Google, 144 ayrı yazılım sorununu gideren kapsamlı bir Android güvenlik güncellemesi yayınladı ve bunlardan biri rahatsız edici bir nedenle öne çıkıyor: saldırganlar tarafından sahada zaten aktif olarak kullanılıyor. Söz konusu açık, Android'in temel işletim motorunun kritik bir parçasını, yani uygulamaları çalıştırmaktan izinleri ve donanım erişimini yönetmeye kadar telefonunuzun yaptığı neredeyse her şeyin altında yatan yazılım katmanını etkiliyor.

Bu tür bir Android sıfır-gün güvenlik güncellemesi, VPN dahil hiçbir gizlilik aracının düzgün bir şekilde yamalanmış bir cihazın yerini tutamayacağını hatırlatan faydalı bir uyarıdır. Bir VPN, telefonunuzdan çıkan trafiği şifreler. İşletim sisteminin kendisini, eğer o sistemde bilgisayar korsanlarının nasıl geçeceğini zaten bildiği açık bir kapı varsa, korumak için hiçbir şey yapmaz.

Android Sıfır-Gün Açığı Aslında Neyi Etkiliyor

Google'ın yayınladığı güncelleme, Android ekosistemindeki 144 ayrı sorunu çözüyor. Bunların çoğu rutin hatalar, yani sorun haline gelmeden açıkları kapatmak için her ay yayınlanan türden bakım yamaları. Ancak bu partideki bir açıklık farklı: telefonun birincil yazılım motorunda, yani her uygulamanın ve sürecin nihayetinde bağlı olduğu temel katmanda bulunuyor.

Bu seviyede bir açık bulunduğunda, potansiyel etkisi tipik bir uygulamaya özgü hatadan daha geniştir. Teoride, ele geçirilmiş bir çekirdek motor, bir saldırgana tek bir uygulamanın korumalı alanının ötesine geçen, sistem izinlerine, depolanan verilere veya cihaz kontrollerine uzanan bir dayanak noktası verebilir. Google'ın bu belirli sorunu rutin, düşük öncelikli bir düzeltme olarak ele almak yerine, bilgisayar korsanları tarafından zaten bilinen bir sorun olarak işaretlemesinin nedeni tam olarak budur.

Kimler Risk Altında ve Saldırganlar Bunu Nasıl Kullanıyor Olabilir

Bu güncellemedeki en önemli detay 144 sayısı değil, bu belirli açığın bir sıfır-gün olmasıdır: bir yama mevcut olmadan önce istismar edilmekte olan bir güvenlik açığı. Bu, saldırganların yamasız Android cihazları hedef almak için çalışan bir yönteme sahip olduğu, çoğu kullanıcının buna karşı savunma yapma imkanının olmadığı, süresi ne olursa olsun bir zaman aralığı olduğu anlamına gelir.

Bunun gibi çekirdek sistem açıklarının istismarı genellikle kullanıcının açıkça riskli bir şey yapmasını gerektirmez. Saldırganlar, savunmasız bileşene ulaşmak için kötü amaçlı bir uygulama, özel olarak hazırlanmış bir dosya veya ele geçirilmiş bir bağlantı kullanarak güvenlik açıklarını zincirleyebilir. Bu, aktivistleri ve gazetecileri hedef alan kiralık hack kampanyası dahil olmak üzere gerçek dünyadaki diğer mobil saldırılarda görülen modeli yansıtır; burada saldırganlar hem iOS hem de Android cihazlara derinlemesine erişmek için kimlik avı ve kötü amaçlı uygulamalar kullandı. Bu kampanya, cihaz seviyesinde istismar başarılı olduğunda ne olduğuna dair faydalı bir vaka çalışmasıdır: saldırganlar sadece tarama verilerini çalmaz, cihazın kendisine kalıcı erişim elde edebilirler.

