Безопасность мобильных платформ

С момента первых атак на мэйнфреймы в 1980-е годы особую актуальность приобрели вопросы безопасности всех компьютерных систем. И хотя со времени появления червя Морриса такие системы сильно изменились, угрозы и атаки так и не удалось полностью устранить. Напротив, число атак с применением вредоносного программного кода и других киберугроз возрастает экспоненциально. По мере перехода компьютерной индустрии на мобильные платформы целью нападений все чаще становятся именно мобильные системы и приложения. Как показывает исследование компании Sophos за 2013 год, основной целью кибератак теперь является Android, а в отчете компании F-secure говорится, что за два предыдущих года число разновидностей зловредных мобильных программ увеличилось с нескольких сотен до более чем 50 тысяч. Всеобщая распространенность и популярность мобильных устройств приводит к чрезвычайной актуальности проблемы обеспечения безопасности мобильных приложений. Поскольку в таких устройствах хранятся большие объемы личной информации, они являются привлекательными целями для атак злоумышленников, стремящихся к получению финансовой выгоды. Однако, по данным компании Symantec, только 57% взрослых пользователей знают о том, что существуют средства обеспечения безопасности мобильных объектов. Подобные отчеты также показывают, что примерно половина атак ориентирована на кражу личных данных и отслеживание поведения пользователей. Ситуация осложняется тем, что мобильные устройства обладают сравнительно небольшой вычислительной мощностью и ограниченным пользовательским интерфейсом, что позволяет злоумышленникам скрывать от пользователей активность зловредных программ.

Для обеспечения безопасности мобильных платформ исследователи пытаются применять самые разные стратегии. В некоторых подходах в основном используются анализ, выявление и оценка зловредных приложений. Как и в традиционных подходах к обеспечению безопасности систем, анализ может опираться на использование статических и динамических методов или их комбинации. Ряд исследований направлен на поиск проектных решений, позволяющих повысить уровень безопасности данных, — например, контроль прав доступа к данным или обеспечение изолированности среды выполнения приложений.

Однако в области обеспечения безопасности мобильных приложений нельзя ограничиться приложениями и данными — мобильные платформы используются в различных новых средах и воздействуют на пользователей способами, которые были невозможны для персональных компьютеров. Характерным примером может служить появление мобильных ботнетов. Еще больше поводов для беспокойства приносит переход от использования мобильных устройств к использованию «носимых» устройств («умные» часы, очки и т. д.). Направление обеспечения безопасности мобильных приложений представляет особый интерес для сообщества информационной безопасности не только по причине свой новизны и актуальности, но и потому, что мобильная безопасность может сильно повлиять на представления о системной безопасности в целом.

Тематическая подборка включает пять крупных статей. Первую из них написали Гильермо Суарес-Тангил (Guillermo Suarez-Tangil), Хуан Тапиадор (Juan Tapiador), Флавио Ломбарди (Flavio Lombardi), Роберто Ди Пиетро (Roberto Di Pietro). Она называется «Обезвреживание вредоносных программ путем дифференциального анализа отказов» (Thwarting Obfuscated Malware via Differential Fault Analysis). В статье описывается инструментальное средство Alterdroid, позволяющее выявлять зловредные компоненты в пакетах приложений.

Alterdroid сначала выбирает подозрительные компоненты, используя статистический анализ на основе заранее определенных моделей. Затем в случайно выбранный подозрительный компонент внедряется некоторая ошибка, после чего все приложение повторно компонуется. В контейнерах Android запускаются измененная и исходная версии приложения — зловредное поведение выявляется путем сравнения трасс их исполнения с использованием дифференциального анализа.

