Trois nouveaux téléphones de sécurité ont récemment fait leur apparition: le Geeksphone Blackphone, les Boeing noir, et Téléphone de confidentialité de FreedomPop.
Ces téléphones empruntent des chemins similaires vers la sécurité, d'après ce que nous savons jusqu'à présent. Ils sont chargés de cryptage, d'applications de sécurité et d'autres fonctionnalités.
Mais il y a deux fonctionnalités sur au moins un de ces téléphones qui devraient être une partie standard d'Android.
Le Geeksphone Blackphone à 629 $, fabriqué en partenariat avec Silent Circle, utilise une version fourchue d'Android appelée PrivatOS. Tout d'abord, le système vous confronte à des choix lorsque vous installez une application, vous permettant de choisir exactement ce que les informations personnelles sont disponibles pour chaque application - des autorisations individuelles sur chaque source de données que chaque application demandes. Et deuxièmement, une fois les applications installées, un « Centre de sécurité » permet aux utilisateurs d'activer ou de désactiver des autorisations spécifiques pour chaque application.
Pourquoi ces deux fonctionnalités ne sont-elles pas intégrées à Android standard ?
L'éditeur de logiciels antivirus Avast révélé Vendredi, une application Android de vision nocturne appelée Cámara Visión Nocturna a inscrit des utilisateurs à un service de messagerie payant à leur insu ou sans leur autorisation.
L'application a collecté les numéros de téléphone de WhatsApp et d'autres applications de messagerie et les a enregistrés pour un service de messagerie payant, qui leur a facturé 2,80 $ par session. Certains utilisateurs ont été facturés jusqu'à 50 $ par mois. Je ne sais pas comment cette facturation a eu lieu, mais le mal était déjà fait au moment où les chercheurs l'ont découvert.
L'utilisation d'applications apparemment légitimes hébergeant des fonctions secrètes qui volent ou violent les utilisateurs semble être une industrie en pleine croissance. Les kits d'outils d'accès à distance, ou RAT, sont un problème depuis des années, mais ont tendance à cibler les utilisateurs en Chine et ailleurs en Asie.
Cette semaine, des chercheurs ont découvert un RAT appelé dendroïde, qui aide les distributeurs potentiels de logiciels malveillants à cibler les utilisateurs américains et européens. Il est conçu pour cacher le code malveillant dans un logiciel d'application Android autrement légitime.
Une caractéristique intéressante est que le panneau de contrôle de Dendroid est hébergé sur des serveurs privés virtuels. C'est un « malware en tant que service ».
Dendroid coûte 300 $ et est livré avec un support technique 24h / 24 et une garantie qu'il ne sera pas détecté. Son créateur, qui s'appelle "Soccer" sur les forums, affirme que le logiciel peut enregistrer des appels téléphoniques et des SMS, télécharger des images à partir de téléphones et enregistrer de l'audio et de la vidéo, prendre des photos avec les appareils photo des téléphones, appeler des numéros de téléphone, supprimer des journaux d'appels, ouvrir des applications et lancer un déni de service attaque.
Dendroid serait conçu pour passer outre le contrôle du Play Store de Google (appelé Bouncer).
Tout cela semble horrible, mais les spécialistes de la sécurité mobile ne s'attendent pas à ce que Dendroid soit une menace majeure en réalité, principalement parce qu'il a été détecté et que maintenant que l'industrie de la sécurité et Google le savent, ils peuvent faire quelque chose ce.
Ce qui est préoccupant, c'est que Dendroid représente une nouvelle tendance de boîtes à outils de logiciels malveillants tout-en-un hautement professionnels et hautement capables pour Android.
Il y a aussi le problème de la saisie de données qui ne sont pas exactement des logiciels malveillants.
Un rapport publié l'année dernière par le Data Center of China Internet (DCCI) a révélé que près de 35% des applications Android interrogées récupéraient des données utilisateur sans rapport avec l'objectif de l'application.
Le problème existe également en dehors de la Chine, bien qu'il soit probablement en moyenne nettement meilleur pour les applications Play Store. Le cas le plus médiatisé était le Le fiasco de la lampe de poche la plus brillante de GoldenShores Technologies.
Il est clair que les utilisateurs d'Android courent un grand risque pour la confidentialité, la sécurité et les finances futures. violation d'applications apparemment légitimes qui hébergent secrètement des charges utiles de logiciels malveillants conçues pour abuser de la confiance des utilisateurs.
C'est pourquoi Google doit ajouter deux fonctionnalités du PrivatOS du Geeksphone Blackphone :
- Une fonctionnalité qui confronte l'utilisateur à accorder ou à refuser l'autorisation pour chaque action portant atteinte à la vie privée que l'application est capable de prendre. Si les développeurs d'applications veulent que les utilisateurs terminent l'installation plutôt que d'abandonner parce que c'est trop compliqué de continuer, ils doivent minimiser ou éliminer les fonctionnalités violant la confidentialité.
- Une fonctionnalité qui fournit un « Centre de sécurité » clair et complet où à tout moment toutes les autorisations violant la confidentialité sont révélées et peuvent être activées ou désactivées individuellement.
Bien sûr, des applications tierces comme Pare-feu NoRoot faire quelque chose comme ça. Mais ceux-ci ne seront utilisés que par une extrême minorité d'utilisateurs.
Il est temps pour Google d'intensifier et de protéger les utilisateurs avec ces deux fonctionnalités, qui produisent au minimum les utilisateurs au niveau du système d'exploitation. Les utilisateurs ne devraient pas avoir à rechercher des téléphones exotiques ou des applications obscures pour pouvoir accorder ou refuser des autorisations de confidentialité sur leurs téléphones Android.
(Image reproduite avec l'aimable autorisation de SoftAndApps.info)