्टम मेनू पर जाकर। यदि आप इंस्टॉल किए गए कार्यक्रमों की बारीकी से निगरानी करते हैं और कानूनी अनुप्रयोगों के नाम जानते हैं, तो आप घुसपैठिए को सफलतापूर्वक पहचान सकते हैं, लेकिन औसत उपयोगकर्ता को कुछ भी संदेह नहीं होगा।

अन्य मैलवेयर ऊपर वर्णित विभिन्न विशेषताओं को जोड़ सकते हैं।

अलग-अलग, यह कार्यक्रमों और खेलों के रचनाकारों द्वारा उपयोग किए जाने वाले विज्ञापन मॉड्यूल का उल्लेख करने और पैसे कमाने के लिए उपयोग किया जाता है। जब कोई उपयोगकर्ता प्रदर्शित विज्ञापन संदेश पर क्लिक करता है और विज्ञापित उत्पाद या सेवा पर जाता है, तो एप्लिकेशन डेवलपर को एक निश्चित राशि प्राप्त होती है। ज्यादातर मामलों में, ऐसे मॉड्यूल उपयोगकर्ता के लिए खतरा पैदा नहीं करते हैं, लेकिन उनमें से हानिरहित भी कम हैं। उदाहरण के लिए, विज्ञापन संदेश अनुप्रयोगों के अंदर प्रकट नहीं हो सकते हैं, लेकिन किसी उपकरण की स्थिति पट्टी में। इस तरह के संदेशों को सिस्टम संदेशों के लिए आसानी से गलत किया जा सकता है, जो कि "एक तत्काल सिस्टम अपडेट की आवश्यकता है" जैसे वाक्यांशों का उपयोग करते समय साइबर अपराधी उपयोग करते हैं (लगभग निश्चित रूप से आपको अपडेट करने के बजाय एक और ट्रोजन मिलेगा)।



कई मॉड्यूल बहुत आक्रामक तरीके से व्यवहार करते हैं, गोपनीय उपयोगकर्ता जानकारी (IMEI, फोन नंबर, उपयोग किए गए ऑपरेटर का नाम, आदि), साथ ही साथ डेस्कटॉप और ब्राउज़र में शॉर्टकट को ब्राउज़र में जोड़ते हैं। ऐसे मॉड्यूल का उपयोग करने वाले अनुप्रयोगों को एडवेयर या एडवेयर (उदाहरण के लिए, Adware.Airpush, Adware.Leadbolt, Adware.Startapp, आदि) के रूप में पाया जाता है।




एंड्रॉइड ऑपरेटिंग सिस्टम और उपयोग किए जाने वाले सॉफ़्टवेयर में कमजोरियाँ

एंड्रॉइड आर्किटेक्चर को इस तरह से डिज़ाइन किया गया है कि सभी एप्लिकेशन सीमित अधिकारों के साथ काम करते हैं और अन्य अनुप्रयोगों के संरक्षित डेटा तक पहुंच नहीं है।
जैसा कि ऊपर उल्लेख किया गया है, एंड्रॉइड एक आदर्श प्रणाली नहीं है, इसलिए यह आश्चर्यजनक नहीं है कि इसमें कमजोरियां हैं। उपयोगकर्ता जिन मुख्य समस्याओं का सामना कर सकते हैं, उनमें से एक सिस्टम भेद्यता है जो रूट एक्सेस की अनुमति देता है। विशेष एप्लिकेशन, स्क्रिप्ट और प्रोग्राम मॉड्यूल हैं जो इस कार्य को करते हैं। रोजमर्रा की जिंदगी में, ऐसी चीजें उपयोगकर्ताओं के लिए डरावनी नहीं होती हैं, क्योंकि अक्सर वे डिवाइस पर अधिक नियंत्रण हासिल करने के लिए होशपूर्वक उपयोग किए जाते हैं। एक और बात यह है कि इन कमजोरियों (उदाहरण के लिए, CVE-2009-1185, CVE-2011-1823) को दुर्भावनापूर्ण अनुप्रयोगों के रचनाकारों द्वारा अपनाया गया था। अपने अधिकारों को जड़ स्तर तक बढ़ाने के लिए कारनामों (समान कार्यक्रम मॉड्यूल और स्क्रिप्ट) का उपयोग करते हुए, उन्हें अवसर मिलता है, उदाहरण के लिए, उपयोगकर्ता की अनुमति के बिना अन्य कार्यक्रमों को स्वतंत्र रूप से स्थापित करने के लिए (Android.Gongfu और Android.DreamExploid के विभिन्न संशोधनों के रूप में)। कुछ दुर्भावनापूर्ण प्रोग्राम सीधे-सीधे शोषण का उपयोग नहीं करते हैं, लेकिन उपयोगकर्ता को गुमराह करते हैं और उसे आवश्यक कार्यों को करने के लिए प्रोत्साहित करते हैं, जिससे मैलवेयर को उन क्षमताओं की आवश्यकता होती है।

