Google revela relatório anual de segurança do Android

Post de, Adrian Ludwig & Mel Miller, Android Security Team

Partilhamos hoje o terceiro relatório anual de segurança do Android, um olhar abrangente sobre o nosso trabalho para proteger 1,4 mil milhões de utilizadores de Android e a sua informação.

O nosso objectivo é simples: manter os nossos utilizadores seguros. Em 2016 melhorámos as nossas capacidades para parar aplicações potencialmente maliciosas e desenvolvemos novas funcionalidades de segurança para o Android 7.0 Nougat e colaborámos com fabricantes, investigadores e outros membros do ecossistema Android. Mais detalhes disponíveis no relatório Android Security 2016 Year in Review e na nossa webinar.

Proteger os Utilizadores das Aplicações Potencialmente Maliciosas:

É crítico manter as pessoas seguras das aplicações potencialmente maliciosas (PHAs) que possam colocar em risco a informação e os dispositivos. O nosso trabalho em curso nesta área requer que encontremos formas de detectar e travar as PHAs e antecipar outras que ainda não tenham aparecido.

Ao longo dos anos, desenvolvemos uma variedade de sistemas para responderem a estas ameaças, como analisadores de aplicações que revêem regularmente aplicações para detectar comportamentos mais arriscados e a verificação de apps que verificam regularmente os dispositivos à procura de PHAs. Sempre que estes sistemas detectam uma aplicação potencialmente maliciosa avisamos o utilizador, sugerimos que pensem duas vezes antes de descarregarem alguma aplicação em particular ou acabamos mesmo por remover totalmente a aplicação do seu dispositivo.

Monitorizamos constantemente estas ameaças e melhoramos os nossos sistemas ao longo do tempo. Os dados referentes ao ano passado reflectem estas melhorias: O sistema de verificação de aplicações realizou 750 milhões de verificações diárias em 2016, um subida face aos 450 milhões do ano anterior o que nos permitiu reduzir a taxa de instalação de PHAs nos 50 países com maior utilização do Android.

Google Play continua a ser o local mais seguro para os utilizadores do Android descarregarem as suas aplicações. A instalação de PHAs no Google Play decresceu em quase todas as categorias:

• 0.016% das instalações, cavalos de troia (trojan horse) cairam 51.5% face a 2015
• 0.003% das instalações, hostile downloaders decresceram 54.6% face a 2015
• 0.003% das instalações, backdoors decresceram 30.5% face a 2015
• 0.0018% das instalações, aplicações de phishing cairam 73,4% face a 2015

No final de 2016, apenas 0,05% dos dispositivos que descarregaram aplicações, exclusivamente, do Google Play continham PHA, um decréscimo face aos 0,15% registados em 2015.

No entanto, há ainda muito para fazer no global pelos dispositivos, especialmente naqueles casos em que instalam aplicações a partir de múltiplas fontes. Apesar de apenas 0,71% de todos os dispositivos Android registarem no final de 2016 a instalação de PHA houve um acréscimo de 0,5% face ao início de 2015. Ao utilizarmos melhores ferramentas e com base no conhecimento que temos face a 2016 acreditamos que podemos reduzir o número de dispositivos afectados por PHAs em 2017, independentemente do local onde os utilizadores descarregarem as suas aplicações.

Novas protecções de segurança no Nougat

No ano passado, disponibilizámos novas protecções com o Nougat e continuámos o nosso trabalho em curso para reforçar a segurança no Linux Kernel.

• Melhorias na encriptação: Com o Android Nougat, disponibilizámos encriptação com base em ficheiros que permite que cada perfil de utilizador num único dispositivo seja encriptado com uma chave única. Caso tenha uma conta pessoal e outra profissional no mesmo dispositivo, por exemplo, a chave de uma conta não permite aceder à informação de outra conta. De forma mais abrangente, a encriptação dos dados do utilizador era necessário para todos os dispositivos compatíveis com Android desde o final de 2014 e agora vemos esta funcionalidade activada em mais de 80% dos dispositivos Android Nougat.
• Novas protecções para áudio e vídeo: Fizemos um trabalho significativo para melhorar a segurança e como o Android lida com o vídeo e o áudio. Um exemplo: Agora armazenamos os diferentes componentes media em sandboxes individuais onde anteriormente coexistiam. Agora, se um dos componentes ficar comprometido isso não permite o acesso automático aos outros componentes o que ajuda a conter problemas adicionais.
• Segurança ainda maior para os utilizadores empresariais: Lançámos novas funcionalidades de segurança para empresas incluindo "Always On" VPN que protege a sua informação desde o momento em que o dispositivo se inicia e garante ao utilizador uma segurança adicional. Também aumentámos a transparência na política de segurança, processo de logging, melhorámos a certificação Wi-Fi e a certificação de clientes aos novos vastos conjuntos de ferramentas para empresas.

Trabalhar em conjunto para proteger o ecossistema Android

A partilha de informação sobre as ameaças à segurança entre a Google, fabricantes de dispositivos e comunidade de investigadores e outros ajuda a proteger os utilizadores. Em 2016, as nossas maiores colaborações eram os programas mensais de actualizações de segurança e a nossa parceria com a comunidade de investigadores de segurança.

As actualizações de segurança são destacadas regularmente como um dos pilares da segurança mobile — e correctamente. Lançámos o nosso programa mensal de actualizações de segurança em 2015, na sequência da revelação do bug Stagefright para acelerar a resolução das vulnerabilidades de segurança nos vários dispositivos de diferentes fabricantes. Este programa alargou-se significativamente em 2016.

• Mais de 735 milhões de dispositivos de mais de 200 fabricantes receberam actualização da plataforma de segurança em 2016
• Dsiponibilizámos actualizações mensais de segurança para o Android ao longo do ano para dispositivos com Android 4.4.4 e superior - o que representa 86,3% de todos os Android activos em todo o mundo.
• Os nossos parceiros de telecomunicações e de hardware ajudaram-nos a alargar estas actualizações disponibilizando actualizações para mais de metade dos 50 principais dispositivos em todo o mundo no último trimestre de 2016.

No ano de 2016, disponibilizámos actualizações mensais de segurança para todos os dispositivos Pixel e Nexus e ficamos felizes ao constatar que os nossos parceiros também investem, significativamente, em actualizações regulares. Contudo, ainda existe muito espaço para melhorar. Cerca de metade dos dispositivos em utilização no final de 2016 não recebeu uma actualização de segurança da plataforma no ano anterior. Estamos a trabalhar para aumentar as actualizações de segurança dos dispositivos ao simplificar o nosso programa de actualizações de segurança de modo a tornar mais fácil aos fabricantes a disponibilização dos patches de segurança e a disponibilidade de actualizações A/B , tornando mais simples aos utilizadores aplicarem estas actualizações.

No que diz respeito à investigação, o nosso Programa Android Security Rewards cresceu rapidamente: pagámos, cerca de $1 milhão de dólares a investigadores de segurança pelos relatórios apresentados em 2016. Paralelamente, trabalhámos de perto com várias empresas de segurança para identificar e resolver rapidamente problemas que poderiam causar alguns riscos para os nossos utilizadores.

Agradecemos todo o trabalho árduo dos parceiros Android, dos investigadores externos e das equipas na Google que conduziram ao progresso que o ecossistema realizou com a segurança em 2016. Mas não termina aqui. Manter os nossos utilizadores seguros requer uma constante vigilância e um grande esforço. Estamos ansiosos por novas abordagens e pelo progresso em 2017 e mais além.