Во многих смартфонах и планшетных компьютерах скрываются опасные уязвимости, не все из которых производитель может ликвидировать. Чтобы обезопасить себя, владельцам гаджетов приходится брать дело в свои руки.
Еще по теме: Самые опасные уязвимости Android
Уязвимости в Android
Более чем в половине всех устройств на базе Android зияет огромная прореха в безопасности. Эта уязвимость позволяет хакерам, среди прочего, просматривать электронную почту и даже удаленно управлять мобильными телефонами. Данная проблема касается нескольких сотен миллионов пользователей. Но ужасает другое: все они брошены концерном Google и большинством производителей гаджетов на произвол судьбы.
Причиной возникновения самой опасной уязвимости в Android является компонент WebView, если он используется в версии 4.3 и ниже. Многочисленные приложения, а также браузер, установленный по умолчанию, задействуют его для отображения веб-страниц или рекламных баннеров. Однако интерфейс подвержен атаке — так называемому универсальному межсайтовому скриптингу: измененная с его помощью веб-страница, созданная злоумышленником, может считывать, к примеру, электронные письма пользователя, если он ввел на ней данные доступа к своему ящику.
Эту уязвимость, касающуюся примерно 60% всех активных устройств с Android, можно разрешить или устранить, однако содействия от Google ждать не приходится. Концерн аргументирует это тем, что в версиях 4.4 и 5.0 проблема якобы решена, таким образом считая, что долг выполнен. Однако многие не самые современные аппараты не получают обновление на такие версии. Поэтому их владельцам необходимо взять ситуацию в свои руки. Уязвимости скрываются и в iOS, которая считается защищенной от вирусов. Несмотря на то что положение не столь тяжелое, как в случае с мобильной ОС от Google, и здесь пользователи могут самостоятельно усилить свою безопасность. Мы дадим вам инструменты для самозащиты.
Меняем браузер
Риск при просмотре сайтов на смартфоне зависит не только от версии операционной системы, но и от браузера. Во всех версиях Android до 4.3 браузер, установленный по умолчанию, использует для отображения страниц крайне уязвимый компонент WebView, открывая тем самым хакерам двери нараспашку.
1. Проверяем версию Android
Прежде всего необходимо убедиться, что на вашем смартфоне или планшете не установлена какая-либо из опасных версий Android. Риску подвержены все версии от Android 2.2 под названием Froyo до 4.3 под именем Jelly Bean включительно. В них используется уязвимый движок WebView — WebK.it, к которому, среди прочего, обращается стандартный браузер Android. Лишь в версиях Android 4.4 и выше встроен безопасный вариант WebView — Blink, движок для браузера Chrome.
Таким образом, ни в коем случае не заходите на сайты с помощью веб-обозревателя, установленного в системе по умолчанию, если на вашем смартфоне установлена версия Android ниже 4.3. Если вы не знаете точно, какая версия стоит на аппарате, перейдите в настройки системы и нажмите на «О телефоне» или «О планшетном ПК» (1а). Если в строчке «Версия Android» (lb) указано «4.4» или «5.0», можете не читать этот раздел статьи: вы в безопасности. Во всех других случаях следуйте нашим указаниям.
2. Проверяем обновления от производителя
Теперь необходимо проверить, предлагает ли производитель аппарата обновление до безопасной версии Android. Для этого в том же разделе меню «О телефоне» или «О планшетном ПК» нажмите на «Обновление системы» и далее «Проверить обновления» (2а).
Если смартфон или планшет не находит обновления или же последняя доступная версия ниже 4.4, остается две возможности защитить вашу систему: установить альтернативный браузер или же вручную перевести аппарат на альтернативную прошивку. Последнее решение хоть и надежнее, поскольку решает проблему, а не просто ее обходит, но нетривиальное и вряд ли подходит для неопытных пользователей. В любом случае, проще всего использовать браузер, не столь подверженный упомянутой в начале уязвимости.
3. Устанавливаем альтернативный браузер
В принципе, для обхода уязвимости WebView подойдет любой браузер с собственным движком, в том числе Chrome, Firefox, Opera и Dolphin. Для Chrome, однако, существует одно ограничение: Google не предлагает обновления для данного браузера, если он используется в системах Android 4.0.4 и ниже. Не существует даже пакетов для усиления безопасности. Поэтому мы рекомендуем Firefox, так как он регулярно обновляется. Установить этот браузер можно точно так же, как и другие приложения, через магазин Play Market (За).
После установки необходимо выбрать его в качестве браузера по умолчанию, чтобы в будущем веб-контент отображался только с его помощью. Для этого пройдите по какой-нибудь ссылке, например из электронного письма, в окне «Что использовать?» поставьте флажок рядом с вариантом «Всегда» и нажмите на иконку браузера (ЗЬ). Если вместо этого диалогового окна сразу открылся браузер, см. пункт 4 этого руководства
4. Удаляем старый браузер по умолчанию
Если вы не знаете, какой браузер используется по умолчанию, или в качестве последнего назначен уже другой, уязвимый стандартный браузер, необходимо сбросить эту настройку, прежде чем задать выполнение по умолчанию нового, безопасного альтернативного веб-обозревателя, такого как Firefox. Для этого снова зайдите в настройки (1а) и в разделе «Приложения» нажмите на «Управление приложениями». Перейдите на вкладку «Все» и выберите в списке стандартный браузер системы (4а).
В открывшемся меню пролистайте до записи «Запуск по умолчанию» и нажмите на кнопку «Удалить настройки по умолчанию» (4Ь). Теперь необходимо сделать новый браузер программой по умолчанию, как было описано на этапе ЗЬ. Если же соответствующее диалоговое окно все равно не появилось, повторите действия этапов 4а и 4Ь для всех других установленных веб-обозревателей.
5. Сторонний браузер в приложениях
Но не только стандартный браузер обращается к компоненту WebView. Многие сторонние приложения также пользуются им для отображения веб-контета, поэтому их необходимо защитить от уязвимости. Проблема может коснуться, среди прочего, приложения Facebook. Впрочем, его можно сконфигурировать таким образом, чтобы веб-страницы отображались только в стороннем браузере, полностью исключив доступ к компоненту WebView.
Для этого в приложении нажмите на значок настроек и пролистайте вниз до раздела «Настройки». Выберите запись «Настройки приложения» (5а). В «Общих» настройках активируйте вариант «Открывать ссылки сторонним приложением». Этим приложением будет браузер, который вы заранее установили в качестве стандартного (ЗЬ).
Самостоятельно обновляем Android
Использование безопасного браузера позволяет обойти самую серьезную проблему, связанную с уязвимостью в WebView. Однако риск сохраняется, поскольку хакер может отыскать лазейку через рекламные баннеры в приложениях, ведь сама уязвимость не устранена. «Залатать» эту прореху позволяет только обновление операционной системы до версии Android 4.4 и выше. Если производитель устройства не предлагает официального обновления, остается возможность установить на аппарат альтернативную систему, так называемую кастомную прошивку (Custom ROM, CR).
Максимальная осторожность во время рута
Поскольку разработкой кастомных прошивок соответствующее сообщество занимается непрерывно, считается, что их состояние самое актуальное. Однако установку альтернативной версии Android тривиальной не назовешь: пользователю потребуются полные права суперпользователя, то есть рут устройства. Сами производители таких прав своим покупателям не выдают. Конечно же, из добрых побуждений: во взломанное устройство можно внести принципиальные изменения, что при самом плохом раскладе приводит к полному отказу смартфона или планшета. По этим же причинам устройства после рута теряют гарантию. Однако порой, как в случае с уязвимостью WebView, у пользователя просто нет выбора. Самая большая трудность при этом заключается в том, что процесс рута отличается в зависимости от производителя и устройства.
После получения полного доступа необходимо установить программу для Custom Recovery, которая понадобится для запуска кастомной прошивки. Будьте внимательны: не каждая прошивка работает с любой версией Custom Recovery. Поскольку устройство при установке прошивки, а зачастую и во время рута, откатывается к заводскому состоянию, не забудьте предварительно сделать резервную копию важных данных.
Как правило, большинство этапов установки кастомной прошивки выполняются вручную. Процесс этот сложный и занимает много времени. Однако для версии CR CyanogenMod существует установщик, который берет на себя задачу по выполнению всех необходимых действий. Есть и проблема: этот установщик работает только на смартфонах серии Galaxy, аппаратах Nexus и НТС One. Владельцам других моделей необходимо найти соответствующую инструкцию по установке на сайте Cyanogen Wiki. Вариант CyanogenMod благодаря удобству в использовании рекомендуется тем, кто впервые занимается установкой кастомной прошивки.
Самые популярные кастомные прошивки на базе Android
CyanogenMod
В отличие от других альтернативных прошивок, работает на большинстве устройств. Последняя стабильная версия 11 базируется на Android 4.4. Программное обеспечение и инструкции можно найти на сайте.
OmniROM
Ответвление от проекта CyanogenMod, базируется на Android 4.4. Поддерживается некоторыми моделями Samsung, НТС и LG. Информацию по установке и ссылки на загрузки ищите на сайте.
Paranoid Android
Дает много возможностей настройки внешнего вида графического интерфейса пользователя. Официально работает примерно с 20 устройствами, неофициально — примерно с 60. Сайт разработчика.
SlimROMs
Альтернативные Android для пользователей, предпочитающих максимальную производительность всякому украшательству. Актуальные версии прошивок вместе с инструкциями по установке ищите на сайте.
Еще по теме: Как проверить свой роутер на уязвимость