Android की प्रमुख सुरक्षा विशेषताओं में से एक है अनुमति प्रणाली। एप्लिकेशन इंस्टॉल करते समय, उपयोगकर्ता को उन सभी कार्यों की एक सूची दिखाई जाती है जो किसी विशेष प्रोग्राम के लिए उपलब्ध होंगे। एप्लिकेशन इंस्टॉल करने के बाद, उन्हें उपयोगकर्ता हस्तक्षेप के बिना उनमें एम्बेडेड कार्यों को करने का अवसर मिलता है। एक तरफ, स्थापना से पहले कार्यक्रमों की क्षमताओं का प्रदर्शन करना एक उचित स्तर की सुरक्षा प्रदान करना चाहिए, लेकिन सभी उपयोगकर्ता कार्यों की सूची का सावधानीपूर्वक अध्ययन नहीं करते हैं। इसके अलावा, यह निश्चित रूप से कहना असंभव है कि क्या भविष्य में उपयोगकर्ता को नुकसान पहुंचाने के लिए एक फ़ंक्शन का उपयोग किया जाएगा। लेकिन यह इस प्रणाली की अंतिम खामी नहीं है। उदाहरण के लिए, ऐसे एप्लिकेशन बनाने की संभावना है जिनके लिए अपने काम के लिए किसी भी अनुमति की आवश्यकता नहीं होगी, जो पूरी सुरक्षा की झूठी भावना पैदा कर सकता है। हालांकि, वास्तव में, ऐसे एप्लिकेशन कुछ जानकारी (उदाहरण के लिए, असुरक्षित रूप में मेमोरी कार्ड में संग्रहीत फ़ाइलें, मोबाइल ऑपरेटर द्वारा उपयोग किए जाने वाले इंस्टॉल किए गए प्रोग्रामों की सूची) तक पहुंचने में सक्षम होंगे और यहां तक ​​कि इंटरनेट के माध्यम से साइबर अपराधियों को यह जानकारी भेज सकते हैं।

अनौपचारिक या तीसरे पक्ष के फर्मवेयर का उपयोग भी खतरा पैदा कर सकता है। चिंता के कई कारण हैं। सबसे पहले, दुर्भावनापूर्ण कार्यक्रमों को शुरू में इस तरह के फर्मवेयर में बनाया जा सकता है। दूसरे, जब किसी एप्लिकेशन को डिजिटल रूप से सिस्टम छवि पर हस्ताक्षर करके हस्ताक्षरित किया जाता है, तो यह सिस्टम के समान अधिकार प्राप्त करता है जिसमें यह काम करता है। Android ओपन सोर्स प्रोजेक्ट (AOSP) के हिस्से के रूप में, छवियों के लिए हस्ताक्षर निजी हैं, इसलिए यह परिदृश्य संभव है, उदाहरण के लिए, यदि संबंधित हस्ताक्षर चोरी हो गए हैं। Android.SmsHider मैलवेयर द्वारा संक्रमण का एक समान तरीका, विशेष रूप से उपयोग किया गया था, जो कुछ तृतीय-पक्ष फर्मवेयर का उपयोग करने वाले उपयोगकर्ताओं के लिए अदृश्य रूप से इसमें ट्रोजन एपीके इंस्टॉल कर सकता है।

सिस्टम एप्लिकेशन, दोनों मानक और एंड्रॉइड उपकरणों के आपूर्तिकर्ताओं से आवेदन भी असुरक्षित हैं। उदाहरण के लिए, कुछ WebKit ब्राउज़र भेद्यताएं संभावित मैलवेयर को मनमाने ढंग से जावास्क्रिप्ट कोड निष्पादित करने और संरक्षित ब्राउज़र डेटा तक पहुंच प्राप्त करने की अनुमति देती हैं।

