Quad Rooter pas franchement un risque pour les utilisateurs Android. Sécurité : Quad Rooter menacerait 900 millions de terminaux Android ? Mais le seul risque pour un utilisateur consiste à installer une application malveillante téléchargée hors du Google Play. Et là encore, des protections sont prévues dans l'OS.
L'attaquant doit concevoir une app Android malveillante, puis la déployer. Cela suppose d'échapper aux contrôles sur le Play Store, la boutique officielle. Ou alors un terminal Android acceptant les apps d'autres sources.
Or, ceci ne correspond pas au paramétrage par défaut de l'OS Google. Des attaques basées sur QuadRooter supposent donc déjà un certain nombre de conditions.
Mais Google vient encore pondérer le niveau de risque en signalant que la fonctionnalité "Verify Apps", intégrée dans Google Play et activée par défaut depuis près de quatre ans dans Android, est justement conçue pour bloquer ce type d'attaque.
La firme de Mountain View confirme à Android Centralque Verify Apps peut identifier et bloquer toute application exploitant QuadRooter. Plus de 90% des terminaux Androidseraient ainsi protégés contre cette menace. Nul besoin donc, comme le suggère Check Point, d'installer un logiciel de sécurité sur son smartphone.
Google précise par ailleurs que des patchs pour trois des quatre vulnérabilités détectées par Check Point sont d'ores et déjà disponibles pour Android. Le dernier sera finalisé en septembre. Les partenaires de la plateforme peuvent toutefois dès à présent se procurer le patch public développé par Qualcomm. Bref, pas de panique. Lorsqu'ils détectent des failles, les éditeurs de produits de sécurité se laissent parfois aller à "un peu" d'exagérationquant au degré de dangerosité. Est-ce le cas de QuadRooter, ces 4 vulnérabilitésidentifiées par Check Point et affectant les terminaux Android à base de processeur Qualcomm ?
Sans doute "un peu" oui, en particulier au travers d'un communiqué annonçant que 900 millions de terminaux Android sont concernés, et donc potentiellement menacés. Le niveau réel de la menace se situe bien plus bas.
90% des terminaux Android protégés
Rappelons en effet que pour être exploitées, ces failles nécessitent l'installation sur le terminal d'une application.Déployer en interne, c’est moins cher... Vraiment ?
Stratégie :Selon IDC, les DSI passent toujours le plus clair de leur temps à effectuer des tâches mécaniques de déploiement et d’administration. Il serait pourtant moins coûteux d’externaliser ces activités pour qu’ils puissent se concentrer sur l’innovation. À l’heure où la transformation numérique est sur toutes les lèvres, une statistique publiée récemment par IDC a de quoi étonner : les informaticiens employés en interne passent 80 % de leur temps à mener des tâches routinières, sans grande valeur ajoutée, telles que l’installation de matériels et le déploiement de logiciels, la gestions de patchs de sécurité ou encore la surveillance du bon fonctionnement des solutions. Ils ne consacrent en revanche que 20 % de leur temps aux activités de recherche et de développement en lien avec les dernières innovations technologiques.
Fonctionnent-ils de la sorte pour des questions de contraintes budgétaires ? On pourrait le penser. Mais les chiffres de la même enquête (Growing Business Value by Utilizing Deployment Services, IDC, septembre 2015), menée auprès d’un panel de 352 entreprises employant plus de 3 700 salariés, montrent le contraire. Les coûts de la main d’œuvre et des éventuels interruptions de services associées aux processus de déploiement internes rendent en effet cette solution nettement moins avantageuse que l’externalisation. Et ce, pour les trois grandes composantes technologiques des systèmes d’information actuels : les serveurs, les systèmes de stockage et les réseaux.
Installation : la partie émergée de l’iceberg
En moyenne, IDC estime que le déploiement par un tiers spécialisé permet d’économiser 2 138 dollars (1 894 euros) par serveur déployé, dont 1 489 dollars en coûts de personnel et 649 pour les frais associés aux interruptions et aux pannes de serveurs. L’économie s’élève à 2 037 dollars (1804 euros) pour une baie de stockage, dont 1 706 dollars en coûts de personnel et 331 pour les pertes liées aux défaillances des systèmes. Et elle atteint 1 911 dollars (1 692 euros), dont 1 369 dollars pour la main d’œuvre, lorsqu’un équipement réseau est installé par partenaire.
“Le prestataire arrive avec des processus rodés et des contacts privilégiés chez les fabricants.”
Pourquoi est-il plus intéressant de passer par un prestataire dont c’est le métier ? Le cabinet rappelle que l’installation physique des équipements ne constitue que la partie émergée de l’iceberg. Des tâches souvent complexes, qui nécessitent de consacrer beaucoup de temps pour se tenir à jour des dernières nouveautés en termes de virtualisation, de logiciels d’administration, ou de patchs permettant de garantir l’interopérabilité des nouveaux matériels avec le parc existant.
