Saya baru baca tulisan Charlie Miller dari Accuvant Labs tentang smartphone security. Pada tulisan itu dibahas tentang perbandingan mekanisme keamanan pada IoS dan Android. Ios dan Android sama-sama menyediakan website public market dimana user dapat mengunduh apps. Apple mengawasi dengan ketat aplikasi yang ada di app store. Agar bisa masuk ke appstore aplikasi tersebut di review terlebih dahulu oleh Apple. Hanya aplikasi yang sudah di-approve yang bisa masuk ke app-store. Mekanisme ini disebut code signing.
Pada Android pengawasan market ini tidak terlalu ketat. Tidak ada proses review code oleh Google. Yang ada adalah crowd-sourcing. Jadi pengguna dapat memberi review terhadap aplikasi ini. Bila hasil review pengguna jelek terhadap aplikasi ini, Google dapat menarik aplikasi tersebut dari market.Proses ini memang dibuat untuk memudahkan developer. Memang ada mekanisme code signing, tapi aplikasi bisa juga menggunakan mekanisme self-signed.
Bila aplikasi sudah diinstall, aplikasi akan dijalankan pada sandbox. Perbedaannya adalah pada iOS semua aplikasi dijalankan pada aturan sandbox yang sama. Sementara pada Android aturan sandbox ini bisa berbeda untuk masing-masing apps. Pada proses instalasi aplikasi, user akan diberitahu permission apa saja yang akan digunakan oleh aplikasi tersebut. Bila user setuju maka aplikasi akan diinstall, bila tidak setuju maka apps tidak diinstal.
Pada prinsipnya Smartphone memiliki kemiripan dengan PC. Pada PC celah keamanan yang sering dieksploitasi adalah pada browser dan email-client. Pada Smartphone ada dua celah keamanan tambahan yang bisa dieksploitasi yaitu pada SMS dan pada GSM radio. Collin Molliner telah berhasil menemukan celah keamanan pada SMS parser pada iphone. Dari celah keamanan ini penyerang dapat menggunakan eksploit untuk mengambil alih device. Hal ini disebabkan proses pada smartphone yang menerima sms masuk memiliki hak akses root. Peneliti Intrepridus juga menemukan celah keamanan yang sama pada perangkat Palm Pre. Selain itu Ralf Philipp Weinmann berhasil menemukan cara mengeksploitasi aplikasi GSM radio untuk mengambil alih device.
Sistem pertahanan lain pada iOs adalah adanya DEP (Data Execution Prevention) dan ASLR (Address Space Layout Randomization). Kedua alat bantu ini menyulitkan proses pembuatan exploit pada iOS. Kedua proses ini tidak dimiliki Android. Hanya saja kelebihan Android adalah karena apps ditulis dengan bahasa Java, sehingga menyulitkan proses pembuatan exploit. Pada akhirnya memang tidak ada perangkat yang 100% aman.
Bahan bacaan:
https://www.computer.org/csdl/mags/sp/2011/04/msp2011040068.pdf
C. Mulliner and C. Miller, “Fuzzing the Phone in Your Phone,”presentation at Black Hat 2009;
www.blackhat.com/presentations/bh-usa-09/MILLER/BHUSA09-Miller-FuzzingPhone-PAPER.pdf.
N. Seriot, “iPhone Privacy,” presentation at Black Hat DC 2010;
www.blackhat.com/presentations/bh-dc-10/Seriot_Nicolas/BlackHat-DC-2010 -Ser iot-iPhone
-Privacy-slides.pdf.
“WebOSL: Examples of SMS Delivered Injection Flaws,” Insight, 16
Apr. 2010; https://www.nccgroup.trust/us/about-us/newsroom-and-events/blog/2010/april/webos-examples-of-sms-delivered-injection-flaws/
R.P. Weinmann, “All Your Baseband Are Belong to Us,” http://archive.hack.lu/2010/Weinmann-All-Your-Baseband-Are-Belong-To-Us-slides.pdf
B. Alberts and M. Oldani, “Beating Up on Android;” http://docslide.us/documents/beating-up-on-android-practical-android-attacks.html
CVE 2009-2999,” Mitre, 2011;
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2999