13:07
12/1/2010

Ostatnie dni niewątpliwie należą do Google i premiery telefonu Nexus One. Przyjrzyjmy się zatem funkcjom bezpieczeństwa wykorzystywanym przez ten telefon.

Blokada ekranu

Nic nowego, ale Google, oprócz kodu, umożliwia użycie gestów/rysunków do odblokowania ekranu. Czy zwiększa to bezpieczeństwo? Niekoniecznie — pewnie większość ustawi kształt kółka… Tak czy inaczej, funkcja jest “cool”.

Nexus One - telefon o Google

Bezpieczeństwo Wi-Fi

Nexus One poradzi sobie zarówno z sieciami opartymi o WPA, jak i WPA2 (z i bez certyfikatami). Jest też wsparcie dla standardu 802.11n.

VPN

Google Phone wspiera IPsec, także z uwierzytelnianiem po certyfikatach. Certyfikat jest trzymany w zaszyfrowanej postaci na telefonie. Klient VPN-owy porozumie się za pomocą algorytmów 3DES i AES. Co do wydajności szyfrowania na Google Phone, danych brak.

Sandboxing aplikacji

System na którym bazuje Google Phone – Android, zbudowany został w oparciu o Linuksa. Nexus odpala każdą aplikację niezależnie od innych. Domyślnie, żadna z apliakcji nie ma prawa wykonać operacji, które mogłyby naruszyć lub wpłynąć na pracę innych aplikacji.

System Operacyjny

To dopiero pierwsze kroki Androida. Jest wielce prawdopodobne, że wraz ze wzrostem zainteresowania tym systemem pojawiać się będą doniesienia o błędach związanych z bezpieczeństwem. Ponieważ Android to Open Source, crackerzy mogą szybciej zidentyfikować potencjalnie dziurawe fragmenty kodu. Z drugiej jednak strony, Open Source oznacza, że ew. błędy będą szybciej łatane, a osoby z dobrymi intencjami mogą zlokalizować i naprawić słabe fragmenty kodu szybciej niż dostrzegą je crackerzy. W długoterminowej perspektywie, opensource’owy Android ma szanse stać się o wiele bardziej bezpiecznym systemem operacyjnym niż jego zamknięte odpowiedniki.

Podpisywanie aplikacji

Największy rywal Neksusa, iPhone podpisuje swoje apliakacje. Neksus też, z tym drobnym wyjątkiem, że nie jest wymagane, aby aplikacja była podpisana przez zaufany certyfikat. Jest to pewnego rodzaju złudne poczucie bezpieczeństwa — większośc aplikacji Androidowych używa certyfikatów self-signed, co stawia pod znakiem zapytania sens i bezpieczeństwo wymogu podpisywania wszystkich aplikacji…

Sprzętowe szyfrowanie

Kolejna funkcja, która jest obecna w iPhonie i BlackBerry, a nie jest dostępna w Google Phone. Być może powstaną aplikacje, które na wzór TrueCrypta, pozwolą stworzyć bezpieczny kontener na dane i wiadomości użytkownika Nexusa. Bez niej, ciężko będzie firmom zaakceptować Google Phone jako telefon bezpieczny dla biznesu. [UPDATE: morr pisze w komentarzach, że na Android Market jest już kilka aplikacji, które pozwalają szyfrować dane pod Androidem.]

Zdalne czyszczenie danych w przypadku kradzieży

Nie dość, że nieszyfrowane, to jeszcze niezniszczalne w przypadku kradzieży… Nexus One nie udostępnia możliwości zdalnego usunięcia wrażliwych danych np. w przypadku kradzieży czy zgubienia telefonu. [UPDATE: morr w komentarzach podaje nazwę aplikacji IO Safe]

Wymuszenie poziomu bezpieczeństwa

Firmy nie mogą póki co stawiać użytkownikom telefonu Nexus One wymagań dotyczących długości i siły hasła blokującego ekran, ustawień timeoutu, siły szyfrowania danych czy konfiguracji zdalnego czyszczenia danych. BlackBerry pozostaje liderem na tym polu i dopóki inne firmy nie dorównają na tym polu, ciężko będzie im wejść do firm i zostać pełnowartościowym narzędziem biznesu.

Przeczytaj także:



15 komentarzy

Dodaj komentarz
  1. Nexusa, nie “Nessusa”

  2. cyt. “Podpisywanie aplikacji Największy rywal Nessusa, iPhone podpisuje swoje apliakacje. Nessus [..] ”
    :))

  3. Brak “sprzętowego szyfrowania” ciężko nazwać wadą, w końcu producenci dysków już wielokrotnie udowodnili że to jest gówno warte ;].