यदि एप्लिकेशन डेवलपर उपयोगकर्ता डेटा के साथ काम करते समय सुरक्षा पर पर्याप्त ध्यान नहीं देते हैं, तो इस डेटा से समझौता किया जा सकता है। हमलों को पंजीकरण डेटा, बैंक कार्डों के पासवर्ड और अन्य गोपनीय जानकारी के असुरक्षित रूप में संग्रहीत किया जा सकता है। यदि आवेदन के संचालन के दौरान एक ही डेटा को एक अनएन्क्रिप्टेड रूप में सीधे नेटवर्क पर प्रसारित किया जाता है, तो वे संभावित रूप से हमलावरों द्वारा समझौता करने के अधीन भी होते हैं। ऐसी समस्या के उल्लेखनीय उदाहरणों में से एक Skype एप्लिकेशन के साथ स्थिति थी, जब उपयोगकर्ता डेटा, जिसमें प्रोफ़ाइल जानकारी, संपर्क और पत्राचार इतिहास शामिल थे, को अनएन्क्रिप्टेड रूप में संग्रहीत किया गया था और वांछित होने पर घुसपैठियों द्वारा आसानी से प्राप्त किया जा सकता था।

खुलापन

एंड्रॉइड सिस्टम का खुलापन कई कारकों में निहित है। सबसे पहले, कोड की उपलब्धता जो डेवलपर्स द्वारा उनकी आवश्यकताओं और विचारों के आधार पर उपयोग, संशोधित और सुधार की जा सकती है। एक ओर, डिवाइस निर्माताओं और डेवलपर्स के लिए यह एक निश्चित प्लस है, दूसरी ओर, यह न केवल शोधकर्ताओं के लिए एक अवसर प्रदान करता है, बल्कि हमलावरों के लिए अधिक प्रभावी रूप से कमजोरियों और त्रुटियों को खोजने के लिए भी है।

दूसरे, आधिकारिक Google Play एप्लिकेशन कैटलॉग (जिसे पहले एंड्रॉइड मार्केट कहा जाता है), और किसी भी अन्य उपलब्ध स्रोत से एप्लिकेशन इंस्टॉल करना संभव है।

तीसरा, अनुप्रयोगों का निर्माण व्यावहारिक रूप से सार्वजनिक रूप से उपलब्ध है, क्योंकि यह केवल $ 25 का भुगतान करने के लिए आवश्यक है यदि डेवलपर आधिकारिक सूची में अपने उत्पादों को रखना चाहता है, और उसकी सामग्री लागत के बाहर कार्यक्रमों के वितरण के लिए आम तौर पर आवश्यक नहीं है।

चौथा, हाल ही में Google Play पर होस्ट किए गए कार्यक्रम Google द्वारा पूर्व-परीक्षण या परीक्षण नहीं किए गए हैं। हाल ही में, बाउंसर प्रणाली की घोषणा की गई थी, जो दुर्भावनापूर्ण कार्यों के लिए प्ले निर्देशिका में स्थित अनुप्रयोगों की जांच करनी चाहिए; डेवलपर खातों का सत्यापन भी किया जाएगा। निस्संदेह, इससे सुरक्षा में कुछ हद तक वृद्धि होनी चाहिए, लेकिन यह अभी भी समस्या को हल नहीं करता है, क्योंकि मैलवेयर निर्माता बाउंसर सिस्टम को सफलतापूर्वक बायपास करने के लिए विभिन्न चाल का उपयोग कर सकते हैं।