Cihazınızı Güncellemek Neden Herhangi Bir VPN Ayarından Daha Önemlidir

Bu konuda net olmakta fayda var: bir VPN, cihazınız ile internet arasında hareket eden verileri korumak için tasarlanmıştır. IP adresinizi gizler, güvenli olmayan ağlarda trafiğinizi şifreler ve internet sağlayıcınızın veya halka açık Wi-Fi'daki yakındaki bir saldırganın çevrimiçi olarak ne yaptığınızı görmesini engellemeye yardımcı olabilir. Bunların hiçbiri telefonun işletim sisteminin içinde yaşayan bir güvenlik açığına dokunmaz.

Eğer bir saldırgan çekirdek Android motorundaki bir açığı istismar ederse, cihazın kendisinde, bir VPN'in çalıştığı katmanın altında faaliyet gösteriyor demektir. Saldırgan, o trafik hiç gönderilmeden önce telefonda olup bitenlere zaten erişebiliyorsa, trafiğinizi şifrelemek işe yaramaz. Güvenlik araştırmacılarının, işletim sistemi güncellemelerini bir telefon sahibinin atabileceği neredeyse diğer tüm adımların üzerinde tutmasının nedeni budur. Bir VPN değerli bir gizlilik koruma katmanıdır, ancak altta yatan yazılımı güncel tutmanın yerine geçmez.

Katmanlı Bir Savunma Oluşturmak: Yamalama, Uygulama İzinleri ve Güvenli Bağlantılar

Bunun gibi bir Android sıfır-gün güvenlik güncellemesine karşı pratik yanıt, biraz disiplin gerektirse de basittir. Öncelikle, telefonunuzun yazılım güncelleme ayarlarını kontrol edin ve cihazınız ve operatörünüz için mevcut olur olmaz yamayı yükleyin. İkinci olarak, hangi uygulamaların geniş izinlere, özellikle kişilere, konuma veya cihaz depolamasına erişime sahip olduğunu gözden geçirin ve gereksiz görünen her şeyi iptal edin. Üçüncü olarak, resmi mağazaların dışından uygulama yüklerken dikkatli olun, çünkü yan taraftan yüklenen uygulamalar tam olarak bu tür sistem seviyesindeki açıkları istismar etmek için yaygın bir vektördür.

Maruz kalma riskleri yalnızca işletim sistemi hatalarıyla sınırlı değildir. Kötü güvenlik önlemlerine sahip uygulamalar, cihaz seviyesinde bir istismar olmadan bile kişisel verileri sızdırabilir, nitekim Tokee'nin mesajlaşma uygulamasının korumasız bir veritabanı aracılığıyla 1,2 milyon kullanıcı profilini ifşa etmesinde görüldüğü gibi. Katmanlı güvenlik, VPN'inizi, uygulama izinlerinizi ve işletim sistemi güncellemelerinizi birbirinin yerine geçebilen değil, üç ayrı ama tamamlayıcı savunma olarak ele almak anlamına gelir.

Bu Sizin İçin Ne İfade Ediyor

Bir Android cihazınız varsa, yapılacak şey basit: hemen güncelleyin. Sıfır-gün açıkları tam da bu yüzden aciliyet taşır; saldırganlar çoğu kullanıcı bir yamaya sahip olmadan önce zaten çalışan bir istismar yöntemine sahiptir. Gereğinden birkaç gün daha fazla beklemek, hiçbir gerçek fayda sağlamadan maruz kalma aralığınızı uzatır.

Anında yamanın ötesinde, bunu daha geniş mobil güvenlik alışkanlıklarınızı denetlemek için bir uyarıcı olarak kullanın. Otomatik güncellemelerin etkin olduğunu doğrulayın, gereksiz uygulama izinlerini azaltın ve bir VPN'in işletim sistemi güvenlik açıklarına karşı bir kalkan değil, ağ trafiğinizi korumak için güçlü bir araç olmaya devam ettiğini unutmayın. Cihazınızı yamalı tutmak, bu Android sıfır-günü gibi tehditlere karşı atabileceğiniz hâlâ en etkili tek adımdır.

Telefonunuzdaki bekleyen güncellemeleri kontrol etmek için bugün birkaç dakika ayırın. Bu, böyle bir habere verilecek en basit, en etkili yanıttır ve indirme tamamlanırken biraz sabırdan başka bir maliyeti yoktur.