Comment Google a renforcé la sécurité de 95% des appareils Android

Date de dernière mise à jour : le 18 avril 2016 à 22 h 36 min

[Article mis à jour le 30 juillet 2013]

Avec un nombre de terminaux activés qui approche du milliard, la sécurité d’Android est plus que jamais au cœur des préoccupations de Google et des utilisateurs. Il faut dire que la question des malwares et autres logiciels malveillants a été sérieusement discutée, ces derniers temps, depuis la découverte de Master Key, faille présente originalement sur 99% des appareils et permettant à n’importe quel hacker de modifier le code d’une application sans en modifier la signature.

Faille à laquelle Google a rapidement réagi en patchant le Play Store et en fournissant un correctif aux différents constructeurs de terminaux mobiles.

Google a renforcé la sécurité de 95% des terminaux Android

Cela aura-t-il suffit à résoudre le problème ? Pas tout à fait, car en dépit du fait que Google y a mis toute sa bonne volonté, les constructeurs sont souvent longs à réagir.

Android sécurité

Sécurité renforcée pour 95% des terminaux Android.

Toutefois, indépendamment de ce correctif, Google a renforcé la sécurité d’Android depuis la version 4.2. Ainsi, chaque application téléchargée à partir du Play Store ou d’une autre source est désormais passée au peigne fin grâce à la nouvelle fonction Verify Apps intégrée à la plateforme d’applications. Par ailleurs, cette fonction étant proposée à partir d’Android 2.3 Gingerbread, elle permettrait ainsi de sécuriser pas moins de 95% des appareils selon les propres statistiques de fonctionnement de Google.

«Nous voulions nous assurer que ces protections étaient disponibles, même pour les utilisateurs qui choisissent d’installer des applications à partir d’une source autre que Google Play» à d’ailleurs déclaré Adrian Ludwig Told, chef de la sécurité Android au site Computer World.

« Il a toujours été une priorité pour nous de proposer écosystème ouvert permettant aux utilisateurs de pouvoir télécharger les applications de leur choix, y compris celles distribuées autrement que par le canal officiel. »

Bien entendu, pour l’utilisateur, les bénéfices sont énormes puisque Google compense ici le manque de réactivité des constructeurs en proposant lui-même ses propres mises à jour de sécurité.

Via

[Fin de mise à jour]

[Article mis à jour le 9 juillet 2013]

La semaine dernière, la société Bluebox mettait en avant la présence d’une faille de sécurité d’Android constituant un risque pour 99% des appareils d’être victime de logiciels malveillants ou de trojans. Aujourd’hui, Google nous annonce que la faille en question peut être corrigée à l’aide d’un patch qui vient tout juste d’être remis aux constructeurs.

Google annonce un correctif pour la faille de sécurité d’Android

Comme nous l’expliquait la semaine dernière Jeff Forristal, PDG de Bluebox Securité, cette faille de sécurité existe depuis Android 1.6 Cupcake et pourrait affecter tous les terminaux Android sortis ces quatre dernières années soit un total de 900 millions d’appareils.

faille sécurité Android

Google corrige la faille de sécurité d’Android.

Quant à la vulnérabilité en question, celle-ci se cache au sein du processeur d’installation et de vérification des applications. Chacune des applications possède une signature cryptographique permettant de s’assurer que con contenu n’est pas altéré. Toutefois, grâce à cette faille, n’importe quel hacker de modifier le contenu d’une application tout en préservant la signature de sécurité intacte. Une faille sur laquelle Google ne s’était, par ailleurs, jamais exprimé comme l’a confirmé la directrice de la communication de la firme Gina Scigliano.

Grâce au correctif développé par Google et qui vient tout juste d’être remise en main des constructeurs, le problème va pouvoir être résolu. Toutefois chaque utilisateur sera tributaire du bon vouloir du constructeur de se son appareil. La directrice de la communication de Google précise néanmoins qu’il n’y a pas lieu de s’inquiéter dans la mesure où cette faille n’a, pour l’instant, jamais été exploitée.

Comme vous l’aurez compris, rien de nouveau donc, mis à part le fait que Google a pris ses précautions pour que la faille ne soit jamais exploitée par aucun hacker. Une initiative qui reste appréciable. Et en attendant, il est toujours possible de faire attention soi-même en installant seulement des applications provenant du Play Store.

Via

[Fin de mise à jour]

Les chercheurs en sécurité de Bluebox Labs viennent de mettre le doigt sur une nouvelle faille de sécurité Android permettant aux trojans et à n’importe quel logiciel malveillant de s’infiltrer discrètement et en toute transparence au sein du système comme s’il s’agissait d’une application vérifiée. Pire encore, le bug en question existe depuis Android 1.6 et affecterait pas moins de 99% des terminaux actuellement en circulation.