प्लेटफ़ॉर्म विखंडन

इस तथ्य के कारण कि एंड्रॉइड सिस्टम का उपयोग बड़ी संख्या में मोबाइल उपकरणों के निर्माताओं द्वारा किया जाता है, और साथ ही साथ उनकी तकनीकी विशेषताओं के लिए कोई निश्चित ढांचा नहीं है, उपभोक्ताओं के लिए कई प्रकार की कार्यक्षमता वाले डिवाइस उपलब्ध हैं। जैसे ही अगली प्रणाली अपडेट जारी की जाती है, न केवल नए कार्यों को इसमें जोड़ा जाता है, बल्कि पहले से खोजी गई कमजोरियों को भी बंद कर दिया जाता है। निर्माता, अपने विवेक पर, अपडेट का उपयुक्त संस्करण जारी करते हैं। कभी-कभी ऐसा होता है कि डिवाइस, जो हाल ही में फ्लैगशिप तक था, को ओएस या सॉफ्टवेयर का नया संस्करण प्राप्त नहीं होता है और तदनुसार, संभावित खतरों से असुरक्षित रहता है। इसका कारण या तो आर्थिक विचार हो सकते हैं (अद्यतन के अनुकूलन के लिए बहुत अधिक वित्तीय निवेश की आवश्यकता होगी, या निर्माता सिर्फ नए उपकरणों की बिक्री पर पैसा बनाना चाहता है), या विशुद्ध रूप से तकनीकी (अद्यतन पुराने हार्डवेयर पर सही ढंग से काम नहीं कर पाएगा, या स्थापित करने के लिए पर्याप्त भौतिक मेमोरी नहीं होगी। उपकरणों)।

मानव कारक

सिस्टम की सुरक्षा का स्तर जो भी हो, मानव कारक सुरक्षा सुनिश्चित करने में महत्वपूर्ण भूमिका निभाता है। एक उदाहरण सोशल इंजीनियरिंग के तत्व हैं जो साइबर क्रिमिनल उपयोग करते हैं, उदाहरण के लिए, उच्च प्रोफ़ाइल वाक्यांशों ("तत्काल सिस्टम अपडेट आवश्यक", "आपका ब्राउज़र संस्करण पुराना है", "तुरंत Skype अद्यतन स्थापित करें" का उपयोग करके विज्ञापनों में विज्ञापनों के माध्यम से मैलवेयर फैलाने की विधि का उल्लेख किया गया है) ", आदि)। एसएमएस के माध्यम से स्पैम मेलिंग का उपयोग करके दुर्भावनापूर्ण कार्यक्रमों के प्रसार के मामलों के बारे में भी यही कहा जा सकता है (इस तरह, उदाहरण के लिए, Android.Crewind backdoor वितरित किया गया था)।

सोशल इंजीनियरिंग का एक अन्य तत्व कुछ लोगों की मुफ्त की आकांक्षा पर खेल है ("स्पीड की आवश्यकता का नया संस्करण", "डामर अपडेट मुफ्त है!"), साथ ही साथ थीम का उपयोग "वयस्कों के लिए" ("सुपरगर्ल्स, यहां डाउनलोड करें!") "नग्न सुंदरता की तस्वीरों का एक संग्रह," आदि)।


इसके अलावा, उपयोगकर्ताओं का ध्यान स्वयं महत्वपूर्ण है। बहुत बार, अपने डिजाइन, संरचना की नकल करके या एक सटीक प्रतिलिपि बनाने की कोशिश करके नकली प्रसिद्ध साइटों पर हमला करते हैं। पहली नज़र में, ऐसी साइट वास्तव में एक वास्तविक की तरह दिख सकती है, हालांकि, एक नज़दीकी नज़र एक पकड़ को प्रकट करेगी। उदाहरण के लिए, पता बार एक ऐसी साइट को इंगित करेगा जो मूल से पूरी तरह से अलग है, या जिसमें थोड़ी विकृतियां हैं (उदाहरण के लिए, vkontlakte.com, vkontakne.b1.ru, androldmarket.com), या कोई परिचित तत्व उस पर काम नहीं करेगा, या बिल्कुल भी नहीं। कुछ परिचित गायब होगा।



एप्लिकेशन भी फ़ेक किए जा सकते हैं, और एक असावधान उपयोगकर्ता हमलावरों के साथ अपने व्यक्तिगत डेटा को साझा करने की अधिक संभावना है (सोशल नेटवर्क, क्रेडिट कार्ड की जानकारी, आदि से लॉगिन और पासवर्ड)। कई विकल्प हो सकते हैं।

निष्कर्ष

इसलिए, हमने सबसे आम खतरों की जांच की, जो एंड्रॉइड ऑपरेटिंग सिस्टम पर चलने वाले उपकरणों के उपयोगकर्ताओं का सामना कर सकते हैं। अब हम संक्षेप में कुछ निष्कर्ष निकाल सकते हैं।

