Bir Android Cihazı Güvenli Hale Getirin

Android, endüstri lideri güvenlik özelliklerini içerir ve Android platformunu ve ekosistemini güvende tutmak için geliştiriciler ve cihaz uygulayıcılarıyla birlikte çalışır. Android platformu üzerinde ve çevresinde oluşturulmuş ve bulut hizmetleri tarafından desteklenen güçlü bir uygulama ve cihaz ekosistemi sağlamak için sağlam bir güvenlik modeli gereklidir. Sonuç olarak, tüm geliştirme yaşam döngüsü boyunca Android, sıkı bir güvenlik programına tabi olmuştur.

Android açık olacak şekilde tasarlanmıştır. Android uygulamaları, tüketicilere yenilik ve değer getirmek için platform aracılığıyla sunulan yerel ve sunulan verilerin yanı sıra gelişmiş donanım ve yazılımları kullanır. Bu değeri gerçekleştirmek için platform, kullanıcıların, verilerin, uygulamaların, cihazın ve ağın gizliliğini, bütünlüğünü ve kullanılabilirliğini koruyan bir uygulama ortamı sunar.

Açık bir platformun güvenliğini sağlamak, güçlü bir güvenlik mimarisi ve sıkı güvenlik programları gerektirir. Android, platformun tüm kullanıcılarını korumaya devam ederken açık bir platformu destekleyecek kadar esnek olan çok katmanlı güvenlikle tasarlanmıştır. Güvenlik meseleleri ve güncelleme işlemini raporlama hakkında bilgi için, bkz Güvenlik Güncellemeleri ve Kaynaklar .

Android, geliştiriciler için tasarlanmıştır. Güvenlik kontrolleri, geliştiricilerin üzerindeki yükü azaltmak için tasarlandı. Güvenlik konusunda bilgili geliştiriciler, esnek güvenlik denetimleriyle kolayca çalışabilir ve bunlara güvenebilir. Güvenliğe daha az aşina olan geliştiriciler, güvenli varsayılanlarla korunur.

Android, üzerine inşa edilecek istikrarlı bir platform sağlamanın yanı sıra geliştiricilere çeşitli şekillerde ek destek sağlar. Android güvenlik ekibi, uygulamalardaki olası güvenlik açıklarını arar ve bu sorunları düzeltmenin yollarını önerir. Google Play'e sahip cihazlar için Play Hizmetleri, uygulama iletişimini güvence altına almak için kullanılan OpenSSL gibi kritik yazılım kitaplıkları için güvenlik güncellemeleri sunar. Android güvenlik SSL (test etmek için bir araç yayınladı nogotofail geliştiriciler geliştiriyorlar hangisi platformu üzerinde olası güvenlik sorunlarını bulmak yardımcı olur).

Android uygulama geliştiricileri için daha fazla bilgi bulunabilir developer.android.com .

Android, kullanıcılar için tasarlanmıştır. Kullanıcılara, her uygulama tarafından istenen izinlere ilişkin görünürlük ve bu izinler üzerinde kontrol sağlanır. Bu tasarım, saldırganların, cihaz kullanıcılarını kötü amaçlı yazılım yüklemeye ikna etmeye yönelik sosyal mühendislik saldırıları ve Android'deki üçüncü taraf uygulamalara yönelik saldırılar gibi yaygın saldırılar gerçekleştirmeye çalışacağı beklentisini içerir. Android, hem bu saldırıların olasılığını azaltmak hem de başarılı olması durumunda saldırının etkisini büyük ölçüde sınırlamak için tasarlandı. Android güvenliği, cihaz kullanıcının eline geçtikten sonra da ilerlemeye devam ediyor. İle Android eserler ortakları ve halka güvenlik güncellemelerini almak için devam ediyor herhangi bir Android cihaz için yamaları sağlamak.

Son kullanıcılar için daha fazla bilgi bulunabilir Nexus yardım merkezi , Piksel yardım merkezinden veya cihaz üreticisinin yardım merkezine.

Bu sayfa, Android güvenlik programının hedeflerini özetlemekte, Android güvenlik mimarisinin temellerini açıklamakta ve sistem mimarları ve güvenlik analistleri için en uygun soruları yanıtlamaktadır. Android'in temel platformunun güvenlik özelliklerine odaklanır ve tarayıcı veya SMS uygulamasıyla ilgili olanlar gibi belirli uygulamalara özgü güvenlik sorunlarını tartışmaz.

Arka plan

Android, mobil cihazlar için açık kaynaklı bir platform ve uygulama ortamı sağlar.

