« Android, OS mobile le plus insécurisé qui soit ». À qui la faute ?

« Android, OS mobile le plus insécurisé qui soit ». À qui la faute ?
Une simple migration vers Jelly Bean 4.2 suffirait à résoudre la majeure partie des problèmes que rencontrent les utilisateurs de l'OS mobile

Google domine l'écosystème mobile avec son OS mobile. Malheureusement, ce dernier constitue une cible de choix pour les pirates informatiques qui en ont fait leur terrain de jeux privilégié. Un récent rapport des acteurs dans le domaine de la sécurité des mobiles (auquel un article entier a été consacré sur DVP), fait état d'une augmentation vertigineuse du nombre de menaces.

Pourtant, la solution à bien des malheurs que rencontrent les possesseurs de mobiles Android, serait toute simple. Il leur suffirait tout juste de faire une mise à jour pour le récent Jelly Bean 4.2. Pour cause, les 3/4 des menaces auxquelles ils doivent faire face ont en commun l'envoi d'un SMS à un numéro. Action qui permettrait, selon les estimations de la firme Juniper, à un hacker de gagner l'équivalent de 10 dollars US par appel. Jelly Bean 4.2 implémente un mécanisme qui requiert la confirmation de l'utilisateur, lorsqu'un SMS devrait être envoyé à un de ces numéros à problèmes.

Android est une plateforme très fragmentée. Les faits sont là. Les utilisateurs ont tendance à ne pas faire les mises à jour lorsque celles-ci sont disponibles comme le témoigne les données du Google play. Jelly Bean 4.2 est installé sur 4 % des périphériques qui ont accès au magasin d'application de Google.

http://www.developpez.com/public/ima...GooglePlay.jpg

Il est vrai que la mise à jour vers Jelly Bean 4.2 ne suffit pas à résoudre tous les problèmes de l'OS mobile de Google, cependant les utilisateurs doivent prendre de bonnes habitudes. Lorsqu'une mise à jour est disponible, celle-ci doit être installée.

Source : rapport Juniper

Et vous ?

:fleche: Qu'est-ce qui peut expliquer ce comportement des possesseurs des mobiles Android ?

Le problème concernant les mises a jours, c'est qu'elles sont distribuées par le constructeur, puis l’opérateur téléphonique. Ce qui met un temps monstre a arriver.. et si elles arrivent. Car parfois on doit vraiment se débrouiller seul pour installer une mise a jour. Ce qui peut inclure root son téléphone pour installer une room custom et c'est pas forcement évident.

J'ai du mettre une demi-journée pour installer un cyanogenmod sur mon HTC Sensation :cry:

Faudrait aussi que les utilisateurs lisent et comprennent les privilèges demandés par certains programmes lors de leur installation.

Un sudoku ou Tetris qui demandent l'accès internet, l'accés au carnet d'adresse ou la geo localisation, c'est louche, il ne fait peut pas que sudoku ce programme.

Maintenant, peut être aussi que le libellé de ces privilèges affichés par l'installeur d'applications n'est pas suffisamment compréhensible ou adapté pour Mme Michu du Cantal.

J'ai deux appareils sous Android.
Un smartphone HTC et une tablette Samsung.
J'attends encore les mises à jour qui diffèrent de la version constructeur...
Et comme j'ai franchement pas le temps d'installer une rom custom...

Article à prendre avec quelques pincettes. L'étude est de Juniper où travaillent pas mal d'anciens Microsoft. Certains diraoient même que c'est une entreprise satellite de MS. Du coup il faut prendre en compte le petit "passez à Windows Phone ! ;)" en filigrane.

Citation:

---

Envoyé par Sake_reflex

Le problème concernant les mises a jours, c'est qu'elles sont distribuées par le constructeur, puis l’opérateur téléphonique. Ce qui met un temps monstre a arriver.. et si elles arrivent.

---

+1000. Le pire c'est quand Android peut passer, mais pas le crapware de l'OEM. Du coup le constructeur ne fait pas la màj. :? Ceci doit d'ailleurs rester en travers de la gorge des nombreux possesseurs de Samsung Galaxy S qui n'ont pas eu ICS à cause de ça.

Après si les gens veulent des màj Android rapides ils n'ont qu'à acheter des Nexus au lieu des Galaxy ou pire, des Xperia (en considérant le "Galaxy Nexus" comme un Nexus bien entendu ;)). Sur ce point j'attends de voir ce que les OEMs proposant des Google Edition vont faire. Les màj "Google Edition" seront-elles dispos en même temps que les Nexus ou que les autres appareils de la marque 6 mois après.

