Dzięki ASLR, Jelly Bean stał się najbezpieczniejszym Androidem, lecz nadal daleko mu do iOS-a

Wszyscy świetnie zdajemy sobie sprawę z tego, jak dziurawe potrafią być zabezpieczenia Androida. Mobilny system operacyjny firmy Google był w przeszłości nie tylko celem ataków hakerów, lecz również kpin części użytkowników iOS-a. Brak restrykcyjnej kontroli w sklepach z dostępnymi do ściągnięcia i zainstalowania aplikacjami już nie raz dał się we znaki posiadaczom smartfonów Samsunga, LG, HTC i innych. Wszystko wskazuje na to, że wraz z nadejściem się Jelly Bean, ich ewentualne kłopoty znikną.

Dotychczasowy problem Androida z odpornością (a raczej jej brakiem) na ataki typu malware polegał na tym, że tworzący podejrzane hakerzy wiedzieli, w które dokładnie miejsce w uderzyć. Charlie Miller, łamacz smartfonów i konsultant w firmie zajmującej się bezpieczeństwem, powiedział w rozmowie z serwisem Ars Technica, że do momentu, w którym cokolwiek w systemie operacyjnym jest niezmienne, wtedy żadne zabezpieczenie nie ochroni sprzętu jego użytkownika przed atakiem. Barierą utrudniającą przedarcie się do wrażliwych warstw OS-a ma się stać ASLR.

ASLR (address space layout randomization) jest mechanizmem obronnym, który mówiąc najprościej sprawia, że żaden z istotnych elementów systemu (między innymi biblioteki) nie może zostać łatwo namierzony przez złośliwy kod obcej aplikacji. Jajogłowi z Kaspersky Lab tłumaczą, że zasada działania ASLR opiera się na tym, że "trudniej zaatakować aplikację, jeżeli nie wiadomo, w jakiej lokalizacji w danym momencie się ona znajduje". Na diagramie obok możecie zobaczyć, jak wygląda możliwy do przeprowadzenia pod nieobecność działania ASLR atak.

Co ciekawe, losowy rozkład przestrzeni adresowej istnieje już w poprzedniej wersji systemu Android (Ice Cream Sandwich), lecz nie działa, jak należy. Niektóre ważne obszary Lodowej Kanapki, takie jak kod aplikacji, obsługują jeszcze stałe adresy. W Androidzie 4.1 ich "losowość" ma być znacznie większa.

Warto również zaznaczyć, że ASLR istnieje w oprogramowaniu największego konkurenta Google, firmy Apple, już od dłuższego czasu. Niecałe półtora roku temu pojawił się po raz pierwszy w OS X Snow Leopard, kilka miesięcy później w iOS 4.3 dla iGadżetów.

Moja radość z pojawienia się o niebo lepiej zabezpieczonego Androida zgasła w momencie, w którym przypomniałem sobie o ilości czasu, jaki zajmuje nadwiślanym operatorom telefonicznych sieci komórkowych i lokalnym oddziałom producentów słuchawek przygotowanie systemu firmy Google w wersji polskiej. Dobrze działający ASLR co poniektórzy z nas zobaczą w najlepszym wypadku za rok.