Endelig felles Android-sikkerhetssatsing

Et mediefil eller mediemelding med rett kode åpner opp Android-smarttelefoner for angrep. Dette er Stagefright-hullet som ble kjent i forrige uke, og som rammer alle versjoner av Android fra versjon 2.2.

Den mest horrible konsekvensen av dette hullet er naturligvis at det er opp til hver enkelt leverandør av Android å oppdatere sine egne produkter. Fram til nå har oppdateringer av Android tatt lang tid, om i det hele tatt.

Stort initiativ

Denne uka marsjerte Android-eier Google først ut og annonserte tetting mot Stagefright i alle Nexus-apparater de har solgt ut. De ble fulgt i flokk og følge av Samsung, LG, Huawei, Motorola, Sony, Android One og noen hundre andre som lovte å få ut denne tettingen så snart som mulig.

Men kritikken var omgående der siden dette ikke gjelder alle av de milliarder av Androider som er solgt de siste to åra aleine. Og hva skjer med alle de små fiksene og tettingene som kommer hele tida?

Snart flokkimmunitet

I natt ble det klart at Google har fått med seg Samsung og LG på at oppdateringer til Android må komme med hyppige oppdateringer som distribueres én gang i måneden. Dermed tok Android et langt skritt i retning av å erkjenne at verdens største mobilOS må ta sikkerhet på alvor. Og at ambisjonene må være det som gjelder andre voksne OS som har alvorlige ambisjoner.

Betydningen skal ikke undervurderes. En mobilstrategi i virksomhetene med sikkerhetsfundament har vært vanskelig for de IT-avdelinger som vil tilby mer enn Windows. Apple har akseptabel sikkerhet, men forlanger at virksomhetene overlater deler av sikkerheten til selskapet.

Android er verdens største smarttelefonleverandør, men har ingen klar sikkerhetsstrategi. Initiativ som Samsung Knox har ikke satt merkbare spor. 

Om en felles oppdateringsstrategi velges av de fleste Android-leverandørene, vil også hele plattformen bli sikrere. En slik felles immunitet mot angrep kan gjøre Windows rangen stridig som foretrukket OS i virksomhetene.

Fragmentering truer fortsatt

Android er ikke ute av krattskogen ennå. Kjerr av andre produktleverandører og tornebusker av operatørmerkete telefoner er fortsatt ikke meldt på klubben av månedlige fikser.

I land som US og UK selges telefoner, også fra kjente merker, direkte fra operatører som Verizon, T-Mobile eller AT&T. Dermed er det de som har ansvaret for oppdateringer. Og så langt har ikke operatørene vært særlig ivrige etter å sikre apparatene til abonnentene sine.

Trist sikkerhetshistorie

Sikkerhet fra de store aktørene i IT-bransjen har en dårlig historie fra før. Apple Mac har bygd mye kredibilitet på å hevde at deres sikkerhetsdesign var idiotsikkert, inntil noen idioter med universtetsgrader viste at også MacOS kan angripes. Det som gjør MacOS sikkert, er at det er så lite brukt i den store sammenhengen at det ikke lønner seg å angripe.

Microsoft på sin side fikk ikke prioritert sikkerhet på topp i sitt Windows OS før Service Pack 3 til Windows XP i august 2004. Da ble sikkerheten til gjengjeld så bra at folk ikke vil kutte ut bruken av det tilårskomne Oset. Ikke engang når det ble tvangspensjonert i fjor.