Многим владельцам мобильных устройств свойственно желание иметь права суперпользователя для получения полного контроля над ним, хотя это может поставить под угрозу безопасность устройства. В статье «Root-ВGuard: защита телефонов с Android, работающих в режиме суперпользователя» (Root-ВGuard: Protecting Rooted Android Phones), которую написали Юру Шао (Yuru Shao), Ксиапу Луо (Xiapu Luo) и Ченксион Киан (Chenxiong Qian), предлагается пользовательское приложение Root-Guard, дополняющее стандартный набор средств управления режимом суперпользователя в ОС Android. Авторы характеризуют отрицательные последствия перевода мобильного устройства в режим суперпользователя, а затем описывают, каким образом RootGuard перехватывает системные вызовы и применяет к ним несколько предопределенных или определяемых пользователями политик. Демонстрируется, что разработанное средство обеспечивает более безопасную среду для устройств, работающих в режиме суперпользователя. В добавление к базовым процедурам управления суперпользовательским доступом модуль RootGuard отслеживает приложения, выполняющие команды в режиме суперпользователя, и использует политики для определения допустимости выполнения операций.

Среда обеспечения безопасности не должна ориентироваться только на само мобильное устройство — необходимо также принимать во внимание потребность в безопасности использования устройства в целом вместе со средой его применения. Феликс Гомес Мармол (Felix Gomez Marmol), Грегор Розинай (Gregor Rozinaj), Себастьян Шуман (Sebastian Schumann), Ондрей Лабай (Ondrej Labaj) и Юрай Качур (Juraj Kacur) в статье «Умные магазины приложений: расширение границ экосистем смартфонов» (Smart AppStore: Expanding the Frontiers of Smartphone Ecosystems) описывают независимый от особенностей устройств подход к организации магазина приложений для смартфонов и других интеллектуальных устройств (в частности, «умных» телевизоров). Авторы демонстрируют возможности одновременного достижения простоты, удобства использования и безопасности. Предлагаемый магазин приложений (рис.1) предоставляет развитые средства безопасности, биометрическую аутентификацию, многоуровневую авторизацию, навигацию с помощью жестов, управление учетной информацией и т. д.

Рис. 1. Экосистема мобильных устройств. Пользователи взаимодействуют с магазином приложений с помощью веб-камеры (встроенной, например, в Kinect), которая связана с домашним шлюзом. Система распознает пользователей, находящихся в комнате, и создает список активных пользователей или профили групп пользователей

Расширение границ использования мобильных устройств привело к тому, что различные организации позволяют своим сотрудникам работать в офисе на своих собственных устройствах. В результате возникают новые проблемы, связанные с достижением баланса между удобством и безопасностью. Алессандро Армандо (Alessandro Armando), Габриеле Коста (Gabriele Costa), Лука Вердераме (Luca Verderame) и Алессио Мерло (Alessio Merlo) в статье «Обеспечение безопасности при использовании парадигмы BYOD» (Securing the “Bring Your Own Device” Paradigm) обсуждают проблемы безопасности, возникающие при применении мобильных устройств в случае BYOD. Предлагается архитектура «метамаркета» безопасности (secure metamarket, SMM), поддерживающего определение и применение политик BYOD (рис. 2). Описывается выполненная авторами реализация прототипа в среде Android, и приводятся результаты проведенных на его основе экспериментов.

Рис. 2. Сценарий BYOD с использованием архитектуры SMM, гарантирующей, что приложения, установленные в персональном мобильном устройcтве, соответствуют политике безопасности организации

Последнюю статью тематической подборки «Безопасность в мобильных платформах Firefox OS и Tizen» (Security in the Firefox OS and Tizen Mobile Platforms) представили Ольга Гадяцкая (Olga Gadyatskaya), Фабио Массаччи (Fabio Massacci) и Юрий Жавнерович (Yury Zhauniarovich). Авторы представляют две развивающиеся мобильные операционные системы (Firefox OS и Tizen) и обсуждают применяемые в них подходы к обеспечению безопасности. Существенным отличием этих систем от традиционных мобильных ОС является их изначальная интеграция с веб-приложениями. Тем не менее обе рассматриваемые ОС, как и Android, основаны на Linux, и в статье также обсуждаются основные различия между ними и Android.

Сергей Кузнецов (kuzloc@ispras.ru) — профессор, МГУ (Москва).