Новости по теме «Google сделает шифрование в Android стандартом»

Эта программа получила название Google Play Protect. Она обеспечит лучшую защиту от мошенничества на устройствах с Google Play Services. Пока программа тестируется в Сингапуре, после чего будет распространена и на другие регионы. Суть программы заключается в анализе и блокировании инсталляции приложений, которые требуют чувствительные разрешения, которые обычно можно встретить в приложениях финансового мошенничества.

К таким разрешениям относятся RECEIVE_SMS, READ_SMS, BIND_Notifications и Accessibility. Обычно такие разрешения мошенническим приложениям нужны, чтобы получить коды подтверждения, направленные для настоящих финансовых приложений.

Сейчас Google ведёт переговоры с правительством и компаниями Сингапура, чтобы оценить эффективность новой системы безопасности, а также анализирует необходимость возможных изменений. И хотя работа пока не закончена, Google уже рекомендует разработчикам приложений, которых это может затронуть, изменить статус классификации своих приложений для корректной работы с Google Play Protect.

Он заявил, что рассматривает пароли как «единственную большую угрозу» онлайн-безопасности, ведь их легко похитить. Ришер надеется, что «пароли станут объектом прошлого», в будущем.

Ришер добавил, что Google начнёт «автоматически разворачивать для пользователей 2FA, если их учётные записи правильно сконфигурированы». С включением двухфакторной аутентификации пользователи подтвердят свой вход в систему через отдельное приложение Authenticator на смартфоне.

Так, для новых учётных записей Google будет удалять историю поиска и местоположения через полтора года. Для старых учётных записей не меняется ничего. Нынешние пользователи смогут вручную или автоматически удалять историю в различных сервисах компании.

Теперь, если вы новый пользователь, то для вас история местоположения выключена по умолчанию. Включив её, вы получите настройку автоудаления истории, выставленную на 18 месяцев. В Web & App Activity автоудаление также будет установлено на 18 месяцев. При этом у пользователя всегда есть возможность выключить автоудаление.

Если же у вас уже включена опция истории местоположений и активности, то для вас ничего не меняется.

Что касается YouTube, то его новая политика предусматривает хранение истории в течение 3 лет.

Все эти настройки, как обычно, обеспечивают баланс между приватностью и удобством работы. Многим не нравится, что Google хранит данные пользователей, и они предпочитают удалять их. Однако доступ к собственной истории является крайне удобным.

Разработчик сообщил, что удалил множество участков кода, которые отправляли персональные данные на удалённый сервер без согласия пользователей.

«Мы не сканируем данные в вашем телефоне или вашем облачном пространстве, и мы не отслеживаем ваше перемещение сотни раз в день или собираем данные о том, что вы делаете со своими приложениями».

Телефон Firephone 3 с e/OS доступен к покупке за 480 евро, «на 30 евро дороже стандартного Fairphone 3 с флёром Googl’а». Установить /e/OS на Fairphone 3 можно вручную через специальный инсталлятор на сайте.

Смартфон Fairphone 3 предлагает модульную конструкцию с высокой ремонтопригодностью. Он «изготовлен из бесконфликтных, перерабатываемых материалов, выбранных с высокой ответственностью».

Что касается аппаратного обеспечения, то телефон имеет экран FullHD+ (2160×1080 пикс.) с защитой Gorilla Glass, заднюю камеру Sony разрешением 12 Мпикс., батарею ёмкостью 3000 мА×ч, накопитель на 64 ГБ с расширением через microSD. Устройство основано на процессоре Qualcomm Snapdragon 632 и имеет 4 ГБ оперативной памяти.

Из дополнительных функций можно отметить 8 Мпикс. фронтальную камеру, NFC и поддержку двух SIM-карт.

Представитель компании сообщил: «По причине короновируса (COVID-19) и в соответствии с рекомендациями центра контроля заболеваний, ВОЗ и других организаций в области здравоохранения, мы решили отказаться от физического проведения Google I/O в амфитеатре Шорлайн».