Aşağıdaki bölümler ve sayfalar, Android platformunun güvenlik özelliklerini açıklamaktadır. Şekil 1, Android yazılım yığınının çeşitli düzeylerinin güvenlik bileşenlerini ve değerlendirmelerini göstermektedir. Her bileşen, aşağıdaki bileşenlerin uygun şekilde sabitlendiğini varsayar. Kök olarak çalışan az miktarda Android işletim sistemi kodu dışında, Linux çekirdeğinin üzerindeki tüm kodlar Uygulama Korumalı Alanı tarafından kısıtlanır.

Şekil 1: Android yazılım yığını

Şekil 1. Android yazılım seti

Ana Android platformu yapı taşları şunlardır:

  • Cihaz donanım: Cep telefonları, tabletler, saatler, otomobiller, akıllı TV'ler, OTT oyun kutuları ve set üstü kutular dahil donanım yapılandırmaları geniş bir yelpazede Android çalışır. Android işlemciden bağımsızdır, ancak ARM eXecute-Never gibi donanıma özgü bazı güvenlik özelliklerinden yararlanır.
  • Android işletim sistemi: çekirdek işletim sistemi Linux çekirdeği üzerine inşa edilmiştir. Kamera işlevleri, GPS verileri, Bluetooth işlevleri, telefon işlevleri ve ağ bağlantıları gibi tüm cihaz kaynaklarına işletim sistemi üzerinden erişilir.
  • Android Uygulama Süre: Android uygulamaları en sık Java programlama dilinde yazılmış ve Android zamanında (ART) 'de çalıştırılır. Ancak, temel Android hizmetleri ve uygulamaları dahil olmak üzere birçok uygulama yerel uygulamalardır veya yerel kitaplıklar içerir. Hem ART hem de yerel uygulamalar, Uygulama Korumalı Alanı içinde bulunan aynı güvenlik ortamında çalışır. Uygulamalar, veritabanları ve ham dosyalar dahil olmak üzere özel verileri yazabilecekleri dosya sisteminin özel bir bölümünü alır.

Android uygulamaları, çekirdek Android işletim sistemini genişletir. Uygulamalar için iki ana kaynak vardır:

  • Önceden yüklenmiş uygulamalar: Android telefon, e-posta, takvim, web tarayıcı ve kişiler de dahil olmak üzere önceden yüklenmiş uygulamalar grubunu kapsamaktadır. Bunlar, kullanıcı uygulamaları olarak işlev görür ve diğer uygulamalar tarafından erişilebilen temel cihaz özellikleri sağlar. Önceden yüklenmiş uygulamalar, açık kaynaklı Android platformunun bir parçası olabilir veya belirli bir cihaz için bir cihaz üreticisi tarafından geliştirilebilir.
  • Kullanıcı yüklenmiş uygulamalar: Android herhangi bir üçüncü taraf uygulamasını destekleyen açık bir geliştirme ortamı sağlar. Google Play, kullanıcılara yüz binlerce uygulama sunar.

Google güvenlik hizmetleri

Google ile uyumlu Android cihazlara mevcuttur bulut tabanlı hizmetler kümesi sağlar Google Mobil Hizmetleri . Bu hizmetler Android Açık Kaynak Projesi'nin (AOSP) bir parçası olmasa da birçok Android cihazında bulunur. Bu hizmetlerin bazıları hakkında daha fazla bilgi için Android Security'nin bkz Review 2018 yılı .

Birincil Google güvenlik hizmetleri şunlardır:

  • Google Play: Google Play, Android cihazlarında veya webden kullanıcıları, keşfetmek yüklemek için izin hizmetleri ve satın alma uygulamalar topluluğudur. Google Play, geliştiricilerin Android kullanıcılarına ve potansiyel müşterilere ulaşmasını kolaylaştırır. Google Play, ayrıca topluluk inceleme, uygulama sağlar lisans doğrulama , uygulama, güvenlik tarama ve diğer güvenlik hizmetleri.
  • Android güncellemeleri: Android güncelleme hizmeti web üzerinden veya (OTA) üzerinden güncellemeler dahil seçilmiş Android cihazlar, yeni yetenekleri ve güvenlik güncelleştirmelerini sunar.
  • Uygulama hizmetleri: Çerçeveleri mesela (kullanım bulut yetenekleri Android uygulamalarını izin yedeklenmesi uygulama verilerini ve ayarları ve bulut cihaza mesajlaşma () C2DM push mesajları).
  • Uygulamalar doğrulayın: uyar veya otomatik olarak zararlı uygulamaların yüklenmesini engelleyecek ve cihazda sürekli tarama uygulamaları hakkında uyarı veya kaldırma zararlı uygulamalar .
  • SafetyNet: Bir gizlilik koruyarak saldırı tespit sistemi, Google izlemeyi yardımcı bilinen güvenlik tehditleri azaltmak ve yeni güvenlik tehditleri tanımlamak için.
  • SafetyNet Tasdik: Üçüncü taraf API cihaz uyumlu CTS olup olmadığını belirlemek için. Tasdik da uygulama sunucusu ile iletişim Android uygulamasını belirleyebilir.
  • Android Cihaz Yöneticisi: Bir web uygulaması ve Android uygulaması kayıp veya cihaz çalındığı bulmak için.