एंड्रॉइड ओएस के साथ काम करते समय मुख्य सुरक्षा समस्याओं में से एक, सबसे पहले मानव कारक है। कोई फर्क नहीं पड़ता कि ऑपरेटिंग सिस्टम कितना सुरक्षित है, लापरवाही, असावधानी, आत्मविश्वास और सरल अज्ञानता जल्द या बाद में एक स्मार्ट डिवाइस के मालिक को खतरे में डाल देगा। उदाहरण के लिए, उपयोगकर्ता का विश्वास कि वे खतरे में नहीं हैं, उसे सुरक्षा उपकरण, जैसे कि एंटी-वायरस प्रोग्राम को अनदेखा करने के लिए मजबूर करता है। उदाहरण के लिए, लुभावने ऑफ़र देने वाले घुसपैठियों के मामले में, उदाहरण के लिए, भुगतान किए गए एप्लिकेशन और गेम के मुफ्त संस्करण डाउनलोड करने, लोगों की खुद की हानि के बिना लाभ प्राप्त करने की इच्छा का उपयोग किया जाता है। जब कोई प्रसिद्ध साइट, गेम या एप्लिकेशन फेक होता है, जबकि उपयोगकर्ता अनुभवहीन होता है, तो उसे इस बात की जानकारी नहीं हो सकती है कि वह इस या उस प्रोग्राम को इंस्टॉल करके या अपनी गोपनीय जानकारी दर्ज करके किसी जोखिम में है।

अगली महत्वपूर्ण समस्या अप्रत्यक्ष रूप से पहले वाले से संबंधित है और दोनों ऑपरेटिंग सिस्टम और एप्लिकेशन सॉफ़्टवेयर की सॉफ़्टवेयर भेद्यता की चिंता करती है। Android उन लोगों द्वारा बनाई गई है, जो अपनी प्रकृति से, गलतियाँ कर सकते हैं। इन त्रुटियों पर कभी गौर नहीं किया जा सकता है, लेकिन सबसे अधिक समय पर दिखाई दे सकता है। कोड में पाई गई त्रुटि को हमलावरों द्वारा लिया जाता है, अगर यह उन्हें कुछ लाभ पहुंचाता है। इस प्रकार, उपयोगकर्ताओं का सामना करना पड़ता है, उदाहरण के लिए, दुर्भावनापूर्ण कार्यक्रमों के साथ जो सिस्टम पर विशेषाधिकारों को बढ़ाने के लिए रूट कारनामों का उपयोग करते हैं। इनमें से अधिकांश कारनामे मूल रूप से अधिक अनुभवी उपयोगकर्ताओं की मदद करने के लिए किए गए थे, लेकिन जल्दी से साइबर अपराधियों के शस्त्रागार में चले गए।

सिस्टम और उपयोगकर्ताओं के लिए अधिकतम सुरक्षा सुनिश्चित करने के लिए एंड्रॉइड डेवलपर्स द्वारा किए गए प्रयासों के बावजूद, सुरक्षा बाधाओं को दरकिनार करने के तरीके हैं। मूल कारनामों के अलावा, एक उदाहरण तीसरे पक्ष के फर्मवेयर सुरक्षा प्रमाणपत्र के साथ दुर्भावनापूर्ण अनुप्रयोगों का हस्ताक्षर है, जो ऐसे कार्यक्रमों को संबंधित ओएस छवि पर सिस्टम अधिकारों के साथ काम करने की अनुमति देता है। अनुमति प्रणाली भी अपूर्ण है।एप्लिकेशन बनाने के पहले वर्णित मामले को इसके संचालन के लिए किसी भी अनुमति की आवश्यकता नहीं है, यह भी त्रुटियों का एक उदाहरण है और सभी सुरक्षा को दरकिनार किया जा सकता है।

यदि एप्लिकेशन डेवलपर सुरक्षा पर ध्यान नहीं देते हैं, तो यह सुरक्षा के स्तर को प्रभावित कर सकता है। स्काइप मामले ने इसकी पुष्टि की। इसी तरह के अंतराल अन्य अनुप्रयोगों में हो सकते हैं, जिन्हें उपयोगकर्ताओं के लिए अच्छी खबर नहीं कहा जा सकता है।