Citation:

---

Envoyé par Sake_reflex

Car parfois on doit vraiment se débrouiller seul pour installer une mise a jour. Ce qui peut inclure root son téléphone pour installer une room custom et c'est pas forcement évident.

---

Ne confonds pas une màj opérateur/constructeur et installation d'une ROM alternative. J'imagine mal un opérateur (ou constructeur) imposer un root et un flash sur un appareil Android pour une simple màj.

Changer de ROM n'est pas faire une màj, même si la version d'Android est plus élevée. Et il ne faut pas non plus oublier le côté amaeur de bien d'entre elles : "wesh t'as vu t'as le dernier Android sur ton tél mais c'est pas optimisé et je corrigerai les bugs quand j'aurai le temps". On n'aura jamais ça avec une màj officielle.

Toutes ces menaces sur Android... elles proviennent quasiment pas du google play, n'est-ce pas?


(@ram-0000

l'accès internet c'est bien souvent pour les publicités. Pas de quoi prendre peur.
Pour la géolocalisation, suffit de désactiver l'option énergivore dans les paramètres et ça cesse d'être un problème)

Citation:

---

Envoyé par air-dex

Article à prendre avec quelques pincettes. L'étude est de Juniper où travaillent pas mal d'anciens Microsoft. Certains diraoient même que c'est une entreprise satellite de MS. Du coup il faut prendre en compte le petit "passez à Windows Phone ! ;)" en filigrane.

---

Absolument, d'ailleurs le problème est le même de partout, quand un système est distribué à grande échelle il devient obligatoirement une cible de choix. Que ce soit Windows (il existe aussi des virii sur Linux pourtant on en parle moins car moins intéressant), Android, ou tout OS futur qui aura une pénétration importante du marché. Personne ne peut faire un OS sur à 100%. Et quand l'OS est difficile à véroler (ce qui est le cas d'un Android), alors il reste la méthode du phishing (mise à jour Flash par exemple, alors que flash n'existe plus sur smartphones) qui ne trompe que l'utilisateur débutant.

Citation:

---

Ne confonds pas une màj opérateur/constructeur et installation d'une ROM alternative. J'imagine mal un opérateur (ou constructeur) imposer un root et un flash sur un appareil Android pour une simple màj.

---

C'est même encore pire...
Il n'existe pas de notion de "Mise A Jour Android"...
Il y a des ROMs... des ROMs constructeurs officielles (leakées ou non), des ROMs opérateurs, des ROMs AOSPs, des ROMs Custom, etc...

Ensuite, chaque constructeur propose un système de mise à jour automatique de ses ROMs (et souvent de la version "opérateur"), qu'il soit OTA ou par un outil sur ordinateur.
Rien n'empêche un fournisseur de ROM customs à proposer un système de mise à jour de ses ROMs (cyanogen par exemple).

Pour le root, c'est encore différent, il consiste à remplacer le kernel d'une ROM par un kernel modifié donnant accès à la commande "su". Et tout kernel digne de ce nom, indiquera immédiatement à l'utilisateur l'utilisation de ce fameux "su" (et demandera son autorisation au besoin) donc ne réduit pas la "protection" du système... Après, si l'utilisateur s'amuse en "root" à coller un cheval de troie dans le répertoire /system/app ... on peut difficilement parler d'un problème de l'OS ;)

Citation:

---

Envoyé par Cedric Chevalier

Ils leur suffiraient tout juste de faire une mise à jour pour le récent Jelly Bean 4.2.

---

J'adore cette phrase. "Il suffirait juste de mettre à jour Android pour avoir moins de problèmes de sécurité"... Sauf que sur de nombreux appareils, c'est juste techniquement pas possible. :roll:

Le modèle de phrase est très simple :
"Il suffirait juste + (condition impossible) + pour + (effet improbable)"

À partir de ce modèle, on peut générer des tautologie à la pelle !

ex: "Il suffirait juste que tout le monde soit riche pour qu'il n'y ait plus de pauvres" (duh! :weird:)


Pour en revenir aux problèmes de sécurité, ça me fait mal de le dire mais niveau mises à jour, c'est encore iOS qui s'en sort le mieux (parce que upgrader un Android ou un Windows Phone... :?).

Citation:

---

Envoyé par ram-0000

Faudrait aussi que les utilisateurs lisent et comprennent les privilèges demandés par certains programmes lors de leur installation.

Un sudoku ou Tetris qui demandent l'accès internet, l'accés au carnet d'adresse ou la geo localisation, c'est louche, il ne fait peut pas que sudoku ce programme.

