С 2014 года Google публикует отчет «Итоги года» по безопасности платформы Android. Версия за 2018 год, посвященная «Безопасности и конфиденциальности Android», уже доступна. Google подробно описывает свои усилия и предоставляет различные статистические данные, свидетельствующие об общем улучшении.
Это пятый ежегодный отчет «Итоги года», приуроченный к десятилетию Android. Отчет охватывает недавние улучшения безопасности и, в частности, содержит различные статистические данные, связанные с вредоносными приложениями. В целом, стратегия Android сосредоточена на «многоуровневой безопасности», «прозрачности» и «поддержке Google».
По данным Google, в 2018 году 0,08% устройств, которые устанавливали приложения только из Play Store, пострадали от потенциально вредоносных приложений (PHA). Это стало возможным благодаря Play Protect, который сканирует все приложения на устройстве Android независимо от источника установки.
Напротив, устройства, на которых приложения устанавливались вне Google Play, в 8 раз чаще подвергались воздействию PHA. По сравнению с предыдущим годом, даже на этих устройствах за счет бдительности Google Play Protect удалось снизить количество вредоносных программ на 15%.
В 2018 году Google начал маркировать и отслеживать приложения, занимающиеся мошенническим кликом (симулирующие клики по рекламе), как PHA. Они составили 54,9% от общего числа установок. Другие связанные статистические данные:
- В 2018 году 0,45% всех устройств Android, работающих под управлением Google Play Protect, имели установленные PHA, по сравнению с 0,56% устройств, затронутых PHA, в 2017 году. Это означает улучшение состояния экосистемы Android на 20% год к году.
- Google Play Protect предотвратил 1,6 миллиарда попыток установки PHA из источников за пределами Google Play в 2018 году.
Google также выявляет PHA в процессе разработки OEM, предоставляя партнерам набор для тестирования сборок (BTS). Инструмент предотвратил попадание 242 сборок с PHA в экосистему.
OEM-производители предоставляют свои новые или обновленные образы сборок в BTS. Затем BTS запускает серию тестов, проверяющих образцы системы на наличие проблем безопасности. Один из этих тестов безопасности сканирует на наличие предварительно установленных PHA в образе системы. Если мы обнаруживаем PHA в сборке, мы сотрудничаем с OEM-партнером для исправления и удаления PHA из сборки, прежде чем она будет предложена пользователям.
Еще одним улучшением стал 84%-ный рост числа устройств, получивших обновление безопасности в 4 квартале 2018 года по сравнению с предыдущим годом. Google ссылается на Treble, Android One, Android Enterprise Recommended и «новые соглашения с производителями оригинального оборудования (OEM)».
Что касается выявления уязвимостей, Google «выплатил более 3 миллионов долларов в рамках программы вознаграждений». Во время Mobile Pwn2Own компания отмечает, что «ни один из продемонстрированных эксплойтов против устройств под управлением Android не использовал уязвимость безопасности в операционной системе Android».
Кроме того, в 2018 году ни одна критическая уязвимость безопасности, затрагивающая платформу Android, не была публично раскрыта без доступного обновления безопасности или средства смягчения последствий для устройств Android.
Google также выделил несколько статистических данных по Pixel, в том числе тот факт, что «ни один эксплойт не скомпрометировал» устройства Made by Google, в то время как «более 95% развернутых устройств Google Pixel 3 и Pixel 3 XL работали с обновлением безопасности за последние 90 дней» по состоянию на декабрь 2018 года.