Google की खुली प्लेटफ़ॉर्म नीति के सकारात्मक पहलुओं के बावजूद, नकारात्मक पहलू भी हैं। सबसे पहले, यह उन कमजोरियों की खोज करने की संभावना को बढ़ाता है जो साइबर क्रिमिनल शोषण कर सकते हैं। दूसरे, अनुप्रयोगों के निर्माण की प्रक्रिया के लिए बहुत उदार रवैया और अंतिम उपयोगकर्ताओं द्वारा अपने स्थापना के लिए व्यापक संभावनाएं भी साइबर अपराधियों का उपयोग करके शोषण किया जाता है। Google की बाउंसर प्रणाली की शुरूआत Android पारिस्थितिकी तंत्र की खुलेपन की नीति में भारी बदलाव के बिना सुरक्षा बढ़ाने की दिशा में एक कदम है, लेकिन यह सभी समस्याओं का समाधान नहीं हो सकता है।

Android OS का अगला महत्वपूर्ण दोष इसका विखंडन है। बड़ी संख्या में डिवाइस निर्माताओं और सिस्टम के विभिन्न संस्करणों का अस्तित्व कुछ मुश्किलें पैदा करता है, क्योंकि उपयोगकर्ता हमेशा आवश्यक अपडेट प्राप्त नहीं कर सकते हैं, जो सुरक्षा को बेहतर बनाते हैं। कुछ निर्माताओं के नए मॉडल को जितनी बार संभव हो उतने जारी करने की इच्छा कुछ उपभोक्ताओं को एंड्रॉइड डिवाइस के निरंतर उपयोग को छोड़ने के लिए मजबूर कर सकती है। यह इस तथ्य के कारण हो सकता है कि उन्हें वांछित सिस्टम अपडेट नहीं मिल सकता है, और यह तथ्य कि नए मॉडल के रिलीज़ होने के बाद उपकरणों की विशेषताओं में काफी पुराना होने का समय है और अब उपयोगकर्ता की आवश्यकताओं को पूरा नहीं करता है।

और, ज़ाहिर है, मैलवेयर एक खतरा है। एंड्रॉइड की उपरोक्त विशेषताओं का उपयोग करते हुए, हमलावरों ने मोबाइल डिवाइस बाजार की नई संरचना को जल्दी से अनुकूलित किया और उनके लिए हर संभव और सबसे अधिक लाभदायक योजनाओं में महारत हासिल करना शुरू कर दिया। अपने अंधेरे मामलों में, वे त्वरित और आसान लाभ प्राप्त करने के लिए एसएमएस ट्रोजन का उपयोग करते हैं; गोपनीय उपयोगकर्ता डेटा चुराने वाले ट्रोजन्स के उपयोग से उन्हें पैसे कमाने की अनुमति मिलती है, उदाहरण के लिए, विभिन्न सामाजिक नेटवर्क और अन्य सेवाओं से ईमेल जानकारी, लॉगिन और पासवर्ड के पुनर्विक्रय से। सोशल इंजीनियरिंग का उपयोग भी उनकी समृद्धि में महत्वपूर्ण योगदान देता है।

वाणिज्यिक स्पाइवेयर कार्यक्रमों के निर्माताओं के बारे में मत भूलना जो सभ्य मात्रा के लिए अपने समाधान बेचते हैं। पहली नज़र में, कीमतें बहुत अधिक लग सकती हैं, लेकिन संभावित ग्राहकों को मिलने वाले लाभ कई गुना अधिक हो सकते हैं।

भविष्य में क्या होगा?

निश्चित डिग्री के साथ, हम कह सकते हैं कि निकट भविष्य में, मैलवेयर Android उपकरणों, विशेष रूप से एसएमएस ट्रोजन के मालिकों को खतरा बना रहेगा। स्पायवेयर और अपहरण ट्रॉजन जो गोपनीय जानकारी एकत्र करते हैं, उन्हें भी नहीं छोड़ा जाएगा। भविष्य में, दुर्भावनापूर्ण कार्यक्रम भी दिखाई देंगे जो विभिन्न कार्यों को जोड़ते हैं, जिनमें रूट कारनामों का उपयोग करना शामिल है। लोकप्रिय अनुप्रयोगों में खोजी गई कमजोरियों का उपयोग करने के मामले भी संभव हैं।