Конференция Google I/O является крупнейшим мероприятием компании, на котором она показывает новые операционные системы и устройства. На этот раз ожидалась демонстрация Android 11 и смартфонов Pixel 5, а также прочих новинок компании, таких как Google Maps, Google Assistant. Проведение мероприятия планировалось на 12—14 марта в Маунтин-Вью, Калифорния.

Возврат средств за билеты будет проводиться до 13 марта с возможностью обмена на билеты 2021 года.

Средство Assembler объединяет различные существующие техники для выявления распространённых типов манипуляций, включая изменение яркости и вставку скопированных пикселей для сокрытия монтажа и придания идентичной визуальной текстуры. Также в системе есть детектор дипфейков, по типу создаваемых StyleGAN, алгоритмом генерации реалистичных лиц.

При своей работе система сообщает пользователям, насколько вероятен факт подделки изображения.

Безусловно, Assembler является хорошим шагом для борьбы с манипулятивными медиа, однако он покрывает не все техники манипуляции, включая те, что используются в видео, так что разработчикам ещё есть над чем трудиться.

«Также всё это существует в виде отдельной платформы, от каналов, где исследуемые изображения обычно публикуются. Эксперты рекомендуют технологическим гигантам, таким как Facebook и Google, внедрить эти типы детекции непосредственно в свои платформы. Такой способ проверки может быть проведен почти в реальном в времени, по мере загрузки и распространения видео и фотографий», — говорится в отчёте Массачусетского Института Технологии.

Письмо гласит, что OEM-производители телефонов с Android предустанавливают в систему свои приложения, которые нельзя удалить из-за их системных привилегий, и которые обходят модель разрешений в Android. Таким образом, эти приложения получают доступ к микрофону, камере и средствам геолокации, собирают пользовательские данные и передают их OEM без согласия самих пользователей.

Группа просит Google внести некоторые изменения в то, как Android поддерживает предустановленные приложения. Они просят Google обеспечить возможность полной деинсталляции предустановленных приложений. Сейчас некоторые производители дают возможность отключить такие приложения, однако их службы продолжают работать в фоне и собирать информацию.

Кроме того, в письме выражено требование обеспечить предустановленным приложениям тот же уровень безопасности, что и приложениям из Google Play Store, а также гарантировать их обновление из Google Play, даже если пользователь не залогинился. В дополнение, Google должен отказывать в сертификации OEM-производителям, если они будут использовать пользовательские данные.

Чтобы эффективнее противостоять опасным приложениям, компания Google основала альянс, который она назвала App Defense Alliance. В него входят Google, ESET, Lookout и Zimperium. Целью его работы является «остановка плохих приложений до того, как они достигнут пользовательских устройств». Останавливать приложения будут с помощью дополнительных проверок перед публикацией в Play Store.

Интернет-гигант интегрирует сканирующие средства от каждой из трёх групп в систему обнаружения Play Protect, которая будет сканировать приложения на различные угрозы. Компании-партнёры также будут анализировать данные об угрозах, чтобы улучшить их выявление. По словам Google, системы будут использовать комбинацию машинного обучения, статического и динамического анализа.

Стоит отметить, что усиление безопасности в Play Store крайне необходимо. По словам исследователя Лукаса Стефанко, в магазине было выявлено 172 вредоносных приложения, которые установлены более чем 335 миллионами пользователей.

В Google Maps был внедрён режим инкогнито. При его включении на мобильном устройстве активность и история поиска не будут сохраняться в учётной записи и не будут использоваться для персонализации использования Maps. Этот функционал появится на Android в октябре, а на iOS он будет доступен позднее.

Для YouTube компания предлагает функцию автоудаления веб-данных и истории местоположения за желаемый период. «Устанавливайте период времени, в течение которого будут храниться ваши данные — 3 месяца, 18 месяцев или до ручного удаления», — сообщил представитель Google Эрик Мираглиа.

И, наконец, Google позволит очистить голосовые команды или запросы к Google Assistant без открытия приложения. Достаточно просто сказать: «ОК Google, удали последнее, что я сказал» или «удали всё, что я сказал на прошлой неделе». После чего данные будут удалены. К сожалению, если вы хотите удалить историю голосовых запросов за более длительный период, то вам придётся открыть настройки Google Assistant.

