IOS eller Android - hva er sikrest?

IOS eller Android – hva er sikrest?

Hva er egentlig forskjellene under panseret på de forskjellige plattformene, og hvilke metoder finnes for å sikre enhetene på en profesjonell måte?

Kampen om it-avdelingenes gunst fortsetter for mobilgigantene Android og iOS. Teknologikjempene Apple og Google har ferten av store penger, og har i den senere tiden presentert flere sikkerhetstillegg til sine mobile operativsystemer.

Da iOS 7 ble presentert, hadde Apple blant annet implementert single sign-on, VPN per app og bedre kontroll over installerte apper for it-avdelingen. Google har på sin side svart med å blant annet gi Android støtte for SELinux, flere brukerkontoer på samme enheten og forbedret runtime-beskyttelse av plattformen.

Vi skal begynne med å ta en nærmere titt på det som mange mener er den største trusselen mot smarte mobiltelefoner i dag, nemlig skadelig programvare som ofte er kamuflert som en harmløs app.

Nyere rapporter viser at de mobile plattformene blir et stadig mer populært angrepsmål blant de datakriminelle. Begge operativsystemene er utsatte, men en betydelig større andel av angrepene rettes mot Android. Ifølge opplysninger fra det amerikanske sikkerhetsselskapet Arxan Technologies skal samtlige av de 100 mest populære betalte appene for Android ha vært utsatt for angripere, mens det tilsvarende tallet for iOS-apper ligger på 56 prosent. Dessuten oppgir Cisco i en ny rapport at 99 prosent av all mobil malware som dukket opp i 2013 rettet mot Googles operativsystem.

Til Androids forsvar skal det her gjøres klart at den har en betydelig større markedsandel enn iOS, og dermed tiltrekker seg mer interesse fra de datakriminelle. Ifølge analyseselskapet IDC utgjorde mobiler og nettbrett med Android mer enn 80 prosent av alle solgte enheter i verden i tredje kvartal i 2013.

Forskjellig signatur

En langt større markedsandel er ikke den eneste grunnen til at Android er en mer utsatt plattform. Det er også en fundamental forskjell på hvordan disse to konkurrerende plattformene håndterer digital signering av apper.

Bakgrunnen for digital signering av apper er å gjøre det mulig å forvisse seg om hvem som står bak appen. iOS krever at all kode som eksekverer i apper skal være signert, inkludert kode som lastes inn også etter at appen er i gang. Google bruker også digitale signaturer på appene i form av et sertifikat, men deres kontroll er ikke like stringent.

- For Apples del har man stålkontroll på signeringen av apper. Man må ha et sertifikat for å kunne legge ut en app på App Store. Android bruker også sertifikater, men problemet er at sertifikater man har utstedt selv også er tillatte. Det er som å utstede sitt eget pass, mener Per Hellquist, sikkerhetsekspert hos Symantec.

- Hvilke forandringer håper du på, når det gjelder sikkerheten til Android?

- Først og fremst at sikkerhetsoppdateringer gis ut raskere, men også at det blir bedre kontroll på appene som er tilgjengelige på Play-butikken. Det hadde også vært interessant om Google hadde etablert en egen, separat kanal som er forbeholdt distribusjonen av sikkerhetsoppdateringer, sier Hellquist.

Beskyttet – om du ikke har blitt lurt

Til tross for ulikhetene mellom systemene er det viktig å poengtere at det også finnes mange likheter mellom Android og iOS på hvordan de håndterer sikkerheten.

- Om brukerne har enheter som ikke er kompromitterte finnes det beskyttelse i runtime i både Android og iOS, som ser til at enheten ikke blir infisert via nettleseren eller en sårbar applikasjoner, sier Johan Ekman, sikkerhetskonsulent hos Truesec.

- Men det er ingen beskyttelse å få dersom brukeren blir lurt til å installere en app som inneholder skadelig kode. En del av beskyttelsen settes også til side dersom enheten er rootet eller jailbreaket (reinstallert med uoriginalt operativsystem). For eksempel blir kravet om at all kjørbar kode skal være signert av Apple fjernet, dersom enheten er jailbreaket.

Android og iOS har begge støtte for såkalt «secure boot-scenarier» og for kryptering av innholdet på enheten. Secure boot betyr at systemet verifiserer at plattformens kode er den som forventes ved systemstart, og at den ikke har blitt manipulert.

Når det kommer til kryptering gjenspeiler systemenes forskjellige løsninger både synet på brukerne og forskjellig grad av fleksibilitet. På iPhone beskyttes innholdet med 256-bits AES-kryptering straks man har satt opp enheten til å bruke passord ved oppstart.

Dessverre tillater iOS 7 bare at dataene i et fåtall av appene beskyttes, slik som e-post og enkelte tredjepartsapper. I den kommende versjon 8 av iOS er dette utvidet noe, der kan Meldinger, Kalender, Kontakter, Påminnelser og Notater også krypteres. Android kan på sin side tilby full dm-crypt kryptering av enheten. Men selve krypteringsjobben tar minst en time og må aktiveres av it-avdelingen eller brukeren selv.