  4. VaNTa, P: hehe, igH chyba machnął ten tekst w przerwie pomiędzy jednym testem penetracyjnym a drugim ;) Już poprawiłem.

  5. Jak już poprawiamy to powinno być wszędzie ‘Nexus’ przez X, a w czasie odmieniania przez KS czyli np ‘Neksusa’.

    PS Tak samo jest w przypadku Linuksa :)

  6. […] już dzisiaj wspominaliśmy na przykładzie Nexus One, mobilny system operacyjny od Google, Android, pozwala blokować ekran telefonów za pomocą […]

  7. Ale się dyskusja językowa zrobiła. Ale skoro już, to od niedawna dopuszczalne i równoprawne jest odmienianie przez „x”, czyli można już „Linuxa”, „Linuxowi”… Z inszej strony: błagam, nie używajcie zwrotu „póki co”, jest nie tylko niepoprawny i niedopuszczalny, ale na dodatek buracki jak nie przymierzając napęd optyczny w roli podstawka na kawę. Chociaż w tym bądźcie lepsi niż wyrobnicy z gazeta.pl (bez obrazy dla was, nie piszę serio, nie śmiałbym was porównywać z gazetowym dnem ;P).

  8. Tutaj mam pewne zastrzeżenie, bo raz piszecie o tym, że system jest OS, a potem, że brak mu tego, brak tego, etc. Będzie ktoś potrzebował – zleci napisanie łatki do systemu, napisze odpowiednią aplikację (np. co do usuwania danych – żeby ktoś nie mógł tego zrobić bo złamaniu jakiegoś hasła, bo skorzystamy z nietypowego i zamkniętego rozwiązania w danej firmie), ostatecznie może napisać wiadomość do Google’a, że byłaby potrzebna taka, a taka funkcja, czy jest możliwość jej dodania w kolejnym wydaniu oprogramowania dla telefonu. Taki już urok OS, nieprawdaż?

  9. Aplikacji do blokowania czy usuwania danych po zgubieniu czy kradzieży jest kilka w Android Market. Jest też OI Safe, który pozwala szyfrować pliki czy dane.

  10. Oj, oj, nieładnie niedorobiony tekst puszczać. Nie dość, że roi się od błędów jęzkowych i literówek, to przeinaczacie fakty i nie popisujecie się znajomością tematu :/ Czy ten tekst to obiektywny przegląd, czy porównanie z innymi platformami?

  11. @zen bardzo chętnie poznam te “przeinaczone fakty”.

  12. Proszę bardzo. Nie odpowiedziałeś jednak, czy jest to porównanie, czy przegląd funkcji. W N1 zastosowano najszybszy dostępny obecnie na masowym rynku układ, więc z wydajnością nie powinno być problem, nawet z wydajnością szyfrowania. Dla sprzętowego układu w iPhone również nie byłem w stanie znaleźć danych wydajnościowych.
    Android nie został zainspirowany Linuksem, on po prostu Linuksem jest, dodano warstwę pośrednią w postaci maszyny virtualnej Dalvik. “Kilka innych dobrych praktyk” inspirowanych Linuksem? Warto by jes wymienić, skoro o tym wspominasz? To co wymienileś, to uprawnienia w systemie, ale wiązanie ich z Linuksem jest sporym uproszczeniem, szczególnie na portalu technicznym.
    Na markecie jest kilka aplikacji zdolnych tworzyć szyfrowane kontenery na Androidzie. Są również usługi zabezpieczenia słuchawki łącznie z niszczeniem danych, podobnie jak na iPhone, płatne (o czym nie wspomniałeś, a mobileMe kosztuje krocie). Podobnie zatem jak w Android jest to płatny dodatek, tyle tylko, że oferowany przez producenta.
    N1 nie będzie ciężko promować jako telefon biznesowy z jednego powodu: to nie jest telefon biznesowy i nie jest kierowany do biznesowych klientów. Jedynym ukłonem w stronę eneterprise jest współpraca z MS Exchange. Ponieważ nie jest to telefon biznesowy, nie stosuje się standardowych praktyk, które wymieniłeś, typu polityki haseł itp Jesłi ktoś jednak zapragnie zrobić telefon biznesowy na bazie Androida, nie będzie z tym miał problemu, bo jak wspomniałaś system ma otwarte źródła.
    Mam wrażenie, że artykuł powstał w pośpiechu i nie dołożono po prostu należytej staranności edytorskiej. Nie komentuję zagadnień dotyczących stricte bezpieczeństwa, bo nie jestem ekspertem, uderzaję mnie natomiast błędy dotyczące platformy Android, a na nej znam się przyzwoicie.