Также компания сообщила, что готовит новую функцию проверки пароля, сохранённого в менеджере паролей. Компания будет быстро проверять, скомпрометирован ли ваш пароль при прошлых утечках, используется ли он в различных учётных записях и не являются ли ваши пароли слишком простыми для взлома.

Google, Intel и Microsoft совместно с Alibaba, Arm, Baidu, IBM, Red Hat, Swisscom и Tencent создали организацию Confidential Computing Consortium (CCC).

Целью работы стало «определение и ускорение» полностью безопасных данных от начала до конца на основе открытого исходного кода, который обеспечит целостный процесс без необходимости оплаты конечным пользователем.

Как и стоит ожидать, хостером выступит The Linux Foundation, который уже включает Microsoft Trusted Execution Environments, а также инструменты от Red Hat и Intel.

Данные изменения могут не понравится некоторым правительствам, ведь даже в Великобритании ходят идеи о размещении бэкдоров в программные продукты, чтобы правительство имело к ним доступ.

Однако, новую разработку не стоит ждать в ближайшее время. Каждая компания будет разрабатывать свой продукт, а затем объединит его с другими, сформировав «полное» решение в области приватности.

Функция уже начала появляться на некоторых телефонах Android, а в ближайшем будущем будет доступна на всех устройства, которые работают на Android 7 и более новых версиях. На странице помощи говорится, что функция позволяет осуществлять вход с помощью любого метода, который используется для разблокировки телефона, включая пин-код и графический ключ.

Телефоны с Android уже позволяют осуществлять аутентификацию отпечатком пальца при покупках через Google Pay и входить в приложения. Теперь же отпечаток пальца можно использовать для доступа к вэб-сервисам компании через браузер Chrome. Сейчас можно использовать этот функционал для редактирования и проверки сохранённых паролей на странице passwords.google.com, однако компания планирует расширить его на другие сервисы Google Cloud.

Новый функционал построен на протоколе WebAuthn с использованием FIDO2, открытого стандарта, который могут использовать сайты для безопасного входа. Он обеспечивает куда большую безопасность чем пароли. Все смартфоны с Android, начиная с версии 7.0, сертифицированы для FIDO2. Также Android-смартфоны можно будет использовать в качестве средства аутентификации при входе на сайты с других устройств.

Основным, из таких третьих лиц, стала компания Google. Исследователи установили, что она, или одна из её дочерних компаний, вроде рекламной платформы DoubleClick, имеют трекеры на 74% порнографических сайтов. В то же время Facebook имеет трекеры на 10% сайтов.

Учёные отметили: «В США многие платформы хостинга рекламы и видео запрещают „взрослый“ контент. К примеру, Google YouTube является крупнейшим хостингом видео в мире, но он не разрешает порнографию. Однако у Google нет политики, запрещающей другим сайтам размещать свой код (Google API) или инструменты измерения аудитории (Google Analytics). Таким образом, Google отказывается размещать порно, но не ограничивает свой надзор при потреблении порнографии пользователями, часто без их ведома».

Обычно любителям сайтов для взрослых рекомендуют включать режим инкогнито в своих браузерах, однако по факту все Интернет-ресурсы игнорируют этот режим и продолжают слежку. Так что такой способ на самом деле не делает вас невидимым перед интернет-гигантами, а лишь исключает локальное хранение истории посещений.

Для ураганов, компания будет прогнозировать их маршрут и будет выводить кризисную информацию в Google Maps, если вы находитесь в зоне катастрофы. Наводнения будут выводиться специальным слоем на карте, вместе с информацией о безопасности. Землетрясения также получат кризисную карту, где будет отображаться эпицентр, магнитуда и зоны разрушений.

Информация для отображения будет браться на основании новостей, звонков в службы спасения, обновлениях в Twitter и указаниях по безопасности. В критических случаях компания будет рассылать push-уведомления на устройства.