En annen måte å beskytte enheten mot skadelig programvare er å bruke «sandkasser» (et lukket miljø som isolerer appen fra resten av enheten) som appene kjører i, for å begrense appenes privilegier på systemet. iOS 7 bruker sandkasser blant annet for å dele dataene sine med andre installerte apper.

For Androids vedkommende, har Google hatt en adskillig mer frisinnet holdning til hvordan apper skal få lov til å integrere seg med hverandre. Dette viser seg for eksempel ved at det har vært standard i systemet å tillate apper med rettigheter å eksponere seg for hverandre. Konsekvensen har blitt at apper uten rettigheter likevel har fått tilgang til data fra apper som faktisk har tillatelse, til å få tilgang til informasjon fra kontaktlisten på telefonen.

Fra og med lanseringen av Android 4.2 innførte Google begrensninger på hvordan apper skal få lov til å dele data med andre apper. Men det er dessverre en hake med dette: For at dette skal fungere fullt ut, må appene være skrevet for Android 4.2.

Fra lanseringen av iPhone 5S mente Apple at de hadde innført ytterligere et sikkerhetsnivå, nemlig en biometrisk sensor i form av fingeravtrykksleseren. Men Touch ID, som sensoren heter, havnet raskt i søkelyset med spørsmål om hvor sikker løsningen egentlig er.

Apple anstrenger seg

Apple kom for en liten stund siden ut med et dokument som går mer i dybden av teknologien sin. Blant annet fremgår det at Touch ID-funksjonen håndteres av en selvstendig prosessordel inni A7-prosessoren i iPhone 5S. Touch ID-subsystemet skal ifølge Apple kjøre sin egen sikre systemstart som er helt separat fra resten av systemet, og lagre alle sine data i et kryptert minne.

Splitter nye Samsung Galaxy S5 har også en biometrisk sensor, men vi kjenner foreløpig ikke alle tekniske detaljer om hvordan denne løsningen faktisk arbeider. Siden Android versjon 4.0 har plattformen støttet opplåsing av enheten ved hjelp av ansiktsgjenkjenning. Google presenterer dette som en komplementær løsning til passord bestående av bokstaver, tall og symboler. Det har imidlertid dukket opp rapporter om at det er mulig å omgå ansiktsgjenkjenningen, noe som ikke gjør dette til et spesielt sikkert alternativ.

Så er det på tide å fortsette med et annet velkjent tema i forbindelse med sikkerhet på mobile enheter: Oppdateringer av operativsystemet. Android beskyldes ofte for å være en fragmentert plattform, der en betydelig andel av enhetene fortsatt bruker foreldete versjoner av operativsystemet.

Google-statistikk fra slutten av februar viser at rundt 40 prosent av verdens Android-enheter bruker versjoner av operativsystemet som er eldre enn to år. Andelen av enheter med Android 4.4.2 (også kjent under navnet «KitKat»9 var bare på 1,8 prosent.

Tilpasningshastigheten for iOS er helt annerledes. I slutten av januar kunne Apple fortelle at iOS 7 fantes installert på 80 prosent av alle iPhone og iPad. Den enorme forskjellen mellom de to plattformene har en tydelig årsak: Det er ikke Google selv, men utstyrsfabrikantene og operatørene som distribuerer nye versjoner av Android ut til enhetene.

De fleste av fabrikantene velger å lage sine egne tilpasninger til Android i form av brukergrensesnittet, slik som Samsung Touchwiz. Til en ny versjon av Android må fabrikantene innlemme sitt eget grensesnitt i den nye versjonen, noe som fører til a det kan drøye lang tid før den oppdaterte programvaren når sluttbrukerne.

Mange fabrikanter velger også å la være å oppdatere programvaren til sine budsjett- og mellomklasse-produkter. Det betyr at de telefonen og nettbrettene aldri får en nyere versjon av Android enn den som ble installert på fabrikken.

Sikkerheten i Android varierer

Sikkerheten i Android har som nevnt fått betydelige forbedringer i de nyere versjonene av programvaren. Men siden det tar ulik tid for oppdateringene å nå ut til Android-enhetene i bedriften, kan sikkerhetsfunksjonaliteten variere kraftig, avhengig av mobilenes fabrikat. Om enhetene har en versjon som er tidligere enn Android 4.0 (også kjent som «Ice Cream Sandwich»), mangler mange funksjoner, som for eksempel runtime-beskyttelse av plattformen.

- Fra og med Ice Cream Sandwich var ASLR (Address Space Layout Randomization) inkludert, noe som var et stort framskritt. Og siden det har Google lagd flere forbedringer. SELinux ble introdusert til Android 4.3 for å forsterke sandkassene for apper, men den ble ikke obligatorisk konfigurert før i Android 4.4. Derfor er det viktig å så raskt som mulig ta i bruk sikkerhetsoppdateringene i nye Android-versjoner, sier Johan Ekman i Truesec.

Google er fullstendig klar over problemene med fragmenteringen av systemet. Fra og med Android 4.4.2 ble minnekravet for å kjøre den nyeste versjonen senket til 512 megabyte minne. Foranledningen sies å være at det tidligere ikke var mulig å installere Android 4.0 eller nyere på budsjett-mobiler med begrenset maskinvare.

