Sok ismerősöm által feltett kérdések, amik talán téged is foglalkoztatnak:
Mennyire biztonságos az Android? Melyik a biztonságosabb? Android vagy iOS? Mire figyeljek oda, ha a biztonságot részesítem előnyben? Csámcsogjunk rajta egy kicsit, mert ezt nem annyira egyszerű körbejárni!

Általánosan:

A lelke az egész biztonságnak úgymond az USB debugging és a root jogosultság. Ezek hiányában rettentő biztonságos a rendszer viszont 100%-os biztonságról soha nem beszélhetünk. Az emberi tényező mindig ott van és mit sem ér a védekezés, ha a személyt közben ki lehet játszani. Ha külső forrásból nem kerül semmi kártékony kód/program a telefonra, nem nagyon van miért aggódni, kivéve, ha potenciális célpontok vagyunk. Ezért aki a Play áruházból telepít olyan programokat, amik ismertebbek, nem pedig no-name zseblámpa és egyéb alkalmazások, gond nemigen lehet. Persze, ehhez is intelligencia kell, mert ne várjunk egy alkalmazás telepítésével azt, hogy Windows lesz a rendszerünk és gyanúsnak kell lennie, ha egy zseblámpa alkalmazás fiókok és lokáció jogosultságát kéri.

És akkor jogosultság:

Eddig úgy nézett ki, ha egy alkalmazás igényelt valamit, telepítés előt kiírta, mire lesz "kíváncsi". Na ez 6.0-s rendszertől megváltozott. Ott már külön beépített jogosultságkezelő van, magyarul bárminek megadhatod, mit láthat a telefonodon. Példa: nem engeded, hogy a Facebook alkalmazás lássa az SD kártyát. Ez jó, de számolj vele, hogy akkor képeket se tudsz lementeni mert épp az imént tiltottad meg neki, hogy írjon vagy olvasson a tárolódról. Ezért mondom, ész kell hozzá. Régebbi rendszereken is megoldható ez, valamint én a mai napig is a legfrissebb droidon ezt használom: Xprivacy (amihez xposed keretrendszer kell). Nagyon mélyen, a legapróbb részletekig lehet engedélyezni illetve tiltani jogosultságokat. Elején nagyon sokmindent kérdez, kinek mit engedünk, de ha előtte alaposan felkészülünk és utánaolvasunk, szépen kordában lehet tartani a kíváncsi alkalmazásokat. Tegyük hozzá, sok esetben épp az alkalmazás optimális működése érdekében és kényelmi funkciók érvénybelépése miatt olvasna ki adatokat az applikáció, mint például a hálózati operátor az adatkapcsolat minősége miatt vagy lokalizáció a nyelv automatikus beálltása céljából, nem pedig a data-leak a szempont.

A Google Play-en kívüli források:

Létezik élet a Google szolgáltatáson kívül is, ilyen pl az Apkmirror, ahova a fejlesztők sokkal hamarabb ki tudják rakni a frissítéseiket, mert a play sokat szokott ülni rajta, vagy az F-Droid . Ezek igen jó eséllyel megbízatók. Ezért, ha valaki Play-en belül mozog, vírusírtó felesleges. Nagyonmax egyszer-egyszer leszedi a virustotal-t és ellenőrzi, mi van fent. Én még értelmes Internet Security-t nem találtam, gondolván itt ugye erre a témára is (mert a vírusírtó teljesen más mint az IS, nem beszélve a SmartSec.-ről, ami a kettő egyvelege elv.). Itt felhívnám a figyelmet arra, hogy sok személyes adat nem azért kerül ki, mert több millió eszközt törtek fel, hanem valamelyik szolgáltatás adatbázisát támadták meg. Ezért mindegy, hogy Androidon vagy iOS-en vagy, ha a Google OS-én használtál iCloud-ot, ugyanúgy fel tudták volna törni a fiókod anno.

Akkor most hogy is van ez?

Válasszuk ketté magát az eszközt és az Internetet. Előbbi akkor fontos, ha célzott támadást követnek el ellened. Magyarul vagy nagyon rosszban sántikálsz, vagy van egy "nagyonrosszakaród". Ebben az esetben az android sebezhetőségeit használják ki (CVE). A rendszer frissessége a gyártótól függ, milyen frekventáltan adja ki a ROM-okat, ezáltal milyen gyorsan foltozzák a biztonsági réseket. Ez nem olyan, mint a windows, hogy fogod és bármelyik laptopra rámegy csak driver kell hozzá. Itt ahány készülék, annyi ROM (kb). Esetleg a BlueBox-szal lehet ellenőrizni a sebezhetőségeket, de ez is felesleges, ha pl root és USB debugging ki van kapcsolva, mert ha más nem fér a telefonhoz, és nem köti gépre, akkor szinte semmit nem tud kezdeni felhasználói engedély nélkül. Ha meg mi megengedjük, hogy letöltse a kártékony kódot (gondolva itt a múltban történt MMS "botrányra", ami lényegében annyi, hogy eg kép tartalmazott egy backdoor-t és persze mivel szinte mindenkinek be volt kapcsolva az MMS automatikus letöltése, így a címzettek majdnem egytől egyik letöltötték), akkor ne panaszkodjunk, hogy mit keres rajta (csak a root-olt készülékeket fenyegette ez a veszély). Az USB debugging az adb-hez kell, amivel akár a pin lock-ot is ki lehet kukázni, viszont mivel ilyen mélyen lehet belepiszkálni, ezért ha ez be van kapcsolva, ne csodálkozzunk, ha exploitot tudunk betolni a rendszerbe. Debugging-hoz ajánlott az Android Studio de mégjobb a Drozer. A közelmúltban a Google ráállt a bulletin frissítésre (havi security patch), de sajnos itt is a gyártó a felelős, frissíti-e az eszközeit. Ha frissíti, a beállításokon belül "A telefonról" mezőben lehet infrormálódni aktualitásáról.

Internetezésről meg annyit, hogy az operációs rendszertől független. A protokollok minden operációs rendszeren ugyanazok, ugyanúgy be lehet nyalni klónozott oldalakat, HTTP injection-öket, MitM-t vagy DDos-t és még sorolhatnám. Az egyik legbiztonságosabb dolog, amit ajánlhatok, az a VPN ( Mi a VPN?, és egy topik). Az Internet securityhez érteni kell. BurpSuite, Maltego, Ettercap, nmap kezelése ha megy, érted mire gondolok de inkább telepíts egy kali linuxot.

Ez lenne maga a kontextus. Írásom egyben témaindító szándékkal is rendelkezik, mert a fórumok között nem találtam kifejezetten Android biztonságtechnikai szakmai topikot, pedig létjogosultsága van. A kommentekben speciálisabban ki lehet fejteni egy-egy szekciót mélyebben.