Новая система Google SOS Alerts с уведомлением о землетрясении будет доступна на Android, iOS, настольных машинах и мобильных браузерах по всему миру. Визуализация наводнений будет доступна лишь для Индии, где риск пострадать от них самый высокий. Визуализация ураганов будет доступна на всех платформах в США, Мексике, Карибском бассейне, Западной Европе, Японии, Тайване, Филиппинах, Вьетнаме, Таиланде и Южной Корее.

Распространение сервиса начнётся через несколько недель.

Функционал можно настроить таким образом, чтобы данные удалялись через 3 или 18 месяцев. В дальнейшем данные старее установленного периода будут удаляться автоматически.

Из-за практики слежения за пользователями на Google обрушилась масса критики. Оказалось, что отключения истории перемещений недостаточно для прекращения слежки. Чтобы полностью скрыть своё местоположение от Google необходимо также выключить активность приложений и сети. Новая же функция будет удалять все эти данные, полностью сохраняя приватность перемещений от Google.

Данное изменение будет доступно по всему миру в «ближайшие недели» в виде дополнительной опции. Кроме этого разработчики намекнули, что история местоположений и данные об активности в сети станут первым набором информации для удаления. Это значит, что в будущем мы сможем удалять и другие данные о себе.

Лечение уязвимостей Spectre и Meltdown — крайне важно, ведь о них известно всем хакерам. Но к сожалению, лекарство от Microsoft приводит к снижению производительности, в некоторых случаях — на 30%.

Чтобы побороть эту проблему замедления, компания решила воспользоваться решением Retpoline, созданным Google. Этот патч известен тем, что практически не оказывает влияния на производительность процессора, но при этом защищает от Spectre.

Компания Google представила Retpoline как универсальное решение для Spectre, но в Microsoft применили собственную разработку. Теперь же в Рэдмонде взяли патч от Google, сообщив следующее: «Да, мы включаем Reptoline по умолчанию в нашем рейсе 19H1, наряду с тем, что мы называем „оптимизацией импорта“ для дальнейшего снижение влияния на производительность от Spectre v2 до уровня шума во всех сценариях», — заявил менеджер по разработке ядра Windows/Azure Мехмет Льюгун.

Совсем недавно, Microsoft решила отказаться от своего движка в браузере Edge, перейдя на ядро Chromium. Теперь же фирма использует патчи поискового гиганта. Всё это может означать попадание Microsoft в большую зависимость от Google в будущем.

Алгоритм предназначен для бюджетных телефонов и смарт-устройств, которые не имеют аппаратного обеспечения для эффективного локального шифрования данных. Разработка позволит сделать лоу-энд-устройства более безопасными, чем их предшественники, которые не имели шифрования данных вовсе.

Директор по стратегии мобильной безопасности, безопасности Android и приватности Юджин Лидерман заявил: «Мы надеемся, что Adiantum сделает шифрование на всех устройствах демократичным. Как и покупка телефона без текстовых сообщений, не может быть исключений в обеспечении безопасности в ущерб производительности устройства. Каждый должен обладать приватностью и безопасностью, независимо от ценника за телефон».

По словам разработчиков, Adiantum является идеальным решением для устройств с недорогими процессорами, такими, например, как ARM Cortex-A7, которые не имеют аппаратной поддержки AES. В отличие от множества смартфонов на системе Android Go, некоторые смарт-часы и телевизоры имеют подобные процессоры, так что они также получат преимущества от внедрения Adiantum.

Объясняя название протокола шифрования, Google сообщила, что Adiantum назван в честь рода папоротника адиантум, который во флориографии олицетворяет искренность и осмотрительность, что делает его вполне подходящим именем.

Провайдеры аттестатов позволяют входить в Windows 10 посредством паролей или биометрической аутентификации. Третьи разработчики могут создавать свои собственные провайдеры аттестатов и регистрировать их для использования в Windows 10. Оказывается, Google планирует зарегистрировать браузер Chrome в качестве менеджера аттестатов в Windows 10.

Опубликованный код Chromium предполагает, что пользователи смогут входить в Windows 10 через учётную запись в G-Suite. Вполне возможно, что поддерживаться будут обычные учётные записи Google.

Когда же Google выпустит функцию провайдера аттестата пока неизвестно. Сейчас проект находится на ранних этапах разработки.

