Корпорация Symantec опубликовала доклад «Окно в мобильную безопасность: Оценка подходов к безопасности в платформах Apple iOS и Google Android», в котором ОС рассматриваются с точки зрения рисков, возникающих в связи с использованием мобильных устройств в корпоративной сети. Аналитики сделали вывод, что, несмотря на усиленные требования к безопасности, которые выдвигались еще при разработке данных ОС, степень их защищенности недостаточна для корпоративной информации.
Их встроенных возможностей не всегда хватает для защиты конфиденциальных данных предприятия, которые довольно часто оказываются на мобильных аппаратах – как личных, так и служебных. Еще больше усложняет положение то, что смартфоны и планшеты синхронизируются с целой экосистемой сторонних облачных и настольных сервисов, находящихся вне сферы контроля компании-работодателя.
Пользователи подключают устройства к облаку и различным компьютерам, чтобы:
– синхронизировать рабочую и личную почту, календари, контакты;
– синхронизировать разнообразный контент (например, музыку и видео);
– создавать резервные копии.
При правильном использовании Android и iOS позволяют одновременно синхронизировать аппараты с множеством (частных и корпоративных) облачных сервисов без угрозы утечки. В то же время данные сервисы способны стать предметом злоупотребления самих сотрудников, что может привести к негативным последствиям. Важно понимать всю экосистему, чтобы сформулировать эффективную стратегию по обеспечению безопасности задействованных в ней устройств.
Компания Symantec провела углубленный анализ моделей безопасности, примененных в платформах Apple iOS и Google Android. Оценивалась эффективность защиты от следующих видов угроз:
– атаки через веб-приложения и через сети;
– вредоносное ПО;
– атаки с использованием социальной инженерии;
– нарушение доступности ресурсов и сервисов;
– умышленные и случайные утечки данных;
– атаки на целостность данных в устройстве.
Выяснилось, что, несмотря на обеспечение повышенной безопасности по сравнению с традиционными операционными системами для ПК, и iOS, и Android все равно уязвимы перед многими существующими категориями атак.
Модель безопасности iOS предлагает серьезную защиту от традиционного вредоносного ПО, главным образом, за счет строгих процедур сертификации приложений и разработчиков, используемых компанией Apple, что позволяет достоверно установить автора любой программы и отсеять злоумышленников.
Google в отношении Android выбрала менее жесткую модель сертификации, позволяя любому разработчику ПО создавать и выпускать свои приложения анонимно, без дополнительной проверки. Облегченная сертификация привела к тому, что сегодня можно наблюдать постоянный прирост числа вредоносных программ для Android-устройств.
Пользователи аппаратов как Android, так и iOS, регулярно синхронизируют свои аппараты со сторонними облачными сервисами (в частности, с веб-календарями или ежедневниками), а также с домашними настольными компьютерами. Это может создать угрозу утечки данных, поскольку конфиденциальная корпоративная информация хранится на устройстве и вполне может быть передана на системы, находящиеся вне сферы контроля предприятия.
Аппараты взломанные (jailbroken) или с отключенной системой безопасности становятся легкой мишенью для злоумышленников. Они уязвимы так же, как обычные ПК.