לקראת אירוע | דוח של סימנטק: מערכת ההפעלה Apple iOS ופלטפורמת Android של גוגל מציעות אבטחה משופרת לעומת מחשבי PC, אך עדיין פגיעות לאיומים רבים

סימנטק פרסמה דוח שבחן את גישות האבטחה המשמשות ב-Apple iOS (מערכת ההפעלה של ה-iPhone וה-iPad) ו-Google Android. מחקר זה כולל הערכת עומק טכנית של שתי הפלטפורמות הניידות המובילות של אפל וגוגל, במאמץ לעזור לארגונים להבין את סיכוני האבטחה של הטמעת מכשירים אלה בארגון. לעיון בדוח המלא יש להקיש כאן.

שמוליק אנג'ל, מנכ"ל סימנטק ישראל, מציין כי הממצא הבולט הוא שבעוד הפלטפורמות הניידות הפופולאריות בשימוש כיום תוכננו מתוך מחשבה על אבטחה, הרי אמצעים אלה אינם תמיד מספיקים על מנת להגן על נכסים ארגוניים רגישים שבדרך כלל מוצאים דרכם לתוך המכשירים. אנג'ל אומר שמסבכת את העניינים העובדה, שהמכשירים הניידים של היום יותר ויותר מקושרים ומסונכרנים עם מערכת רחבה של שירותי ענן מספקי צד ג' ושירותים מבוססי מיחשוב שולחני מחוץ לשליטת הארגון, תוך חשיפה פוטנציאלית של נכסים ארגוניים חשובים לסיכון מוגבר.

הדוח מציע ניתוח מפורט של דגמי האבטחה המשמשים את פלטפורמות Apple iOS ו-Google Android, ומעריך את יעילות כל פלטפורמה  מול האיומים העיקריים של היום, כולל: תקיפות מבוססות Web ומבוססות רשת; נוזקות (Malware); תקיפות הנדסה חברתית, פגיעה בזמינות משאבים ושירות; אובדן נתונים זדוני ובלתי מכוון; תקיפות על שלמות נתוני המכשיר.

ניתוח זה הוביל למספר מסקנות חשובות:

•    מודלי האבטחה של iOS וגם של  Android עדיין פגיעים לקטגוריות קיימות רבות של תקיפות.

•    מודל האבטחה של iOS מציע הגנה חזקה נגד נוזקות מסורתיות, בעיקר בזכות תהליך אישור יישומונים (apps) הקפדני של אפל ותהליך הסמכת מפתחיהם, אשר חושף את הזהות של כל מחבר תוכנה ומבריח תוקפים.

•    גוגל בחרה בתהליך הסמכה פחות מחמיר, ומאפשרת לכל מפתח תוכנה ליצור ולשחרר יישומונים באופן אנונימי, בלי פיקוח. העדר הסמכה זה הוביל לכמות הגדלה של נוזקות ממוקדות Android כיום.

•    משתמשי מכשירי Android ו-iOS מסנכרנים באופן קבוע את מכשיריהם עם שירותי ענן צד-ג' (לדוגמה: יומנים מבוססי Web) ועם מחשביהם השולחניים הביתיים. זה עלול לחשוף נתונים ארגוניים רגישים המאוחסנים במכשיריהם למערכות מחוץ לשליטת הארגון.

•    מכשירים אשר האבטחה שלהם נוטרלה (מכונים Jailbroken), מהווים יעד אטרקטיבי לתוקפים, מאחר שמכשירים אלה פגיעים כמו PCs מסורתיים.

שמוליק אנג'ל, מנכ"ל סימנטק ישראל: "בעוד המכשירים הניידים יותר מאובטחים מאשר מחשבי PC מסורתיים, פלטפורמות אלה הנן עדיין פגיעות לתקיפות מסורתיות רבות. בנוסף, עובדי ארגונים משתמשים יותר ויותר במכשירים אישיים בלתי מנוהלים לגישה למשאבי מידע ארגוניים רגישים, ואז מקשרים מכשירים אלה לשירותי צד ג' מחוץ לשליטת הארגון, תוך חשיפה פוטנציאלית של נכסים חשובים לתוקפים".