Güvenlik programına genel bakış

Android Güvenlik Programının temel bileşenleri şunları içerir:

  • Tasarım incelemesi: Android güvenlik süreci erken zengin ve yapılandırılabilir güvenlik modeli ve tasarımın yaratılması ile geliştirme yaşam döngüsü başlar. Platformun her bir önemli özelliği, sistem mimarisine entegre edilmiş uygun güvenlik kontrolleri ile mühendislik ve güvenlik kaynakları tarafından gözden geçirilir.
  • Penetrasyon testleri ve kod incelemesi: platformunun geliştirilmesi sırasında, Android oluşturulan ve açık kaynak bileşenleri dinç güvenlik değerlendirmeleri tabidir. Bu incelemeler, Android Güvenlik Ekibi, Google'ın Bilgi Güvenliği Mühendisliği ekibi ve bağımsız güvenlik danışmanları tarafından gerçekleştirilir. Bu incelemelerin amacı, büyük sürümlerden çok önce zayıflıkları ve olası güvenlik açıklarını belirlemek ve sürüm sonrasında harici güvenlik uzmanları tarafından gerçekleştirilen analiz türlerini simüle etmektir.
  • Açık kaynak ve toplum incelemesi: AOSP tüm ilgililer tarafından geniş güvenlik incelemesi sağlar. Android ayrıca, Linux çekirdeği gibi önemli bir dış güvenlik incelemesinden geçmiş açık kaynak teknolojilerini de kullanır. Google Play, kullanıcılara ve şirketlere belirli uygulamalar hakkında doğrudan kullanıcılara bilgi sağlamaları için bir forum sağlar.
  • Olay tepkisi: Hatta bu önlemlere, güvenlik meseleleri Android projesi kapsamlı bir güvenlik tepkisi süreci yaratmıştır, bu yüzden de nakliye sonra ortaya çıkabilir. Tam zamanlı Android güvenlik ekibi üyeleri Android özgü ve potansiyel açıkları ve gözden tartışılması için genel güvenlik topluluğuna izlemek güvenlik hataları Android hata veritabanı üzerinde açtı. Yasal sorunların keşfedilmesi üzerine, Android ekibi, tüm Android kullanıcıları için potansiyel riskin en aza indirilmesini sağlamak için güvenlik açıklarının hızla azaltılmasını sağlayan bir yanıt sürecine sahiptir. Bu bulut destekli yanıtlar arasında Android platformunun güncellenmesi (AOSP güncellemeleri), Google Play'den uygulamaların kaldırılması ve sahadaki cihazlardan uygulamaların kaldırılması yer alabilir.
  • Aylık güvenlik güncellemeleri: Android güvenlik ekibi sağlar aylık güncellemeler Google Android cihazlar ve tüm cihaz imalat ortaklarına.

Platform güvenlik mimarisi

Android, geleneksel işletim sistemi güvenlik kontrollerini şu amaçlarla yeniden kullanarak mobil platformlar için en güvenli ve kullanılabilir işletim sistemi olmayı amaçlamaktadır:

  • Uygulama ve kullanıcı verilerini koruyun
  • Sistem kaynaklarını koruyun (ağ dahil)
  • Sistemden, diğer uygulamalardan ve kullanıcıdan uygulama izolasyonu sağlayın

Bu hedeflere ulaşmak için Android şu temel güvenlik özelliklerini sağlar:

  • Linux çekirdeği aracılığıyla işletim sistemi düzeyinde sağlam güvenlik
  • Tüm uygulamalar için zorunlu uygulama sanal alanı
  • Güvenli süreçler arası iletişim
  • Uygulama imzalama
  • Uygulama tanımlı ve kullanıcı tarafından verilen izinler