Des processus éprouvés
En ce qui concerne les réseaux, qui relient les centres d’hébergement à l’entreprise, la DSI ne peut pas non plus faire l’économie de longues préparations pour réduire au maximum les risques d’erreur. Une simple anomalie dans l’adresse DNS d’un serveur et c’est l’intégralité.
Or, ceci ne correspond pas au paramétrage par défaut de l'OS Google. Des attaques basées sur QuadRooter supposent donc déjà un certain nombre de conditions.
Mais Google vient encore pondérer le niveau de risque en signalant que la fonctionnalité "Verify Apps", intégrée dans Google Play et activée par défaut depuis près de quatre ans dans Android, est justement conçue pour bloquer ce type d'attaque.
La firme de Mountain View confirme à Android Centralque Verify Apps peut identifier et bloquer toute application exploitant QuadRooter. Plus de 90% des terminaux Androidseraient ainsi protégés contre cette menace. Nul besoin donc, comme le suggère Check Point, d'installer un logiciel de sécurité sur son smartphone.
Google précise par ailleurs que des patchs pour trois des quatre vulnérabilités détectées par Check Point sont d'ores et déjà disponibles pour Android. Le dernier sera finalisé en septembre. Les partenaires de la plateforme peuvent toutefois dès à présent se procurer le patch public développé par Qualcomm. Bref, pas de panique. Lorsqu'ils détectent des failles, les éditeurs de produits de sécurité se laissent parfois aller à "un peu" d'exagérationquant au degré de dangerosité. Est-ce le cas de QuadRooter, ces 4 vulnérabilitésidentifiées par Check Point et affectant les terminaux Android à base de processeur Qualcomm ?
Sans doute "un peu" oui, en particulier au travers d'un communiqué annonçant que 900 millions de terminaux Android sont concernés, et donc potentiellement menacés. Le niveau réel de la menace se situe bien plus bas.
90% des terminaux Android protégés
Rappelons en effet que pour être exploitées, ces failles nécessitent l'installation sur le terminal d'une application.Déployer en interne, c’est moins cher... Vraiment ?
Stratégie :Selon IDC, les DSI passent toujours le plus clair de leur temps à effectuer des tâches mécaniques de déploiement et d’administration. Il serait pourtant moins coûteux d’externaliser ces activités pour qu’ils puissent se concentrer sur l’innovation. À l’heure où la transformation numérique est sur toutes les lèvres, une statistique publiée récemment par IDC a de quoi étonner : les informaticiens employés en interne passent 80 % de leur temps à mener des tâches routinières, sans grande valeur ajoutée, telles que l’installation de matériels et le déploiement de logiciels, la gestions de patchs de sécurité ou encore la surveillance du bon fonctionnement des solutions. Ils ne consacrent en revanche que 20 % de leur temps aux activités de recherche et de développement en lien avec les dernières innovations technologiques.
Fonctionnent-ils de la sorte pour des questions de contraintes budgétaires ? On pourrait le penser. Mais les chiffres de la même enquête (Growing Business Value by Utilizing Deployment Services, IDC, septembre 2015), menée auprès d’un panel de 352 entreprises employant plus de 3 700 salariés, montrent le contraire. Les coûts de la main d’œuvre et des éventuels interruptions de services associées aux processus de déploiement internes rendent en effet cette solution nettement moins avantageuse que l’externalisation. Et ce, pour les trois grandes composantes technologiques des systèmes d’information actuels : les serveurs, les systèmes de stockage et les réseaux.
Installation : la partie émergée de l’iceberg
En moyenne, IDC estime que le déploiement par un tiers spécialisé permet d’économiser 2 138 dollars (1 894 euros) par serveur déployé, dont 1 489 dollars en coûts de personnel et 649 pour les frais associés aux interruptions et aux pannes de serveurs. L’économie s’élève à 2 037 dollars (1804 euros) pour une baie de stockage, dont 1 706 dollars en coûts de personnel et 331 pour les pertes liées aux défaillances des systèmes. Et elle atteint 1 911 dollars (1 692 euros), dont 1 369 dollars pour la main d’œuvre, lorsqu’un équipement réseau est installé par partenaire.
“Le prestataire arrive avec des processus rodés et des contacts privilégiés chez les fabricants.”
Pourquoi est-il plus intéressant de passer par un prestataire dont c’est le métier ? Le cabinet rappelle que l’installation physique des équipements ne constitue que la partie émergée de l’iceberg. Des tâches souvent complexes, qui nécessitent de consacrer beaucoup de temps pour se tenir à jour des dernières nouveautés en termes de virtualisation, de logiciels d’administration, ou de patchs permettant de garantir l’interopérabilité des nouveaux matériels avec le parc existant.
Des processus éprouvés
En ce qui concerne les réseaux, qui relient les centres d’hébergement à l’entreprise, la DSI ne peut pas non plus faire l’économie de longues préparations pour réduire au maximum les risques d’erreur. Une simple anomalie dans l’adresse DNS d’un serveur et c’est l’intégralité.
Commentaires