Resolvendo Todos Os Problemas Do Windows E Outros Programas

Android 8.0 em profundidade: aprimoramentos de segurança não tão óbvios do Oreo

Quando você lê sobre uma nova atualização de software como o lançamento do Android 8.0 Oreo recém-saído do forno do Google, você tende a ouvir mais sobre os recursos do letreiro luminoso - os elementos e refinamentos que mais chamam a atenção que você provavelmente notará ao obter a atualização em seu próprio dispositivo.

É compreensível, uma vez que essas são as coisas que todos nós vemos mais imediata e diretamente. Abaixo da superfície, porém, Oreo tem algumas coisas muito significativas acontecendo no domínio da segurança - coisas que não foram amplamente cobertas, mas são tão importantes quanto qualquer outra coisa para entender.



Algumas são bastante técnicas e muitas são o tipo de informação que você provavelmente nunca encontraria se não frequentasse palestras e fóruns voltados para desenvolvedores. Mas tudo isso afeta a capacidade do seu telefone de mantê-lo protegido contra ameaças teóricas - e vale a pena estar ciente de tudo isso.



Aqui estão os pontos altos, traduzidos do jumbo mumbo em termos práticos do inglês simples.

Ponto de segurança nº 1 do Android 8.0: Oreo muda algumas coisas sobre as permissões.

Sempre que você instala um novo aplicativo, você concede a ele permissão para acessar certos tipos de dados e executar certos tipos de funções em seu dispositivo. (Você sabe quando você executa um aplicativo pela primeira vez, e ele mostra um monte de informações - todos aqueles prompts que você clica em 'OK' sem prestar atenção? Sim, é isso.) Com o Oreo, o Android está repensando alguns deles permissões e reduzindo o que os aplicativos têm permissão para fazer.



A primeira é uma permissão para gerar algo chamado janela de alerta do sistema. É ostensivamente para exibir, sabe, alertas do sistema - mas com o tempo, foi adotado para uma variedade de outras finalidades orientadas para sobreposição. Alguns aplicativos o usam para fornecer elementos de imagem em imagem que flutuam sobre outros aplicativos, por exemplo, enquanto os utilitários de gerenciamento de senha tradicionalmente o usam para gerar caixas pop-up para preencher formulários em todo o sistema operacional.

o que é navegação privada firefox

Isso é muito bom, mas o Google percebeu que a mesma permissão da janela de alerta do sistema realmente aumentou o potencial de abuso. Os aplicativos de ransomware podem essencialmente usá-lo para assumir o controle da sua tela e induzi-lo a fornecer informações confidenciais ou clicar em links questionáveis ​​para escapar.

[Para comentar esta história, visite Página do Facebook da Computerworld . ]



driectx 9c

Oreo resolve isso introduzindo alguns novos limites da janela de alerta do sistema. Especificamente, o conteúdo dessas janelas não pode mais cobrir áreas críticas de sua tela, como sua barra de status ou tela de bloqueio, e uma nova notificação persistente agora aparece sempre que uma sobreposição está presente para que você sempre tenha uma maneira integrada de dispensá-la e ir em frente.

Outra permissão do Android de longa data, Device Admin, também está sendo restrita a partir do Oreo para que os aplicativos não possam mais usá-lo para evitar que sejam desinstalados ou para alterar a senha do sistema - novamente, com o objetivo de reduzir o potencial de abuso por quaisquer aplicativos mal intencionados.

Então, por que as versões mais amplas das permissões permaneceram por tanto tempo? Isso é o que eu também me perguntei. Tive a chance de perguntar a Xiaowen Xin, gerente de produto do Google para segurança da plataforma Android. Xin diz que, em alguns casos, o Google reconheceu as maneiras legítimas como os desenvolvedores queriam usar as permissões e queria ter certeza de que esses casos de uso fossem cobertos - implementando uma opção adequada de imagem em imagem e função nativa de preenchimento automático, no caso de Oreo e a janela de alerta do sistema - antes de introduzir quaisquer limites.