Maintenant, peut être aussi que le libellé de ces privilèges affichés par l'installeur d'applications n'est pas suffisamment compréhensible ou adapté pour Mme Michu du Cantal.

---

Pour ma part, que les libellés soient suffisant ou non n'y changerait pas grand chose. Moi aussi je conseille à tout le monde devérifier tout ça... mais faut pas se mentir, il nous est tous arrivé d'installer une appli avec une demande de droit cheloux, par ce que sinon, on arrive pas à trouver ce qu'on cherche.

Ce qui faudrait, c'est que les développeur aient l'obligation de préciser pour CHAQUE droit demandé, comment l'application va l'utiliser.
Il faudrait également qu'il soit facile pour tout le monde de "dénoncer une utilisation abusive de droit" si on remarque qu'une application ne fait pas UNIQUEMENT ce qu'elle est censée faire.
Si une application reçoit un certain nombre de ces notifications, il leur sera alors bien plus facile de faire le ménage.

J'y vois en plus un certain avantage pour les développeur. En effet, si une application demande un accès internet uniquement pour les pubs, l'utilisateur pourrait plus facilement comprendre qu'en plus de lui retirer la pub, la version premium lui fera également économiser de la bande passante sur son forfait.

De toute façon il faut acheter les NEXUS et puis c'est tout ;)

Citation:

---

Envoyé par Cedric Chevalier

Ils leur suffiraient tout juste de faire une mise à jour pour le récent Jelly Bean 4.2.

---

comme j'ai ri en lisant cette phrase !

Quand j'avais mon acer liquid, j'aurais bien aimé mettre mon tél à jour, mais PAS POSSIBLE. et ce pour 2 raisons, acer ne faisait aucun suivi de ses téléphones et impossible techniquement, obligé de resté en 2.1...

Malheureusement Android ne propose aucune façon de mettre à jour son téléphone soi-même. Il faut attendre que l'opérateur qui a fourni le téléphone la propose. Non seulement les opérateurs ne proposent pas toutes les mises à jour mais quand c'est le cas il faut attendre très très... très longtemps. Personnellement je n'ai pu avoir Jeally bean 4.1.2 que plus d'un an après sa sortie officielle par google et la 4.2 je pense que mon opérateur ne la fournira jamais pour mon modèle.

Bref, malheureusement je pense que pour continuer à mettre à jour l'OS de mon téléphone il va falloir que je le root et installe manuellement des ROM non officielle. Avec tous les risques que ça comporte: la garantie constructeur tombe, risque de se louper et de rendre l'appareil inutilisable, un certain nombre de ROM qu'on trouve sur le net sont vérolées...

Citation:

---

Envoyé par olreak

Malheureusement Android ne propose aucune façon de mettre à jour son téléphone soi-même. Il faut attendre que l'opérateur qui a fourni le téléphone la propose...

---

C'est pas pareil avec WP ?

Citation:

---

Envoyé par olreak

Bref, malheureusement je pense que pour continuer à mettre à jour l'OS de mon téléphone il va falloir que je le root et installe manuellement des ROM non officielle. Avec tous les risques que ça comporte: la garantie constructeur tombe, risque de se louper et de rendre l'appareil inutilisable, un certain nombre de ROM qu'on trouve sur le net sont vérolées...

---

Informe-toi avant de dire ça! Si tu prends Cyanogen, le risque est infime.
Et avant de passer à une ROM Custom, tu peux commencer par une ROM officielle constructeur.
Ton plus gros risque, c'est la garantie constructeur si la hardware lâche.

Et encore une fois, il n'y a PAS BESOIN DE ROOTER pour installer une ROM, surtout officielles.
(les ROMs customs sont généralement pré-rootées).

Pour l'ACER Liquid, c'est balot quand même, je vois qu'il tourne sous ICS...

Mais bon...

Dans tous les cas une mise à jour de rendra pas le téléphone plus sur qu'il ne l'est déjà, et il l'est déjà pas mal... Les plus grosses failles de sécurité (comme les bugs) se situent entre la chaise et l'écran.

Une chose qui serait bien, ça serait de devoir spécifier dans la permission INTERNET les sites qu'on accède, par exemple www.google.fr/*. Il me semble que sur les plugins chrome il y a ce système.

Ça permettrait a l'utilisateur de voir vraiment a quoi sert cette permission. Car elle permet vraiment de faire beaucoup de choses sans que l'utilisateur en soit vraiment conscient. (PUB/ envois de données utilisateur a un serveur).

Le seul problème que ça pose est de mettre en partie l’adresse des web-services en clair :(

Excellente idée ça Sake !

