Contenu

• Que sont les mises à jour de sécurité Android?
• Pourquoi les correctifs de sécurité sont-ils importants?
• Quels téléphones obtiennent des mises à jour de sécurité?
• Meilleures pratiques de sécurité Android
• Qu'en est-il des vulnérabilités du jour zéro et des exploits du jour zéro?
• Emballer

Vous avez peut-être remarqué que, de temps en temps, votre smartphone Android vous invite à télécharger et à installer une nouvelle version de son firmware. Peut-être que la première fois, vous pensiez recevoir une mise à jour de la dernière version d'Android, ou peut-être que de nouvelles fonctionnalités intéressantes avaient été ajoutées. Mais finalement, cette mise à jour de sécurité pour Android s’est avérée «ennuyeuse»! Alors que les mises à jour de sécurité Android sont vraiment ennuyeuses, elles sont très importantes.

Jetons un coup d’œil à ces correctifs de sécurité, et à la sécurité d’Android en général, pour voir de quoi il s’agit!

Que sont les mises à jour de sécurité Android?

On a souvent dit que «l'erreur est humaine» et, comme le dit Alexander Pope, «pardonner est divin», vous constaterez que les ordinateurs et les pirates informatiques ne sont pas très tolérants! Chaque fois qu'un logiciel est écrit, il contient intrinsèquement des erreurs ou des bugs que les développeurs aiment à appeler. Essayer de réduire le nombre de ces bogues est l’un des principaux objectifs des ingénieurs en logiciel. Tout d'abord, en essayant d'attraper les bugs au moment de l'écriture du logiciel. Deuxièmement, en corrigeant les bugs une fois qu’ils ont été trouvés.

Il existe deux types de bugs. Premièrement, les bogues qui entraînent un comportement incorrect du logiciel. Dites, vous tapez «001.300 * 02.7000» dans l'application de la calculatrice et cela vous donne la réponse de 2,51. Clairement, quelque chose ne va pas, peut-être que ces zéros supplémentaires ont provoqué un comportement inattendu du logiciel? Une fois que le problème a été trouvé, le logiciel peut être corrigé et une mise à jour envoyée aux utilisateurs. Ces bugs sont généralement une nuisance et, s'ils sont suffisamment graves, peuvent affecter les ventes / la réputation de la marque, etc., mais ils ne sont généralement pas dangereux (mais plus à ce sujet dans un instant).

La deuxième catégorie de bogues concerne la sécurité du logiciel et du périphérique sur lequel il est installé. Ainsi, à titre d'exemple simple, une application peut demander un nom d'utilisateur et un mot de passe. Un bogue peut exister où, si l'utilisateur entre le nom correct mais laisse le mot de passe vide, l'accès est accordé à l'utilisateur. Cela peut sembler stupide, mais c'est arrivé. Il existe maintenant un bug qui permet un accès non autorisé à des données privées. La plupart des problèmes de sécurité sont beaucoup plus compliqués et nuancés que cela. Mais, en substance, une erreur dans le programme permet à un tiers d’obtenir un accès qu’il ne devrait pas avoir. Une fois ces bogues trouvés, ils doivent être corrigés et déployés rapidement pour protéger les utilisateurs.

Parfois, les bogues de la première catégorie, les bogues de comportement inattendu, peuvent être manipulés de manière à devenir des bogues de la deuxième catégorie.

Ainsi, une mise à jour de sécurité Android est un groupe accumulé de corrections de bogues pouvant être envoyées par liaison radio à des appareils Android pour corriger des bogues liés à la sécurité.

Pourquoi les correctifs de sécurité sont-ils importants?

Après l’installation d’un nouveau correctif de sécurité sur votre appareil, vous ne verrez aucune différence dans ses fonctionnalités! Il semble presque que la mise à jour n'a abouti à rien. Mais cela, bien sûr, est la nature des correctifs de bogues de sécurité. Vous ne les remarquez pas car ils corrigent des trous, souvent de très petits trous, dans la sécurité de l'appareil.

Par exemple, il peut exister une vulnérabilité dans laquelle, si vous recevez un SMS contenant 160 caractères à la fois coréens et russes, qui contient exactement 160 caractères, le libellé astucieux du texte peut provoquer un bogue qui peut être utilisé pour ouvrir un trou. dans les défenses de votre appareil. Je n'en reçois pas beaucoup comme ça, donc si le bogue était trouvé et corrigé, je n'en serais pas plus sage. Mais voici le problème: lorsque les pirates informatiques découvrent ces bogues ésotériques, ils créent des offres spéciales et les envoient à des personnes ciblées dans le but d’accéder à leurs appareils. Ceux qui sont ciblés sont vulnérables aux machinations de ces cybercriminels. À votre extrémité, vous voyez un SMS étrange, vous froncez les sourcils et vous le supprimez. Mais vous ne savez pas que votre téléphone a été compromis.

Après l’installation d’un nouveau correctif de sécurité sur votre appareil, vous ne verrez aucune différence dans ses fonctionnalités!

Par conséquent, les correctifs de sécurité sont importants car ils protègent votre téléphone des pirates potentiels souhaitant accéder à votre appareil. Imaginez toutes les données présentes sur votre téléphone. Oubliez les photos et WhatApps s. Qu'en est-il des banques? Amazon shopping? eBay? Google Pay? Il existe une longue liste de choses qui pourraient intéresser un pirate informatique.

