Уязвимость Stagefright: начало конца мобильной ОС Andoid?

С безопасностью Android на сегодняшний день всё далеко не так благополучно и пока что нет никаких признаков движения по разрешению проблемы. Экосистема не справляется с поддержанием безопасности и дело сдвинется с мертвой точки лишь тогда, когда будет слишком поздно.

Изначально Android задумывался как массовая платформа. Google начали с чистого листа, не имея никакой доли рынка, поэтому компания была только рада предоставить всем желающим возможность изменять ОС по своему желанию в обмен на её распространение на устройствах производителей. Маркетинговая подача не отличалась изобретательностью: «Apple ограничивают вас одним устройством (iPhone), для Microsoft вы всего лишь клиент, но в случае Android определять, каким будет конечное устройство будете вы». Открытый код Android позволял любому адаптировать ОС под конкретное аппаратное обеспечение, и у OEM-производителей и операторов имелась теоретическая возможность изменять Android или создавать форки так, как им заблагорассудится.

Сейчас Android занимает 75-80% мирового рынка смартфонов и это делает её самой популярной ОС в мире не только на данный момент, но и за всю историю индустрии мобильной электроники. В связи с этим остро ставится вопрос безопасности. Android до сих пор использует ту последовательность обновлений ПО, которая была разработана в то время, когда в экосистеме толком было нечего обновлять и которая толком не работает. Слишком много действующих лиц: Google выпускает Android для OEM-производителей, они вносят свои изменения и выпускают код для операторов, которые также способны изменять части ПО и уже затем происходит выпуск коммерческого продукта.

Как можно видеть, задуманная схема уже давно непригодна. И реакция экосистемы на уязвимость Stagefright является лишним подтверждением тому, насколько плачевна ситуация. По предварительным оценкам около 95% устройств на базе Android содержат баг, позволяющий исполнять удаленный произвольный код по получению зараженного ММС с видео. Android имеет различные механизмы защиты от потери контроля над вашим смартфоном, но тем не менее становится страшно. Как следовало ожидать, Google, Samsung и LG заявили о скорейшем выпуске обновления политики безопасности своих устройств в рамках инициативы «Take Security Seriously». Этот «патч» закроет уязвимость на 2.6% активных Android-устройств, это максимум того, чего они смогут добиться. Процент представляет собой количество аппаратов на базе версии 5.1 (на момент написания статьи, начало августа, сейчас эта цифра составляет 7.9%) и является лишь смелым предположением для топовых и поддерживаемых Android-устройств на рынке. В реальности количество устройств, которые получат патч будет гораздо ниже.

Даже принимая во внимание возможную активизацию вендоров и устранение уязвимости на всех аппаратах с Android 5.1, то останется еще 92.4% устройств, подверженных Stagefright. Стратегия постепенного обновления Android даже отдаленно не напоминает что-то пригодное для ОС с двадцатью четырьмя тысячами (!) индивидуальных моделей активных устройств. В идеальном мире неспособность обновления миллионов потенциально подверженных взлому устройств стала бы достаточным основанием для Google, OEM-производителей и операторов связи для того ,чтобы сесть за общий стол переговоров, отложить свои брендоориентированные стандарты и навязанные отделом маркетинга различия и сказать: «Мы сможем всё исправить». Но, к сожалению, это — утопия. В реальном мире операторы и производители хотят иметь в Android свои инструменты для кастомизации, чтобы была возможность рекламировать свои приложения. Кажется, что никому не хочется брать на себя ответственность по послепродажной поддержке миллионов создаваемых и продаваемых устройств.

На определенном этапе ознакомления с проблемой кажется, что для безопасности Android неизбежно придет судный день, как это было с червём Blaster, и именно он станет тем стимулом для реальных действий по решению проблемы. Stagefright — это не шутки, и ответные меры экосистемы Android составляют лишь 2.6/100 от необходимого ответа.

Взгляд в сторону Windows

Все любят сравнивать Android и iOS, но такое сравнение не совсем справедливо, учитывая тот факт, что и ПО, и аппаратное обеспечение iOS принадлежит одной и той же компании. Более пригодной для сравнения моделью успешного выпуска патчей может стать Microsoft Windows. Система очень похожа на Android в части разнообразия «железа», широкой поддержки производителями и повсеместным распространением. Microsoft обладает централизованной системой обновлений и ОС, в основу которой не имеют права вмешиваться ни поставщики услуг, ни производители. По причине того, что поддержка железа отделена от операционной системы и никто не имеет права вносить в ОС какие-либо изменения, у Microsoft есть единая кодовая база для обновления каждой версии Windows, в этом и заключается зрелый подход к осуществлению обновлений. Такая система быстрого обновления на протяжении многих лет выдерживает постоянные атаки на безопасность и в этом плане Windows коренным образом отличается от Android.

