Securitywatch: Android vs. ios, que és més segur? | eddy màx

És un conte tan antic com el temps: escriure una obra polèmica sobre dues marques competidores per tal de posar els fanboys els uns contra els altres en els comentaris. Dansa, els meus titelles. La publicació de ràbia només acumula les vistes úniques i paga el meu sou. Tot i que, mentre examino el naufragi humà, la màxima escombra a la mà, considero: l'iPhone és realment més segur que Android? L’aproximació de la seguretat a “la seguretat” d’Android és bastant bona? Què passa si, malgrat els èxits, ambdues plataformes fracassen de maneres importants?

Seguretat Apple Way

Generalment, Apple és considerat com el clar guanyador en termes de seguretat mòbil. Francament, és difícil discutir amb aquesta valoració. El control sense precedents d’Apple sobre l’experiència d’iPhone i iOS ha fet que la majoria de les persones rebin i instal·lin actualitzacions de programari i solucions de seguretat. Això és crític, i és un important diferenciador d’Android.

Apple ha aconseguit mantenir un fort control sobre la cadena de subministrament de maquinari i, a través del procés de revisió d'App Store, ha mantingut el control de les aplicacions de desenvolupadors independents. També és un procés controvertit, amb les aplicacions rebutjades per raons aparentment arbitràries, però una que ha mantingut l'App Store en gran mesura lliure de programari maliciós.

Quan es tracta de seguretat, Apple sembla utilitzar un enfocament "el que calgui". Un exemple excel·lent és la seva plataforma Missatges (abans es trobava iMessage). Això només pot semblar missatges de text compartits entre telèfons i ordinadors, però una presentació de Black Hat de fa uns anys deixava clar que no era així. Apple va dissenyar la plataforma des de la base perquè fos encriptada de punta a punta i el més resistent a la manipulació possible. Per exemple, els servidors de missatges necessiten claus de maquinari per posar-los a punt. Una vegada que els servidors estiguin operatius, aquestes claus es destrueixen i impedeixen que ningú –fins i tot Apple– espioni els usuaris o provoqui modificacions del sistema. És enormement complex, però funciona.

Seguretat Android Way

Durant molt de temps, Google va argumentar que era prou segur . No, no ha agafat cap aplicació maliciosa penjada a Google Play. Sí, hi ha diverses vulnerabilitats importants en el sistema operatiu descobertes per investigadors. Sí, l’obertura d’Android i una base instal·lada fracturada en diverses versions diferents del sistema operatiu Android ha posat en risc els clients. Però els representants de Google van assenyalar que dels mil milions d'usuaris aproximadament, només una petita part, com ara un cent per cent, trobarien alguna cosa maliciosa. Dit això, fins i tot només un cent per cent de mil milions és molt . Com, 10 milions molt.

Segons el seu crèdit, Google ha canviat la seva sintonia. Les actualitzacions del sistema operatiu d’Android han limitat limitacions sobre la informació que poden recopilar les aplicacions. La companyia ha disminuït el seu model de permisos tot o gens en favor d’un enfocament amb aroma d’Apple, en el qual els usuaris poden acceptar deixar que una aplicació accedeixi a la seva càmera, però no a la seva llista de contactes. Google també ha passat a una cadència molt més ràpida per a les seves actualitzacions de seguretat, pressionant més solucions a més dispositius.

El canvi més gran de Google en realitat ha estat bastant subtil. Google ha traslladat els seus esforços de seguretat dins d'Android, a Google Play Services, que Google pot actualitzar independentment de quina versió dels usuaris del sistema operatiu s'executen. Això permet programes com Safety Net, que permet que Google busqui programari maliciós en dispositius, fins i tot programari maliciós que es va deixar fora de la botiga de Google Play.

A partir d’aquí, Google no només ha ampliat les funcions de seguretat d’Android, sinó que també ha treballat per convertir els dispositius Android en dispositius de seguretat. Google va anunciar recentment que els dispositius Android es poden utilitzar com a dispositius d'autenticació de dos factors FIDO2, proporcionant una de les millors i més flexibles opcions 2FA a tots els propietaris d'Android. Si abans volíeu utilitzar FIDO2, haureu de gastar entre 20 i 50 dòlars per una clau de maquinari com a Yubico o Google.