इंटरनेट संसाधनों या बड़े पैमाने पर स्पैम भेजने के लिए सक्षम बड़े बोटनेट्स के संगठन को खारिज नहीं किया गया है। तृतीय-पक्ष और अनौपचारिक फर्मवेयर का उपयोग करने वाले उपयोगकर्ताओं के मैलवेयर संक्रमण में वृद्धि हो सकती है। ऐसे हमले स्थानीय भी हो सकते हैं, प्रकृति में लक्षित, जब हमलावर उनके लिए सबसे दिलचस्प फर्मवेयर संस्करण चुनते हैं।

ट्रोजन-ब्लॉकर्स और रैंसमवेयर की उपस्थिति विंडोज उपयोगकर्ताओं के लिए पहले से ही परिचित है। इस तरह के दुर्भावनापूर्ण कार्यक्रमों के हमलों को फैलाया जा सकता है, उदाहरण के लिए, मूल अधिकारों वाले उपकरणों के मालिकों के बीच, लेकिन यह भी संभव है कि ये ट्रोजन सिस्टम में विशेषाधिकारों को बढ़ाने या सामाजिक इंजीनियरिंग तकनीकों का उपयोग करके उपयोगकर्ता को ऐसा करने के लिए आवश्यक कार्रवाई करेंगे।

"क्लासिक" स्पायवेयर ट्रोजन के अलावा, तथाकथित का पता लगाने के मामले। कैरियर अनुप्रयोगों जैसे कैरियर आईक्यू। इस तरह के कार्यक्रमों का उपयोग डिवाइस निर्माताओं और दूरसंचार ऑपरेटरों द्वारा सांख्यिकीय और विश्लेषणात्मक जानकारी एकत्र करने के लिए किया जा सकता है, हालांकि, जैसा कि कैरियर IQ केस ने दिखाया है, एकत्र की गई जानकारी उपयोगकर्ता की गोपनीयता को अत्यधिक और सीधे धमकी दे सकती है। निर्माताओं को कम से कम उपभोक्ताओं को ऐसे अनुप्रयोगों की उपलब्धता और उनके काम की विशेषताओं के बारे में सूचित करना चाहिए। फिर भी, ऐसे मामले हो सकते हैं जब निर्माता खुद पूरी तरह से नहीं जान पाएंगे कि एकत्र की गई जानकारी सुरक्षा आवश्यकताओं को कितना पूरा करती है।

एक तरह से या किसी अन्य, मुख्य हमलावर वैक्टर में से एक सामाजिक इंजीनियरिंग रहेगा। सुरक्षा सुनिश्चित करने में एक महत्वपूर्ण भूमिका उपयोगकर्ताओं की देखभाल और सावधानी से निभाई जानी चाहिए। सुरक्षा का एक उचित स्तर मोबाइल डिवाइस निर्माताओं के साथ-साथ एप्लिकेशन सॉफ़्टवेयर विक्रेताओं से भी आना चाहिए। उन्हें कमजोरियों का पता चलते ही सिस्टम और एप्लिकेशन अपडेट जारी करने की जरूरत है। उपयोगकर्ताओं की गोपनीयता के उचित स्तर और उनकी व्यक्तिगत जानकारी की सुरक्षा सुनिश्चित करना भी आवश्यक है।

Android की सुरक्षा बढ़ाने की दिशा में, अभी भी सुधार संभव है। उदाहरण के लिए, एप्लिकेशन नियंत्रण की एक अतिरिक्त डिग्री जोड़कर लागू अनुमति प्रणाली की कार्यक्षमता का विस्तार किया जा सकता है। अब उपयोगकर्ता यह देख सकते हैं कि किसी विशेष एप्लिकेशन का उपयोग कौन से फ़ंक्शंस कर सकता है, केवल इंस्टॉलेशन के दौरान और डिवाइस के सिस्टम मेनू में संबंधित जानकारी को खोलते समय। यदि, हालांकि, एक प्रणाली शुरू की जाती है जो कार्यक्रम की आवश्यकता को एक या किसी अन्य क्रिया को करने के लिए प्रदर्शित करती है, और उपयोगकर्ता को यह तय करने की भी अनुमति देता है कि कार्यक्रम क्या अवसर प्रदान करता है, तो इससे सुरक्षा का स्तर बढ़ सकता है।