Par contre, rendre l'url des webservices en clair n'est pas vraiment un problème psuiqu'on peut de toute manière "traquer" très facilement tous les appels réseau d'un mobile.

Bah en même temps il est tout à fait logique que les attaques ciblent l'OS le plus utilisé au début c'etait l'Iphone maintenant ce sont les téléphones Android vu qu'ils ont la part de marché la plus importante, un peu le même problème que la différence du nombres de virus entre Linux et Windows, c'est juste de la logique.

Citation:

---

Envoyé par Cedric Chevalier

« Android, OS mobile le plus insécurisé qui soit ». À qui la faute ?

---

La faute à Google qui propose un système d'exploitation non sécurisé et instable.
Pourquoi ? La réponse se trouve dans ta suggestion de solution.

Citation:

---

Une simple migration vers Jelly Bean 4.2 suffirait à résoudre la majeure partie des problèmes que rencontrent les utilisateurs de l'OS mobile

---

Un update est impossible sur la plupart des téléphones à cause de leur système de distribution qui passe par les constructeurs ainsi que des updates eux-mêmes dont les apports sont cosmétiques et linéaires tandis que les besoins en ressources exponentiels.
Le but étant évidemment de faire acheter de nouveaux appareils, la stratégie paye, mais cette étude nous montre que tous les utilisateurs n'ont pas encore été lobotomisés.

Citation:

---

Envoyé par kakashi99

comme j'ai ri en lisant cette phrase !

---

idem, faut déjà avoir le téléphone qui suis, grosso modo achetez vous un galaxy s4 et vous aurez pas de problème. La tranquillité à un prix, à peu près 600 € et quoi dans 6 mois faut rechanger de portable parceque l'os est déjà mis à mal? J'ai hate que firefox OS débarque en france qu'on voit ses perfs et ce qu'il a dans le ventre... Quand ce sera fait on pourra dire au revoir g**gle!

Citation:

---

Envoyé par negstek

idem, faut déjà avoir le téléphone qui suis, grosso modo achetez vous un galaxy s4 et vous aurez pas de problème. La tranquillité à un prix, à peu près 600 € et quoi dans 6 mois faut rechanger de portable parceque l'os est déjà mis à mal?
...

---

Sinon, pour 300€, voire 350€ si on veut un peu plus d'espace de stockage, il y a l’excellent Google Nexus 4. Et contrairement à ce que son prix pourrait laisse croire, il n'est pas 2 fois moins bien qu'un SGS4.

Certes la résolution d'écran est moins bonne, mais qui arrive à voir à l’œil nu la différence entre du 1280x768 ou du 1920x1080 ? Franchement moi je n'ai pas d'assez bon yeux pour voir la taille des pixels, 1920x1080 sur un écran de cette taille, j'ai un peu l'impression que c'est de la confiture pour les cochons.

Mais surtout l'avantage d'un Nexus par rapport à tous les autres smartphones Android, c'est que les mises à jour arrivent direct de chez Google, pas d'intermédiaire par le constructeur, pas d'intermédiaire par l'opérateur.

http://www.google.fr/nexus/4/specs/

Les manquent de mises à jour, à mon avis, sont avant tout dues aux constructeurs : peu de personnes vont changer eux-même leur OS, donc à moins que celui qu'ils aient eu avec leur téléphone leur dise "Hey, t'as une mise à jour qui t'attend, tu veux l'appliquer ?", ils ne seront pas à jour, point final. Pour ma part, j'ai acheté un Samsung Galaxy S il y a longtemps, c'était encore tout jeune, et il fonctionne toujours, donc pas de raison d'en changer. Mais depuis que je suis passé à la 2.3 Gingerbread, plus un bruit. Mon téléphone n'a plus jamais reçu de mise à jour en dehors de Google Market. Nombreuse sont les fois ou je suis allé dans les paramètres > infos sur le téléphone > mise à jour du système > recherche de mise à jour ... aucune mise à jour disponible. Même longtemps après que Jelly Bean soit sorti, pas un mot.

Au final, il aura fallu que je passe sous Cyanogenmod pour avoir ENFIN un téléphone à jour. Et ça marche du tonnerre, donc qu'on ne vienne pas me dire que mon téléphone est trop vieux et donc doit être changé pour avoir une version plus récente. Le seul soucis, c'est la prise en charge sur le long terme par les constructeurs, dont l'inutilité est visiblement aussi évidente que le bien fondé de l'obsolescence programmée. Bref, tant que ça permet de faire du pognon, pourquoi s'en priver ? Ceux qui veulent être à jour, achetez un nouveau téléphone, vous payerez aurez par la même occasion toutes ces fonctionnalités inutiles et donc tellement nécessaires, dont la moitié que vous ne serez même pas au courant (mais qui seront dans le prix quand même). Pour ceux qui ne veulent pas, ça fera du boulot pour ceux qui font des logiciels de sécurité. Au final, tout le monde est content ! Ah non, c'est vrai, l'utilisateur... mais qui s'en préoccupe de l'utilisateur aujourd'hui ? Tout ce dont on se préoccupe c'est le client, et le client, c'est un numéro de compte en banque, pas un être humain.