El que cadascun s’equivoca

Si bé el nombre real d'infeccions per programari maliciós és baix, un percentatge dels usuaris d'Android que van trobar alguna cosa maliciosa no es va distribuir uniformement entre tots els usuaris d'Android. Segons les estadístiques del 2015, predominava principalment la gent que utilitzava dispositius de baix cost, sovint als països en desenvolupament. Això m’ha quedat realment enganxat des del dia que el vaig sentir. El risc d’aquests dispositius es va empènyer de manera desproporcionada a aquells amb menys mitjans per provocar una estafa o atac.

Malgrat les pressions que fa Google per netejar les aplicacions d'Android i Android, el model requereix una bona quantitat de compres de desenvolupadors. Google ha de convèncer els desenvolupadors perquè facin les coses de manera diferent i que utilitzin les noves eines més segures que la companyia proporciona. Google ha introduït alguns pals i pastanagues per aconseguir que els desenvolupadors estiguessin a bord, però amb èxit. Això s'agreuja amb la naturalesa fracturada d'Android, amb tres versions diferents amb cadascun més del 20 per cent de la base instal·lada, i fins i tot escletxes més petites d'altres versions. Això vol dir que hi ha un públic important que encara no rep les darreres millores del sistema operatiu i els desenvolupadors poden continuar orientant-los amb aplicacions.

Tampoc l'estratègia d'Apple no ha estat sense conseqüències que hagin perjudicat els usuaris. El seu enfocament incremental per a les millores en seguretat significa que probablement passarà un temps abans que un iPhone es pugui utilitzar com a autenticador 2FA FIDO2, si es produeix. Ni tan sols puc utilitzar el meu YubiKey 5 NFC existent amb un iPhone perquè encara no és compatible amb FIDO2 sobre NFC.

Apple també ha tardat a adoptar la integració del gestor de contrasenyes, cosa que dificulta el millor que poden fer les persones per mantenir la seva informació segura.

El pecat més gran de seguretat d’Apple, però, és que la seva estratègia "el que calgui" arriba a un preu elevat. El telèfon més assequible disponible a Apple és l’iPhone 7, que té un cost de 449 dòlars, tot i que es poden aplicar descomptes de compra, ja que es pot aplicar un pla de pagament de 18, 99 dòlars al mes. D'altra banda, els nous telèfons Android de bona qualitat es poden comprar per fins a 220 dòlars. L’elevat preu d’un dispositiu Apple envia un missatge força clar: si no sou prou rics, no aconseguireu tenir seguretat d’Apple. Si iOS es troba fora del rang de preus de molts consumidors, Apple no els protegeix.

Res d’això ni tan sols tracta el fet que les amenaces més grans tant per a usuaris d’iOS com d’Android són el correu brossa, la pesca de pesca i el frau. Es poden presentar en forma de publicitat comercial, estafes SMS i correus electrònics de phishing. Les dues plataformes han adoptat mesures per afrontar el repte, però hem de recordar que, tot i que el correu brossa i la pesca no són tan sexy com el programari maliciós dissenyat pel govern, és una amenaça real per als consumidors.

Tant Android com iOS es poden millorar

No només crec que és una piulada escriptura per afirmar que una plataforma és millor que l’altra, crec que realment hi ha un buit massiu entre la manera com Apple i Google s’apropen a la seguretat mòbil. Les empreses tenen diferents objectius i models de negoci i han tractat problemes de seguretat mitjançant aquestes lents.

• Amb Android P, Google deixa de jugar a la seguretat amb Android P, Google deixa de jugar a la seguretat.
• Apple iOS 12 Apple iOS 12
• Google Android Pie (9.0) Google Android Pie (9.0)

La veritat bruta és que tant Apple com Google estan aconseguint la seguretat, si ho veieu a través dels objectius dels seus respectius models de negoci. Google ha de mantenir una aliança massiva i inquieta entre els desenvolupadors de maquinari i programari, per tal de continuar executant el sistema operatiu més popular del planeta. Pot resultar malament algunes coses, sempre que totes aquestes relacions siguin fortes.

Apple, en canvi, sap que la seva reputació ho és tot. Com que la gent se sent segura als iPhones, se sent segur per gastar diners tant en iPhones com (cada cop més important) amb iPhones. L’empresa es mou molt lentament i deliberadament de manera que pot fer-ho correcte la primera vegada, fet que de vegades els fa lents a l’adopció de noves tecnologies.

En comptes de triar un guanyador, fem responsables d’aquests dos gegants tecnològics per les seves mancances. Al final del dia, és probable que tingueu un dispositiu amb tota la vostra informació personal sobre una d’aquestes dues empreses, per la qual cosa tampoc es pot permetre estar satisfet amb les realitzacions anteriors o les millores recents.