Зачастую при проверке просят найти и обозначить специфические картинки, вроде дорожных знаков или витрин. Однако скоро её прохождение заметно упростится.

Компания улучшала систему несколько лет. От разгадки текста тест упростился до кликов мышью по квадратикам с картинками, а иногда даже этого не требуется. Система определяет то, что вы человек, по движению мыши, когда вы отмечаете галочку «Я не робот». Теперь же в третьей версии reCAPTCHA, всё это будет заменено на «баллы» пользователя.

По уверениям компании, reCAPTCHA 3 никогда не прервёт пользователей, а администраторы сайтов смогут использовать её где угодно и когда угодно, не ухудшая восприятие информации. «Хороший» балл для человека будет означать 1,0, а «худший» означает бота и равен 0. Подсчёт ведётся на основании различных параметров, таких как движение мыши и другая активность, которую Google держит в секрете.

Сейчас reCAPTCHA версии 3 находится на этапе финального тестирования.

Однако когда вы входите на сайт с телефона, то переключение к приложению с SMS не очень удобно. Многие сервисы пытаются сами выхватить код из сообщения, однако для этого им необходимо предоставить доступ к чтению сообщений.

И теперь Google решила пойти навстречу пользователям, упростив получение кода из сообщений одним нажатием. В новой версии Android Messages для этого будет специальная кнопка, которая автоматически скопирует код в буфер обмена. Ранее Google начала переводить пользователей на сервис Google Prompt, однако не забывает и о тех, кто использует стандартные средства SMS верификации.

Это обновление не будет доступно для всех, однако все интересующиеся могут установить APK самостоятельно.

В 2017 году компания закрыла более 700 000 приложений, которые нарушают политику компании. Это на 70% больше, чем в 2016 году. Об этом сообщил производственный менеджер Google Play Эндрю Ан. «Мы не только удаляем плохие приложения, мы способны определить и воздействовать на них раньше. Фактически, были выявлены 99% приложений с оскорбительным контентом, и отклонены до того, как кто-либо их установил».

Компания разделила вредоносные приложения на несколько категорий:

• Подражатели: пытаются обмануть пользователей, выдавая себя за известные приложения.
• Несоответствующий контент: такой как порнография, экстремальное насилие, ненависть или незаконная деятельность.
• Потенциально опасные приложения: вредоносное ПО, которое может навредить пользователям или их устройствам.

Ан также сообщил, что компания исключила более 100 000 плохих разработчиков, а благодаря лучшей модели выявления «плохим участникам стало труднее создавать новые учётные записи и пытаться выпустить очередной набор плохих приложений».

В компании отметили, что Google Play Protect помогает выявить многие плохие приложение, однако у Google ещё есть масса ручной работы.

Компания собирает данные о вашем местоположении и перемещениях, даже при выключенной службе геолокации, даже без запуска приложений и даже без SIM карты. Это происходит с начала года, когда Android начала собирать сведения о близлежащих вышках сотовой связи, отправляя информацию назад в Google.

В ответ на запрос Quartz в Google сообщили: «Адреса сотовых вышек были включены в информацию, отправляемую системой в Google в целях использования её в push-уведомлениях и сообщениях на смартфонах Android ещё 11 месяцев назад. Она никогда не хранилась и не использовалась, и сейчас компания предпринимает шаги для прекращения этой практики после контакта с Quartz. К концу ноября телефоны Android больше не будут отправлять в Google данные о положении сотовых вышек, по крайней мере, как часть обычного сервиса».

В Quartz отметили, что не понимают, каким образом эти данные могут использоваться для улучшения доставки сообщений, зато отметили явную угрозу приватности, ведь указание сотовых вышек позволяет определить положение пользователя, а в густонаселённых районах с точностью до пары десятков метров.

Интернет-гигант установил, что шпион, названный Lipizzan, связан с израильской компанией Equus Technologies, занимающейся кибероружием. Разоблачение состоялось на фоне поиска другого Android шпиона Chrysaor, который связывают с другой компанией занимающейся кибероружием, NSO Group.