“O Android vem de uma posição de tentar ser mais aberto e estamos tentando fornecer APIs que, em alguns casos, são para usuários avançados”, explica Xin. 'É um desafio constante para nós e isso é exclusivo do Android de equilibrar como proteger os usuários e [ainda fornecer funcionalidades avançadas].'

Ponto de segurança 2 do Android 8.0: Oreo verifica a si mesmo de algumas maneiras novas e selvagens.

O Android tem um sistema de Boot verificado desde 2013, quando KitKat era o nome do dia. Desde o início, o sistema verifica o software do seu telefone sempre que o dispositivo é inicializado para garantir que tudo esteja funcionando corretamente.

Com o Oreo, o sistema está se expandindo: além de realizar as verificações de inicialização padrão, o recurso de inicialização verificada do Android agora impedirá que seu dispositivo seja inicializado se tiver sido revertido para uma versão mais antiga e, portanto, menos segura do sistema operacional.

melhores aplicativos de notebook para Android

Porque? Simples: essa proteção evitaria que qualquer pessoa assumisse o controle do seu dispositivo e o desatualizasse manualmente para uma versão anterior do Android, a fim de explorar um bug antigo corrigido na versão mais atual.

'Depois de reiniciar, você realmente estaria limpo novamente - portanto, qualquer exploit não estaria mais em execução no seu telefone', diz Xin.

Oreo também suporta a capacidade da área de hardware segura de um dispositivo de gerar uma declaração garantindo que o sistema foi aprovado na verificação de inicialização verificada e tem um patch de segurança Android razoavelmente recente. Isso poderia ser utilizado por algo como um banco - para garantir que um dispositivo não tenha sido comprometido antes de conceder acesso a um cliente - ou até mesmo uma empresa, para confirmar com quase certeza que os telefones de seus funcionários estão seguros.

Ponto de segurança 3 do Android 8.0: Oreo pode usar um chip semelhante a um cartão de crédito para proteger suas informações de login.

Pronto para mais? Oreo apresenta suporte para novo hardware resistente à violação - então, basicamente, o mesmo tipo de chip que armazena informações confidenciais em um cartão de crédito moderno pode armazenar seu PIN, padrão ou senha em um futuro telefone Android. Essas informações já estão armazenadas em uma área conhecida como Elemento Seguro, mas movê-las para o chip torna ainda mais difícil para alguém realizar um ataque físico ao seu dispositivo e contornar a tela de bloqueio.

E quanto aos dados de impressão digital? Isso é precisamente o que eu também me perguntei. (Você e eu estamos na mesma página hoje, não é? Nós realmente deveríamos sair com mais frequência.) Acontece informações de segurança biométrica, como suas impressões digitais não são incluído no novo sistema baseado em chip - porque a desvantagem da segurança adicional do sistema é a velocidade reduzida. Em outras palavras, é mais lento do que o método regular de autenticação, e o Google não quer que você tenha que esperar vários segundos para que seu ponteiro seja reconhecido.

Mas para um cenário empresarial em que a segurança à prova de balas supera tudo o mais em importância, é fácil ver como esse recurso pode ser benéfico.

Ponto de segurança 4 do Android 8.0: Oreo leva (ainda mais) a sério o sandbox.

Este não é o tipo de playground de diversão sandbox (embora se você estiver lendo isso enquanto estiver em uma caixa de areia, parabéns, senhor e / ou senhora). O Android há muito utiliza o sandbox para manter diferentes partes do sistema operacional em suas próprias áreas isoladas - de forma que, se algo conseguir infectar uma parte do software, não será capaz de alcançar outra.

Com Oreo, o esforço se expande em alguns níveis diferentes. Primeiro, há o Projeto Treble - você já ouviu falar dele, certo? Treble isola as partes independentes de dispositivo do sistema operacional das partes dependentes de dispositivo do sistema operacional. Muito do foco até agora girou em torno de como essa separação poderia (teoricamente, com alguns asteriscos) tornar mais fácil para os fabricantes processar e enviar atualizações do sistema operacional Android, mas há um fator igualmente importante em seu efeito sobre a segurança. Lembrar? Sandboxing.