  13. To przegląd funkcji. Porównanie do konkurencji nasuwa się samo przez się. Nie rozumiem twoich intencji. Nie powinno się porównywać do konkurencji jak opisuje się funkcje danego produktu?

    Co do wydajności, wykreślam tamto zdanie. Dałbym sobie uciąć rękę, że widziałem gdzieś informaje na temat wnętrzności N1 i porównania ich “mocy”|”wydajności” w stosunku do iPhone. Niestety, teraz nie mogę tego znaleźć, żeby podlinkować. Ale będę szukać.

    Co do inspirowania się Linuksem, wydaje mi się, że czepiasz się warstwy słownej. My bad, tekst pisałem na szybko i kilka literówek się pojawiło. Piotrek zwrócił mi na nie uwagę po wrzuceniu tekstu, ale nie miałem czasu ich poprawić. Poprawiam je zatem teraz. Mam nadzieję, że tekst będzie przez to łatwiej przyswajany.

    O aplikacjach służących do szyfrowania wcześniej nie słyszałem. Podobnie jak nie słyszałem o aplikacji do grania na harfie dla iPhona. Fajnie, że są. Obu domyślnie nie ma na telefonie. Dopisuje jednak wymienione przez Ciebie aplikacje do tekstu. Sorry, ale nie oczekuj, że znam każdą aplikację na Androida czy iPhone. Idea Niebezpiecznika jak nam przyświeca to zachęcenie ludzi do dzielenia się wiedzą. Piszesz, że są takie aplikacje, ja je dopisuje do tekstu. Jesteś zainteresowany polemiką, opisaniem funkcji bezpieczeństwa jeszcze raz, bardziej szczegółowo, z punktu widzenia dewelopera (?) Androida, daj znać, umożliwimy Ci to i będziemy bardzo zadowoleni, że wyprostowałeś braki w naszym tekście.

    Co do otwartych źródeł i wykorzystania biznesowego się zgadzamy. Nareszcie w czymś :] cieszy mnie to. Jak wspomniałeś, ja bardziej o bezpieczeństwie niż o platformie Androida. Jeśli w moim tekście znalazły się nieścisłości dotyczące technicznej strony Androida, zawsze chętnie je poprawie. Wystarczy napisać o co chodzi. Twój pierwszy komentarz “przeinaczacie fakty i nie popisujecie się znajomością tematu” w niczym nam nie pomaga i niczego nie wyjaśnia czytelnikom. Z reguły takie rzeczy moderujemy do /dev/null, ale tu zrobiłem wyjątek bo widzę, że komentowałeś u nas wcześniej i z sensem :] Pozdrawiam i mam nadzieję, że po poprawkach tekst już nie drażni Cię tak bardzo :]

  14. Bez obrazy, bardzo Was szanuję, i macie u mnie ogromny kredyt zaufania ze względu na Wasz przed-Niebezpiecznikowe dokonania.
    Przepraszam zatem za ostry w tonie komentarz, ale do miesiąca nie czytam nic innego tylko opisy N1, i każdy kolejny tekst wywołuje u mnie odruchy wymiotne ;) Ten był całkiem niezły, napisany z zupełnie innego punktu widzenia. Teraz jest nawet lepszy.
    Wracając do meritum, warto podkreślić zupełnie inny mode bezpieczeństwa aplikacji oparty na granularnych uprawnieniach. Co więcej, użytkownik w każdej chwili dokładnie wie, jakich uprawnień używa aplikacja: prosty notatnik nie powinien dajmy na to mieć dostępu do sms-ów czy książki adresowej. Jedyne czego mi brakuje to porównanie obecnych i nowych uprawnień w trakcie aktualizacji aplikacji. Model jest świetny dla użytkownika, ale uciążliwy dla programistów.
    Nie interesuje mnie raczej polemika, tylko rzetelne informacje ;)

  15. […] dni temu opisywaliśmy funckje bezpieczeństwa nowego telefonu od Google. Skarżylismy się przy tym, ze telefon nie wspiera ani szyfrowania danych, ani możliwości […]

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: