Bluetooth w miliardach urządzeń otworzył drzwi hakerom. Sprawdzamy, kto musi się obawiać
Miliony użytkowników zagrożonych! Złośliwe oprogramowanie jest w stanie wykorzystać standard Bluetooth do rozprzestrzeniania się! Panika jak najbardziej zasadna. Ale wiecie co? Niektórzy mogą spać spokojnie. W zasadzie ci, co zawsze.
Od kilku dni w Sieci mnożą się artykuły ostrzegające przed podatnością BlueBorne. Nic dziwnego, to szczególny rodzaj zagrożenia, bo wykorzystuje niezwykle popularny standard Bluetooth. Szacuje się, że w teorii zagrożeniem BlueBorne objętych jest aż 8,2 mld urządzeń, bo tyle ów standard wykorzystuje.
BlueBorne to wektor ataku, który wykorzystuje osiem różnych usterek w zabezpieczeniach i który pozwala na przejęcie całkowitej kontroli nad urządzeniem. Z uwagi na fakt, że ma on związek wyłącznie ze standardem Bluetooth, zagrożone są wszystkie popularne urządzenia: desktopy, laptopy, zegarki czy telefony.
To bardzo, bardzo poważny problem dla nas wszystkich. Zagrożenia BlueBorne rozprzestrzeniają się bez wiedzy użytkownika, mogą więc w efekcie być narzędziem do tworzenia potężnych botnetów IoT czy nagłej, kontrolowanej infekcji złośliwym oprogramowaniem. Spełnienie marzeń dla zorganizowanej grupy przestępczej. Czy dla uzdolnionego młodego programisty, który zechce się zabawić.
Co na to najwięksi dostawcy oprogramowania? Apple, Google i Microsoft jak zawsze spisały się na medal.
Google załatał podatności w Androidzie w sierpniu, trafiły one na urządzenia wraz z wrześniową aktualizacją bezpieczeństwa (Android jest jedyną konsumencką dystrybucją Linuksa, która otrzymała łatkę). Zestaw łatek dla Windows i Windows Mobile z ostatniego wtorku również zawierał zabezpieczenie przed tą podatnością. Bezpieczni są też wszyscy użytkownicy iOS-a, którzy przeszli na wersję 10.x.
Przypadek Androida jest jednak dość szczególny. Jego autorskich odmian jest właściwie tak dużo, że można odnieść wrażenie, że dziś system Android i jego edycję (Lollipop, Marsmallow, Nougat, i tak dalej) definiuje się w zasadzie już tylko przez zgodność z usługami Play i jego zestawami API. Niektórzy producenci sprzętu, optymalizując system pod swój sprzęt i usługi, gruntownie go przebudowują.
To oznacza, że każda nowa aktualizacja pierwotnej wersji Google’a nie może być łatwo wdrożona do przeróbek. Producenci muszą przetestować jej zgodność z ich rozwiązaniami, zanim ją udostępnią. Do całkiem niedawna oczekiwanie na te aktualizacje było jak oczekiwanie na zwycięstwo na loterii. Czasem było nagradzane, ze sporym opóźnieniem. Zazwyczaj jednak posiadanie urządzenia z Androidem w większości przypadków oznaczało przyjmowanie do wiadomości, że posiada się urządzenie podatne na ataki cyberprzestępców.
To się na szczęście zmieniło. Czołowi producenci sprzętu dbają o szybkie aktualizowanie urządzeń. Comiesięczne łatki bezpieczeństwa szybko trafiają do telefonów dobrych marek, czasami wręcz tuż po publikacji ich zestawu przez Google’a. Niestety, jest jeszcze cała reszta.
Google mógłby wykorzystać BlueBorne jako punkt nacisku na partnerów sprzętowych, z korzyścią dla wszystkich. Ale tego nie zrobi.
Android udostępniany jest również w darmowej, otwartoźródłowej edycji AOSP. Google musi go udostępniać w tej formie, z uwagi na licencje związane z wykorzystywanymi przez niego modułami. Nie wspominając o tym, że otwieranie i udostępnianie oprogramowania jest zawsze dobrym pomysłem. Z AOSP może korzystać każdy. Prawdziwy Android zawiera jednak usługi własnościowe Google’a. I by móc sprzedawać urządzenia z prawdziwym Androidem, ich producent jest zobowiązany do spełnienia paru wymagań narzuconych przez firmę Google. Wyraźnie nie ma wśród nich czasu reakcji na aktualizacje bezpieczeństwa.
Multum urządzeń może bez problemu korzystać z usług Play, mimo iż aktualizację usuwającą zagrożenie BlueBorne zobaczą albo za pół roku, albo wręcz nigdy. Użytkownicy ci nie tylko są zagrożeni, ale również sami stanowią zagrożenie dla innych (np. poprzez stanie się częścią botnetu). Wystarczyłoby cofać certyfikację Play dla tak nieodpowiedzialnych partnerów. Musieliby się dostosować, lub sprzedawać urządzenia bez usług Google’a.
Wtedy jednak Android przestałby dumnie nosić miano najpopularniejszego systemu operacyjnego na świecie.
Google odnotowywałby znacznie mniejsze przychody ze swoich internetowych usług. Wtedy Apple - a może nawet i Microsoft – miałyby większą szansę na odebranie Google’owi klientów. Niestety, tak się nie stanie.
Rzekomo Android Oreo ma to zmienić (choć tylko w przypadku urządzeń sprzedawanych już z tym systemem). Podobno tym razem już na pewno nie będzie tak, że aktualizacje będą trafiać do wszystkich błyskawicznie. Ale tym razem już na pewno, na pewno. Cóż, podobne obietnice słyszę od czasów Jelly Bean. A posiadacze telefonów z Chin „specyfikacja prawie ta sama, cena niższa o 700 zł” już wiedzą na czym oszczędzają.