Средство Google Play Protect выявило Lipizzan в 20 различных приложениях, которые могли быть распространены и нацелены на более чем 100 устройств.

Первая часть шпионского инструмента носит невинное название, вроде Backup или Cleaner, и располагается на Google Play. После установки приложение загружается и загружает второй этап «лицензионной верификации», который и заражает устройство. Затем, если инфицирование прошло успешно, вирус получает рут-доступ к устройству, используя известные уязвимости, начинает извлекать данные и передавать их на командный сервер.

Среди извлекаемых данных исследователи обнаружили запись с микрофона устройства, мониторинг местоположения, снятие скриншотов, фотографирование с камеры устройства, кражу информации об устройстве и файлах и кражу пользовательской информации, включая контакты, журналы звонков  текстовые сообщения. Также шпион может собирать данные из приложений Gmail, LinkedIn, Messenger, Skype, Snapchat, Viber и WhatsApp.

Компания Google сообщила, что заблокировала разработчиков и приложение в экосистеме Android. Средство Google Play Protect проинформировало пострадавших пользователей и удалило приложение Lipizzan.

В операционной системе OS X существует похожий процесс, называемый Gatekeeper, а Windows 10 вообще блокирует установку приложений не из магазина. В Android при попытке установки неверифицированного приложения, вы увидите уведомление об этом. Чтобы продолжить установку потребуется набрать «продолжить» в специальном поле, что требует несколько больше усилий, чем нажать кнопку «OK» даже не всматриваясь в суть сообщений на экране.

Предупреждение также содержит название приложения и его разработчика, что должно позволить вам защититься в случае фишинговой атаки. Кроме того, такой подход позволяет разработчикам приступить к тестированию приложения, не дожидаясь прохождения верификации.

«Мы являемся приверженцами создания здоровой экосистемы, как для пользователей, так и для разработчиков», — заявили Навин Агарвал и Уисли Чан в блоге Google. «Эти новые отметки проинформируют пользователей автоматически, если они будут подвержены риску, позволив им принять проинформированное решение для сохранения информации в безопасности, а также сделать тестирование и разработку приложений более простыми».

Анонсировав новую версию Android O, компания Google решила не бросать производителей смартфонов наедине с собой, а планирует вести тесное сотрудничество с такими компаниями как Samsung, HTC, Motorola и прочими, чтобы гарантировать выпуск обновлений.

Компания отметила, что она начала тесное сотрудничество с производителями, которое позволит сократить время выпуска обновлений безопасности от 9 недель до нескольких дней. Таким образом, в будущем вы не останетесь беззащитными на несколько месяцев, в то время как Pixel или Nexus будут обновлены максимально быстро.

Кроме этого Google пообещала запустить специальный сервис, где будет размещать информацию о скорости обновления ОС, разделяя их по операторам и производителям смартфонов, что должно обеспечить большую прозрачность информации. Ранее эта информация была недоступна, и нельзя было оценить, насколько плохо разные производители подходят к вопросу обновления. Компания добавила, что информацией о скорости обновления своих устройств она также будет делиться, что должно заставить прочих производителей быстрее внедрять обновления.

В ходе хакерской конференции Kiwicon он призвал «прекратить инвестиции в вещи, которые, как мы видим, не работают». Среди этих вещей находятся сканеры вирусов и системы выявления вмешательства. Вместо этого он хочет, чтобы «безопасники» сфокусировались на белых списках, ключах аппаратной защиты и динамических правах доступа.

Он добавил, что советы по безопасному использованию интернета «ужасны». Говорить пользователям не нажимать на фишинговые ссылки и не загружать подозрительные исполняемые файлы позорит их и отгораживает от производителей аппаратного и программного обеспечения, которое может быть небезопасным для использования онлайн.

«Антивирусы сделали некоторые полезные вещи, но в реальности они больше похожи на канарейку в угольной шахте. И даже хуже. Это похоже, что мы стоим среди мёртвых канареек говоря: „Слава богу, они вдышали весь ядовитый воздух».

Говоря об уязвимостях в Adobe Flash, которые регулярно выявляются, он сравнил их с площадкой подержанных машин, которые после продажи через неделю внезапно загораются.