סעיף זה מכיל המלצות להבטחת האבטחה של תקשורת רשת ממכשירי אנדרואיד.
אבטחת שקעי האזנה
השתמשו בשקעי האזנה בזהירות. בדרך כלל לא אמורים להיות שקעי האזנה פתוחים במכשירים מכיוון שהם מספקים וקטור לתוקף מרוחק לקבל גישה למכשיר.
- מכשירי אנדרואיד צריכים למזער את מספר שקעי האזנה לאינטרנט שהם חושפים, במיוחד באתחול או כברירת מחדל. אף שקע לא אמור להאזין באינטרנט בעת האתחול כברירת מחדל.
- תהליכי שורש ותהליכים בבעלות המזהה הייחודי של המערכת (UID) לא אמורים לחשוף שקעי האזנה כלשהם.
- שקעי האזנה חייבים להיות מושבתים ללא עדכון OTA. ניתן לבצע זאת באמצעות שינוי תצורה של שרת או מכשיר משתמש.
- עבור שקעים מקומיים המשתמשים ב-IPC, אפליקציות חייבות להשתמש בשקע תחום UNIX עם גישה מוגבלת לקבוצה. צור מתאר קובץ עבור ה-IPC והפוך אותו ל-+RW עבור קבוצת UNIX ספציפית. כל אפליקציות לקוח חייבות להיות בתוך קבוצת UNIX זו.
- מכשירים מסוימים עם מספר מעבדים (לדוגמה, רדיו/מודם נפרדים ממעבד האפליקציה) משתמשים בשקעי רשת כדי לתקשר בין מעבדים. במקרים כאלה, שקע הרשת המשמש לתקשורת בין מעבדים חייב להשתמש בממשק רשת מבודד כדי למנוע גישה של אפליקציות לא מורשות במכשיר (כלומר להשתמש ב-iptables כדי למנוע גישה של אפליקציות אחרות במכשיר).
- דמונים שמטפלים ביציאות האזנה חייבים להיות חזקים מפני נתונים שגויים. עליך לבצע בדיקות fuzz מול הנמל באמצעות לקוח לא מורשה, ובמידת האפשר, לקוח מורשה. קובץ באגים למעקב אחר קריסות.
ה- Android Compatibility Test Suite (CTS) כולל בדיקות הבודקות נוכחות של יציאות האזנה פתוחות.
השבת את ADB
Android Debug Bridge (ADB) הוא כלי פיתוח ואיתור באגים בעל ערך, אך מיועד לשימוש בסביבה מבוקרת ומאובטחת ואין להפעיל אותו לשימוש כללי.
- ודא ש-ADB מושבת כברירת מחדל.
- ודא ש-ADB דורש מהמשתמש להפעיל אותו לפני קבלת חיבורים.