La sécurité de 99% des terminaux Android menacée

Théoriquement, les applications sont vérifiées par des signatures cryptographiques, de façon à rejeter automatiquement toute mise à jour modifiée qui ne correspondrait pas à celle transmise par le développeur. Mais Bluebox affirme qu’il existe en moyen de contourner cette sécurité en modifiant les fichiers APK sans pour autant casser la signature, permettant ainsi d’installer un code potentiellement malveillant, à partir du moyen où le hacker réussit à envoyer un logiciel modifié à l’utilisateur.

Android sécurité

Une nouvelle faille de sécurité découverte sous Android.

Bien entendu, pour l’instant, ce risque n’est que théorique dans la mesure où cette faille de sécurité qui affecte Android ne peut être exploité via le Play Store depuis la dernière mise à jour de la plateforme. Toutefois il reste toujours aux hackers d’autres moyens pour tromper l’utilisateur et l’attirer vers une mise à jour bidon, à commencer par les plateformes d’applications tierces, les sites web malveillants ou encore les emails de pishing.

A l’heure actuelle, on ne sait pas encore si cette faille de sécurité d’Android est capable de contourner le paramètre « installer à partir de sources inconnues » présent au sein de l’OS, toutefois, il apparait que de nombreux utilisateurs l’ont déjà activé depuis que Facebook a lancé les mises à jour directes. Et si c’est le cas, n’importe quelle mise à jour malveillante se faisant passer pour un logiciel vérifié pourra ainsi avoir un accès total au système et aux données personnelles de l’utilisateur.

Au jour d’aujourd’hui, le Galaxy S4 est totalement immunisé contre cette faille, Samsung ayant déjà fait le nécessaire avant même sa sortie et Google travaille actuellement sur la résolution du problème sur les appareils de la gamme Nexus, toutefois, les appareils qui ne sont plus mis à jour comme le HTC One S restent 100% vulnérables.

Via

   Suivez nous sur Facebook   


Vous aimerez peut être


Réagir à cet article

  • Jonathan Simon

    le S4 immuniser avant la découverte? sa voudrais dire que samsung étais au courant et n’aurais rien dit?? :/
    bref il suffis de ne pas télécharger n’importe quoi en théorie et de prendre les trucs classiques mais bon moche quand même… surtout de divulguer sa comme sa…

    • Stef80

      Ce bug existerait depuis Donut (1.6), mais n’aurait été exploité que récemment.

      La vulnérabilité a été communiquée à Google en Février 2013, mais c’est aux fabricants de dispositifs à mettre en œuvre les patchs individuellement.

      GG Sam pour la réactivité.

      • Jean-Louis Pétrod

        Preuve que Samsung a été plus réactif que les hackers ;)

        • Stef80

          Pas faux :)

      • Jonathan Simon

        merci pour les multiples retours ;)

    • Jean-Louis Pétrod

      Compte tenu de l’implication de Samsung dans la partie logicielle de ses appareils, ça n’a rien de surprenant en soi ;)

  • Lucasrio267

    Avoir un antivirus comme Avast pour mobile permet-il de régler cette faille ?
    Oui de toute façon tant qu’on ne télécharge pas n’importe quoi…

    • Mc

      Compter sur Avast comme antivirus !

      Autant rien mettre du tout ^_^

      • dam

        ou pas

        • Jean-Louis Pétrod

          Malheureusement ce n’est pas un virus mais une faille de sécurité qui fait office de porte d’entrée aux virus. Ainsi, seule une mise à jour système pourra potentiellement solutionner le problème ;)

          • Lucasrio267

            Arf, dommage. :(

          • dam

            oui mais la faille système est utilisé par des applis malveillantes donc un antivirus peut repérer ce type d’appli

          • SF

            Bon bah on est pas rendu si on achete chez samsung et autres grands fournisseurs de smartphones « jetables »
            Puis de toute facon j’ai pas compris l’interet de foutre un antivirus sur un smartphone,surtout si tu télécharge pas de trucs craignos.
            Et puis au risque de passer pour un dinosaure, le principe premier d’un téléphone est de téléphoner,nn?

    • Tane

      Avast est déjà une GROSSE daube sur pc alors là j’imagine même pas …je préfère Trust go et à une époque il était dit que les antivirus sur Android n’était qu’un business des sociétés d’antivirus qui créé des « faux malwares détectés » dans le but de commencer par prendre les versions gratuites ..mais pour être vraiment protégé évidemment il fallait se rabattre sur la version payante et là Ô miracle plus de malwares … Comment croire a toutes ces annonces !!!

      • Virulent

        Trust go c’est du bœuf en daube sur tablette de porc.

        • Tane

          Après essai ce n’est pas faux

  • Sgraff

    C’est fou ce truc, les gens vont zapper pour la pomme ou les autres ! est-ce que la nouvelle mise à jour du S3 va corriger l’erreur ?

  • Titi Snow

    Dans l’article, vous dites que Google met à disposition des constructeur le patch qui permet de corriger la faille. OK. J’en déduis que pour les possesseurs de Nexus 4 par exemple, il faudra attendre un patch de LG ?
    J’espère que non… Le principe du Nexus étant justement d’obtenir MAJ et autres joyeusetés de ce genre de la part de Google en premier…