Quels téléphones obtiennent des mises à jour de sécurité?

Théoriquement, tous les smartphones Android devraient bénéficier de deux ans de mises à jour de sécurité. Cependant, la réalité est souvent très différente. La façon dont il devrait le travail est comme ça: Google corrige un bug lié à la sécurité dans Android. Google publie ces modifications sur AOSP et / ou avise ses partenaires (tous les constructeurs OEM disposant d'un appareil Android certifié Google). Google le fait en fait tous les mois. Les fabricants de smartphones incorporent ensuite ces correctifs dans leur micrologiciel et, si nécessaire, en transmettent une copie aux opérateurs. Les opérateurs approuvent ensuite les correctifs et, finalement, la version est envoyée aux périphériques par liaison radio.

Cela fonctionne très bien sur les téléphones de Google comme la gamme Pixel. Cela fonctionne également bien sur les appareils Android One qui sont essentiellement maintenus par Google. Cela fonctionne aussi bien pour les grandes marques. Par exemple, le Samsung Galaxy Note 8 a été lancé en août 2017. J'en ai un et je peux confirmer qu'il a reçu des mises à jour régulières (des mises à jour presque tous les mois). En fait, il a également été mis à niveau vers Android 9.0 Pie.

Mais, pour certaines marques de taille moyenne, les mises à jour peuvent être plus sporadiques, alors que pour les plus petites marques, elles sont souvent inexistantes! Le manque de mises à jour de sécurité peut être un réel problème. Il semble que certains fabricants de smartphones aient une mentalité de «vendre et d’oublier». Cela signifie qu'il existe des millions de téléphones Android (de moins de 2 ans) actuellement aux mains des consommateurs qui ne reçoivent aucune mise à jour de sécurité, ce qui les expose potentiellement à toutes sortes d'attaques. Du côté positif, Google sait que c'est un problème et veut le résoudre!

Meilleures pratiques de sécurité Android

Quelle que soit la fréquence à laquelle votre appareil reçoit des correctifs de sécurité, il convient de noter les meilleures pratiques de sécurité Android suivantes:

• Ne cliquez pas sur les liens dans les courriels, WhatsApp, Facebook Messenger ou les SMS, sauf si vous êtes sûr de la source du lien et de son emplacement.
• Assurez-vous de garder vos applications à jour, y compris Chrome et d'autres applications Google.
• Utiliser des mots de passe uniques: n'utilisez pas le même mot de passe sur plusieurs comptes. Cela revient à utiliser la même clé pour plusieurs maisons: cela augmente les risques de sécurité. Si cela vous semble trop compliqué, utilisez un gestionnaire de mots de passe.
• Protégez vos comptes avec la vérification en 2 étapes: Même si votre nom d'utilisateur et votre mot de passe sont volés, la vérification en 2 étapes est activée avec une aide permettant d'éviter les attaquants.
• Prenez le Bilan de sécurité Google: c’est facile à faire (g.co/securitycheckup) et analyse l’état de sécurité de votre compte Google.

Qu'en est-il des vulnérabilités du jour zéro et des exploits du jour zéro?

Il existe un aspect de la sécurité Android qui n’est pas couvert par les mises à jour de sécurité mensuelles. Vulnérabilités du jour zéro. Ce sont des bogues que Google ignore, mais que d’autres le savent. Ce sont des bogues de sécurité que Google n'a eu aucun jour à essayer de corriger. Ce qui se passe ici, c’est que ce que l’on appelle des «sociétés de recherche en sécurité», ou cyber-criminels, essaient de trouver des bogues dans Android, puis s’ils ont découvert qu’ils ne le disaient à personne. Ils deviennent un arsenal secret qui peut être utilisé à des fins néfastes.

Comme cet arsenal est secret et difficile à acquérir, ces vulnérabilités du jour zéro sont très appréciées. Ils s'habituent de deux manières. Ils sont soit vendus à des entités disposant de beaucoup d’argent, comme les forces de sécurité d’un État-nation, soit utilisés directement par les cybercriminels dans le cadre d’une attaque massive visant à escroquer des personnes avec de l’argent.

Dans les deux cas, ils peuvent être mortels, littéralement, comme nous l’avons vu récemment avec la mort de Jamal Khashoggi. Une fois que ces vulnérabilités de type «jour zéro» commencent à être utilisées publiquement (dans la nature), il ne faut souvent pas longtemps avant que Google ne soit en mesure d’isoler le problème et d’émettre un correctif. Encore une fois, soulignez la nécessité de garder votre téléphone à jour avec les correctifs de sécurité mensuels.

Emballer

La sécurité, comme les sauvegardes, peut être ennuyeuse. Le problème avec les sauvegardes est que la plupart des gens ne pensent pas à eux avant d’avoir perdu toutes leurs données. De même, la plupart des gens ne pensent pas à la sécurité tant que leur compte de messagerie n’a pas été piraté ou que des accusations frauduleuses ont été portées via leurs services bancaires en ligne.

Il y aura toujours un élément de risque, mais les mises à jour de sécurité Android offrent un moyen de réduire ce risque tout en améliorant la stabilité et la fiabilité de votre appareil. En bout de ligne, installez-la dès que votre téléphone indique qu'il dispose d'une mise à jour.