Et annet viktig aspekt for bedriftssikkerhet, er hvilke muligheter til fjernadministrasjon som tilbys. De fleste it-avdelinger har et behov for sentral administrasjon for å enkelt kunne konfigurere enhetene, bestemme hvilke apper som er tillatt og hvordan de kan brukes, og ha muligheten til å raskt kunne sende ut oppdateringer i sikkerhetspolicyene. En utbredt måte å løse dette på, er ved hjelp av programvare for Mobile Device Management, MDM.

Begge plattformene har god støtte for MDM-produkter fra tredjeparter, som for eksempel Symantec, Good Technologies og Citrix. For tiden er det kun iPhone som har en ferdig innebygd funksjon for lokalisering og sletting av bortkomne enheter: Finn min iPhone.

I fjor lanserte Google en webbasert tjeneste som gjør det mulig å spore Android-enheter ved hjelp av appen Google Device Manager. Men for at disse tjenestene skal fungere må de være knyttet til brukerens egen Google- eller iCloud-konto, noe som vanskeliggjør bruk for en it-avdeling.

Kjempenes egne verktøy

Både Apple og Google har satset på å ta fram egne verktøy for sentral administrasjon. Googles løsning heter Mobile Management, som er et helt webbasert verktøy. Det kan blant annet brukes til å konfigurere enheter sentralt, og til å fjernslette enheter på avveie. En fordel med dette verktøyet er at det fungerer mot både Android- og iOS-baserte enheter. Men funksjonaliteten er begrenset, og forutsetter blant annet av bedriften bruker Google Apps.

Den tilsvarende løsningen fra Apple er Apple Configuration som er betydelig kraftigere og som bedre klarer å matche funksjonaliteten i sikkerhetsselskapenes MDM-produkter. Programmet er gratis i motsetning til de fleste MDM-verktøy, men er begrenset dersom det er et behov for å understøtte flere hundre mobile enheter.

En annen interessant utvikling innenfor mobil sikkerhet, er løsninger som bygger på appcontainer-teknikker. Ved hjelp av en kontainer er det mulig å opprette et sikkert miljø ved å kapsle inn appen i et kryptert skall. Den store fordelen med dette for bedrifter, er at det da har full kontroll over det isolerte miljøet, og all følsom informasjon som håndteres der.

Forutsetningen for appcontainere er markant forskjellig på de to operativsystemene. Android er som nevnt betydelig mer åpent og fleksibelt, noe som gjør det mulig å dele opp systemet i flere ulike deler for å beskytte seg mot angrep på nettleser eller apper.

Et eksempel på en løsning av dette slaget er Samsung Knox, som er Samsungs bedriftsløsning. På grunn at Androids mer åpne struktur er det mulig å dele mobiltelefonen inn i to profiler: En privat der brukeren kan laste ned hvilke apper som helst, og en profesjonell del som er helt isolert.

I Knox-delen har it-avdelingen kontroll over hvilke apper som tillates å lastes ned, og det er fullt mulig å gjøre policy-kontroll. Miljøet er helt adskilt fra resten av telefonen, noe som for eksempel gjør at innholdet som finnes der er helt beskyttet mot skadelige apper som brukeren ved en feil har lastet ned til sin private profil.

Akkurat som navnet antyder, er Samsung Knox kun tilgjengelig for Samsung-telefoner. Nå er tjenesten begrenset til tre modeller, Galaxy S4 og S5, og Galaxy Note 3, men det er åpenbart at Samsung satser hardt på at Knox skal få et bredere nedslagsfelt.

Flere av de kommersielle kontainer-produktene fra sikkerhetsselskapene tilbyr lignende funksjonalitet som Samsung Knox. Dette innebærer et kryptert arbeidsmiljø med en samling av sikre applikasjoner, som e-postklient, kalender og nettleser.

For iOS 7 er situasjonen litt annerledes. Begrensninger i operativsystemet gjør det umulig å ha to brukerprofiler med ulike privilegier på samme enheten. Det gjør at det ikke er mulig å opprette et isolert arbeidsmiljø der alle apper er krypterte. Derimot er det mulig å opprette iOS-kontainere som sikrer og isolerer enkelt-apper på iPhone og iPad.

 

Problematiske oppdateringer

Android og iOS har kommet langt siden disse operativsystemene så dagens lys. I dag er begge plattformene pålitelige, stabile og satser stadig mer på sikkerheten. Likevel har Android stadig enkelte egenskaper som gjør det vanskeligere å sette det inn i en forretningssammenheng. Dette gjelder fremfor alt i forbindelse med oppdateringer av operativsystemet. Til og med for toppmodellene er det vanskelig å si hvor lenge en telefon kommer til å henge med. Kontrollen over både maskinvare og programvare gir Apple helt andre forutsetninger enn Google.

Her er det også viktig å huske at utviklingen på dette området går så raskt at det kan være vanskelig å holde en enhet sikker i mer enn tre år, uavhengig om det er en Android-mobil eller en iPhone.

Sikkerhet