Black hat: apakah perangkat android Anda dilindungi terhadap sumber aplikasi yang tidak dipercaya?

Laporan awal tentang bug Master Key Android yang ditemukan oleh para peneliti di Bluebox mengklaim bahwa setinggi 99 persen dari semua perangkat Android bisa rentan. Laporan kemudian mundur secara substansial, mencatat bahwa hanya pengguna yang mematikan fitur yang mencegah menginstal aplikasi dari sumber yang tidak terpercaya yang mungkin terpengaruh. Tidak ada yang melakukannya, kan? Dalam presentasi Black Hat-nya, Jeff Forristal dari Bluebox menjelaskan bahwa itu tidak sesederhana itu.

Dorongan utama presentasi Forristall adalah menjelaskan kerentanan Master Key dengan sangat terperinci. Dia juga melaporkan beberapa bug terkait lainnya yang dapat memungkinkan modifikasi aplikasi tanpa memengaruhi proses verifikasi Android. Sebagian besar dari ini melibatkan perbedaan antara modul parsing file ZIP yang berbeda dalam Android.

Kebijaksanaan Umum?

Pada akhir presentasi, Forristall menyampaikan pendapat bahwa hampir semua pengguna dilindungi oleh pengaturan yang melarang pemasangan aplikasi dari sumber yang tidak terpercaya. "'Semua orang tahu' bahwa tidak ada pengguna yang mengubah pengaturan 'izinkan sumber yang tidak dipercaya', " kata Forristall. "Benarkah? Dari mana data ini berasal?" Laporan-laporan itu tidak mengutip sumber.

Pemindai Keamanan Bluebox melaporkan data telemetri yang benar-benar anonim kembali ke Bluebox setiap kali seseorang menjalankan pemindaian. Salah satu item yang termasuk dalam telemetri adalah apakah perangkat diatur untuk mengizinkan aplikasi dari sumber yang tidak dipercaya.

Forristall menantang hadirin untuk menebak berapa banyak pengguna mematikan perlindungan terhadap sumber yang tidak dipercaya, dengan kenaikan 25 persen. Saya menebak 50 hingga 75 persen, dan saya mencetak gol. "Berapa banyak pengguna yang mengizinkan sumber yang tidak dipercaya?" tanya Forristall. "69 persen orang membalik saklar!"

Dia mencatat bahwa sampel itu hanya seperempat dari satu juta pengguna. "Saya merasa angka 69 persen tinggi, " kata Forristall, "mungkin karena populasi sampel kami. Saya ingin melihat ini pada 10 atau 100 juta. Bahkan jika mendekati 20 persen, itu masih besar, jauh lebih besar, jauh lebih besar dari yang 'ahli' pikirkan."

Kenapa Begitu Tinggi?

"Ada banyak alasan yang memotivasi pengguna untuk menonaktifkan perlindungan ini, " kata Forristall. "Ini bukan hanya untuk aplikasi bajakan. Amazon Appstore, misalnya, mereka melakukan banyak pekerjaan untuk memastikan itu bebas malware, tetapi jika Anda menaruhnya di perangkat non-Amazon Anda, langkah pertama untuk instalasi adalah untuk memungkinkan aplikasi dari sumber lain daripada Google Play. Perusahaan perlu melakukan itu untuk solusi BYOD dan MDM mereka, dan untuk mendistribusikan aplikasi internal."

"Ada sejumlah alasan kuat untuk mengubah pengaturan itu, " simpul Forristall, "dan begitu mereka mengubahnya, itu tidak akan dikembalikan." Tentu saja, itu argumen yang sama yang digunakan beberapa ahli untuk memprediksi bahwa tidak ada pengguna yang akan melakukan perubahan di tempat pertama - itu terlalu banyak bekerja.

Pengaturan itu secara teori tidak relevan jika Anda tidak pernah pergi ke mana pun untuk aplikasi selain Google Play, tetapi mengapa mengambil risiko? Jika saya adalah pengguna Android, saya pasti akan mengaktifkan larangan pada sumber aplikasi yang tidak dipercaya.