'Se você tem um exploit em uma [área], agora é mais difícil afetar uma parte diferente do sistema operacional', diz Xin.

O Android 8.0 também protege os aplicativos mais de perto com algo chamado filtro seccomp (gesundheit!). Para os não engenheiros entre nós, a versão resumida é que isso torna mais difícil para um aplicativo travesso fazer qualquer coisa perigosa para o kernel - o cérebro do sistema operacional ou centro de comando, nos termos mais simples possíveis - limitando as maneiras pelas quais os aplicativos podem interagir diretamente com ele. (Se você quiser a versão técnica completa, você pode encontrá-la aqui . Boa Sorte Vá com Deus.)

empresas de tecnologia em ascensão 2019

Por último, mas não menos importante, a função WebView do Android - que permite aos desenvolvedores mostrar conteúdo baseado na web em seus aplicativos - passa para seu próprio processo separado a partir do Oreo. Isso significa que se você encontrar algum tipo de bug baseado na web ao visualizar um site dentro de um aplicativo, ele não deve ser capaz de alcançar ou afetar nenhuma outra área do sistema operacional. Sandboxing. Novamente.

Entendeu tudo isso? Boa. Vamos continuar.

Ponto de segurança 5 do Android 8.0: Oreo aprimora a criptografia para a empresa.

Este ponto é relativamente pequeno, mas se você estiver usando o Android em um ambiente corporativo, é significativo: a partir do Android 8.0, todos os dispositivos usam uma chave diferente para criptografar perfis pessoais e de trabalho. Além disso, o administrador do dispositivo tem a capacidade de ativar a chave do perfil de trabalho remotamente e garantir que os dados de trabalho estejam totalmente protegidos a qualquer hora e em qualquer lugar.

Ah, e uma provocação tentadora: o Google está trabalhando em 'muito mais' criptografia para o lançamento do Android P de 2018, diz Xin. Então fique ligado.

Ponto de segurança 6 do Android 8.0: Oreo oferece suporte nativo a chaves de autenticação de dois fatores.

Por último, mas não menos importante: se você estiver usando a autenticação de dois fatores para proteger suas contas (e você absolutamente deveria estar - vamos lá!), Oreo permite que você use um chave de segurança física como sua segunda forma de autenticação. Basta conectar sua chave ao seu dispositivo Android via Bluetooth, NFC ou USB, e você não terá que encontrar e inserir o código de dois fatores normal ao entrar em uma conta segura.

O asterisco indica que está disponível por meio de uma nova API - o que significa que caberá a aplicativos individuais suportá-lo como um recurso, e você ainda não encontrará muitos lugares onde funcionará. No longo prazo, porém, pode ser um acréscimo relevante para usuários preocupados com a segurança que não se importam em carregar uma engenhoca extra por conveniência.

usar meu telefone no meu computador

E um bônus: esta atualização está realmente sendo fornecida por meio do Google Play Services, então ela se aplicará a dispositivos que executam software desde o Android 5.0 (Lollipop) ou superior. O Google me disse que eventualmente também terá suporte no nível do sistema, para adicionar contas do Google protegidas por dois fatores em seu dispositivo.

De uma perspectiva mais ampla, é claro, a segurança do Android é um quebra-cabeça com muitas peças móveis. Tudo o que estamos falando aqui funciona junto com um sistema de múltiplas camadas para verificação e proteção - um que está presente e funcional em praticamente todos os dispositivos Android razoavelmente recentes - e é complementado por patches de segurança mensais para preencher as lacunas entre os lançamentos do sistema operacional.

Quando se trata de software de segurança e móvel, a evolução nunca termina.

[Android 8.0: Perguntas frequentes completas do Oreo]