Citation:

---

Envoyé par Matthieu Vergne

Les manquent de mises à jour, à mon avis, sont avant tout dues aux constructeurs : peu de personnes vont changer eux-même leur OS, donc à moins que celui qu'ils aient eu avec leur téléphone leur dise "Hey, t'as une mise à jour qui t'attend, tu veux l'appliquer ?", ils ne seront pas à jour, point final. Pour ma part, j'ai acheté un Samsung Galaxy S il y a longtemps, c'était encore tout jeune, et il fonctionne toujours, donc pas de raison d'en changer. Mais depuis que je suis passé à la 2.3 Gingerbread, plus un bruit. Mon téléphone n'a plus jamais reçu de mise à jour en dehors de Google Market. Nombreuse sont les fois ou je suis allé dans les paramètres > infos sur le téléphone > mise à jour du système > recherche de mise à jour ... aucune mise à jour disponible. Même longtemps après que Jelly Bean soit sorti, pas un mot.

---

Sauf qu'à l'époque Samsung a communiqué sur la màj de son Galaxy S premier du nom. Ils l'ont annoncé que le GS1 resterait sous Gingerbread. Sur ce point tu as tort. Si tu t'étais renseigné tu l'aurais su. ;)

Par contre on ne peut pas en dire autant sur les raisons de cet arrêt du support à Gingerbread. Là Samsung a en effet été plus que minable et te donne complètement raison. Oui le GS1 pouvait passer sans problèmes à Android 4.0.3 "Ice Cream Sandwich". Mais le problème venait de Touchwizz. Si ICS passait tout seul, on ne pouvait pas en dire autant du combo ICS + Touchwizz. Du coup, Samsung n'avait que 2 choix : soit ils proposaient un GS1 sous ICS mais "Google Edition" avec de l'Android pur, soit ils insistaient sur Touchwizz mais le Galaxy S1 était alors condamné à rester éternellement sous Gingerbread. Hélas pour le consommateur, ils ont choisi la seconde solution. :cry: Enfin quand je dis la seconde solution, c'est pas tout à fait ça. En réalité Samsung a fait une super màj "Value Pack" de Gingerbread avec quelques unes des nouveautés d'ICS en guise de lot de consolation.

J'imagine que j'ai du le savoir à un moment, mais ne me sentant pas plus concerné que ça j'ai oublié. Mais ça n'en reste pas moins que le problème est le manque de mise à jour, comme tu l'as dis. Qui est un choix politico-économique ou la sécurité est loin, très loin derrière les critères considérés. Et c'est les utilisateurs après qui sont pris pour des je m'enfoutistes à ne pas faire les mises à jour et à garder des OS périmés, juste parce que "leur téléphone marche", donc évidemment ils ne vont pas (tous) en changer.

En attendant, étant ingé informatique et réseaux à la base, j'ai fait mon premier changement d'OS mobile quand je suis passé à Cyanogenmod... ça m'a quand même pris une bonne journée à découvrir, apprendre, appliquer et corriger les erreurs de parcours avant d'avoir ne serait-ce qu'un téléphone qui pouvait me réveiller le lendemain. Donc c'est pas une opération que n'importe qui peut faire. Les utilisateurs lambda sont un peu menottés sur ce plan là. si les constructeurs ne gèrent pas, ce n'est pas l'utilisateur qui le fera en général, vu qu'il n'a pas les outils pour.

C'est pas comme IE6, quand les MAJ et nouvelles versions se faisaient au compte goutte et où il suffisait d'aller sur le net pour chopper un navigateur plus récent (pas IE mais il y avait un peu de choix) et l'installer via une procédure on ne peu plus classique (fichier setup à télécharger, double clic, next next install OK et fini). Aujourd'hui, les versions affluent aussi vite que les pubs dans les boîtes au lettre, c'est donc déjà assez difficile d'être à jour, mais si en plus il faut être un as pour pouvoir le faire, c'est même plus du jeu.

En bref, cette étude démontre plus le manque chronique de support de mise à jour face à l'évolution hyper rapide des versions qu'un manque de considération des utilisateurs pour la sécurité de leurs données ou de leur périphériques en général.