Полностью закрытый характер обновлений не сработает для Android, этого «джина» в «бутылку» обратно уже не спрятать, однако для устранения текущей угрозы безопасности производителям и операторам необходимо согласиться с меньшим уровнем доступа к системе. Операторы должны иметь ограниченный уровень к пользовательским приложениям, как и поставщики услуг на ПК. Производители в дополнение к предыдущему ограничению должны иметь доступ к системе изменения интерфейса или смене скинов, что позволило бы им осуществлять так любимое ими брендирование интерфейса без затрагивания основной ОС.

Не всё гладко и с «железом». Android не имеет того уровня аппаратной абстракции как у x86, где драйверы для аппаратного обеспечения могут существовать отдельно от ОС. ARM и Android всё еще работают над моделью встроенной ОС, где общие драйверы устройств отсутствуют. Такая модель сделает поддержку каждого обновления каждого устройства нелегкой задачей и скорее всего здесь потребуется поддержка от Linux и ARM.

Также, необходимо твёрдо разубедить производителей в их идее о двухгодичном цикле обновления смартфонов для среднестатистических пользователей. Согласно исследованию фрагментации Android компании Open Signal в 2015 году самым популярным устройством Samsung является модель трехлетней давности Galaxy S III, а из 10 самых популярных устройств компании 6 аппаратов были выпущены больше двух лет назад, 2 не являются флагманами и не будут обновляться до новейшей версии ОС. Жестокая реальность заключается в том, что производители и операторы поддерживают лишь те устройства, которые находятся в продаже, отсюда и вырисовывается двухлетний план обновления. Samsung поспешит закрыть уязвимость на S6, однако, по данным вышеупомянутого исследования смартфон лишь 13 в рейтинге. Для реальной защиты пользователей компании нужно выпустить обновления для Galaxy S III, S4 и более дешевых устройств, например Galaxy Grand Prime. Из 10 устройств в топе патч был выпущен лишь для одного, Galaxy S5, который (сюрприз, сюрприз) всё еще в продаже.

Microsoft, напротив, до сих пор выпускает обновления безопасности для всех версий Windows начиная с Vista, что составляет около 86% пользователей. Оставшиеся пользователи пользуются XP, для которой Microsoft всё еще предлагает платные обновления безопасности после бесплатного продления поддержки на два года. 8 лет для смартфонов это, возможно, слегка чересчур, в конце концов, 8 лет назад об Android мало кто знал, но нет ничего предосудительного в том, чтобы стремиться к тому, чтобы обновить политику безопасности 85% устройств.

У участников экосистемы Android отсутствует какое-либо твердое мнение по поводу того, как безопасность может навредить другие ответвления бизнеса компаний. Google и Samsung пытаются выйти на корпоративный рынок (Android for Work, Knox), но репутация Android в части безопасности может сыграть злую шутку над обеими платформами. Корпорациям будет сложно принимать Android всерьёз, когда ОС постоянно «светится» в новостях, связанных с уязвимостями.

Впереди — тернистый путь

Без какого-либо реального решения проблемы компании просто лепят «заплатки» на найденные «дыры». Тестовая среда приложений Android обещает защитить от эксплойтов, «крепость» Play Store оградит пользователей от зараженных приложений, операторы вовсю работают над блокировкой зараженных Stagefright MMC-сообщений. Google в свою очередь будет выпускать всё новые компоненты для Сервисов Google Play, но всё же для некоторых аспектов будет требоваться обновление по воздуху.

В экосистеме Android слишком редко проявляется интерес к мнению пользователя, чтобы ожидать немедленного решения проблемы Stagefright. Операторы и производители не хотят вставать на сторону пользователей и эта эгоистичная позиция пока не встретила никаких ответных действий. Но последствия не за горами. Когда всё же грянет «судный день», то пользователям будет глубоко наплевать на ограничение по выпуску патча для флагмана двухлетней давности, если их устройство перестанет работать или будет украдена информация.

Основная проблема в том, что обновления флагманов недостаточно для того, чтобы обезопасить большую часть пользователей, а решения для остальных устройств пока нет. Модель обновления Android не работает, и чтобы перестроить её, нужно начинать с чистого листа.