Antywirus na smartfona?

Praktycznie nie ma dnia, by najpopularniejsze serwisy internetowe o tematyce związanej z IT, nie informowały o wykrytych podatnościach i nowych atakach na najpopularniejsze z systemów mobilnych. Nie dość, że wszelkiej maści cyberprzestępcy każdego dnia zwiększającą wysiłki w celu włamania się do systemów komputerowych wielkich korporacji i rządów państw, podłączonych do sieci Internet, by ukraść lub uszkodzić wrażliwe dane w nich przetwarzane, to coraz częściej celem ich ataków stają się smartfony zwykłych użytkowników. Do tego celu zaadaptowane zostały techniki znane już wcześniej w świecie cyberprzestępczości, które poprzez wykorzystanie podatności (tych ogólnie znanych, np. dostępnych na listach CVE jak i tych dystrybuowanych tylko na czarnym rynku) mobilnego OS'a czy aplikacji na nim uruchomionych pozwalają na instalację oprogramowania złośliwego bez wiedzy użytkownika.

Jednak ataki na smartfony to nie tylko wykorzystywanie podatności do uruchomienia szkodliwego kodu. Różnorodność montowanych w nich modułów rozszerzających standardową funkcjonalność telefonu (ba! w dużej mierze ją przysłaniających) tylko pobudza wyobraźnię potencjalnych atakujących i pozwala rozwinąć im skrzydła. Akcelerometry, kamery czy nadajniki GPS – wszystko to, wykorzystane w odpowiedni sposób, pozwala na utworzenie tzw. profilu użytkownika, poznanie jego zachowania i przyzwyczajeń, a w dalszej kolejności, na zidentyfikowanie osoby na podstawie tak zbudowanego profilu. Samo podsłuchiwanie rozmów też nie jest trudne i wcale nie musi wymagać ingerencji w oprogramowanie smartfona. Wystarczy, że atakujący posługuje się odpowiednim sprzętem (np. specjalnie do tego celu spreparowanym nadajnikiem BST, czyli IMSI catcher’em) – mamy wtedy do czynienia z klasycznym atakiem man-in-the-middle. Wszystko to wydaje się czystą abstrakcją – kto bowiem inwestował tyle trudu w zakup i konfigurację specjalistycznego sprzętu, po to tylko, aby podsłuchać „szarego Kowalskiego”? Dlatego też, wykorzystanie malware jest znacznie popularniejszym (bo prostszym i tańszym) rozwiązaniem, które dodatkowo może być kierowane przeciwko dużej liczbie potencjalnych ofiar.

Wyszukiwarka Google na zapytanie "mobile security" wyświetla prawie 30 stron odnośników, z czego pierwsze kilka okupowane jest przez producentów oprogramowania antywirusowego, oferujących mobilne wersje swoich produktów. Popularny polski portal, zajmujący się tematyką bezpieczeństwa także dodał ostatnio do swoich szkoleń zajęcia o tematyce bezpieczeństwa aplikacji mobilnych. Producenci urządzeń coraz częściej prześcigają się w dostarczaniu dedykowanych, sprzętowo-programowych zabezpieczeń. Wystarczy wspomnieć usługę Samsung KNOX zaprezentowaną na niedawnym Mobile Security Forum w Warszawie, czy skanery odcisków palca, montowane w nowych słuchawkach HTC One Max czy iPhone 5S. Firma BlackBerry, która niestety coraz mniej już znaczy na rynku klientów indywidualnych, jest w dalszym ciągu dość popularna wśród pracowników korporacji. Właśnie dlatego, że pozwala na kompleksowe zabezpieczenie dostępu do zasobów firmowych. Wszystko to świadczy to o dużym zapotrzebowaniu na rozwiązania mające na celu zabezpieczenie tych (póki co) najbardziej osobistych urządzeń elektronicznych, będących w naszym posiadaniu. Z drugiej jednak strony, ci sami producenci potrafią nawiązywać współpracę z różnymi agencjami rządowymi, którym jakoby udostępniają dane użytkowników, czy też zaliczać "wpadki" związane z (umyślnym lub nie) wyciekiem tych danych…

Koniec końców, wszystko sprowadza się do naszych danych. Tych samych danych, które tak beztrosko udostępniamy na naszych profilach społecznościowych, a które dotyczą wielu ważnych sfer naszego życia, jak np. rodzina, praca, podróże, czy nowe zakupy, którymi chcemy się pochwalić. Ale także tych, które umożliwiają nam logowanie się do konta bankowego czy serwisu akcyjnego/sklepu internetowego z poziomu aplikacji mobilnej. Tych drugich (raczej) staramy się nie udostępniać, ale często są one zapisane w pamięci naszych smartfonów. Wszystkie wspomniane informacje, jeśli je odpowiednio użyć (pierwsze do profilowania kampanii reklamowych, drugie bardziej bezpośrednio, do przejęcia naszych kont w usługach internetowych) można w efekcie spieniężyć. Czy na pewno antywirus mobilny, chociażby od najlepszego producenta, wygrywający w rankingach, wystarczy, aby zapewnić nam odpowiedni poziom bezpieczeństwa? A może tak naprawdę w ogóle go nie potrzebujemy?