Bu bölümde, Android cihazlardan yapılan ağ iletişimlerinin güvenliğini sağlamaya yönelik öneriler yer alır.
Güvenli dinleme yuvaları
Dinleme soketlerini dikkatli kullanın. Uzaktaki bir saldırganın cihaza erişmesi için bir vektör sağladıkları için cihazlarda genellikle açık dinleme soketi bulunmamalıdır.
- Android cihazlar, özellikle de önyükleme sırasında veya varsayılan olarak sundukları internet dinleme soketlerinin sayısını en aza indirmelidir. Varsayılan olarak, önyükleme sırasında internette dinleyen bir soket olmamalıdır.
- Kök süreçler ve sistem benzersiz tanımlayıcısının (UID) sahip olduğu süreçler, dinleme soketlerini göstermemelidir.
- Dinleme soketlerinin OTA güncellemesi olmadan devre dışı bırakılabilmesi gerekir. Bu işlem, sunucu veya kullanıcı cihazı yapılandırma değişikliği kullanılarak yapılabilir.
- Yerel IPC kullanan soketlerde uygulamalar, erişimi bir grupla sınırlı olan bir UNIX alan soketi kullanmalıdır. IPC için bir dosya tanımlayıcısı oluşturun ve belirli bir UNIX grubu için +RW olarak ayarlayın. Tüm istemci uygulamaları bu UNIX grubunda olmalıdır.
- Birden fazla işlemciye sahip bazı cihazlar (ör. uygulama işlemciden ayrı bir radyo/modem), işlemciler arasında iletişim kurmak için ağ soketlerini kullanır. Bu gibi durumlarda, işlemci içi iletişim için kullanılan ağ soketi, cihazdaki yetkisiz uygulamaların erişimini önlemek için izole bir ağ arayüzü kullanmalıdır (ör. cihazdaki diğer uygulamaların erişimini önlemek için iptables kullanın).
- Dinleme bağlantı noktalarını işleyen daemon'lar, hatalı biçimlendirilmiş verilere karşı güçlü olmalıdır. Yetkisiz bir istemci ve mümkünse yetkili bir istemci kullanarak bağlantı noktasına karşı fuzz testi yapmanız gerekir. Kilitlenmelerle ilgili takip yapabilmek için hata bildirme
Android Uyumluluk Test Paketi (CTS), açık dinleme bağlantı noktalarının olup olmadığını kontrol eden testler içerir.
ADB'yi devre dışı bırakma
Android Debug Bridge (adb), değerli bir geliştirme ve hata ayıklama aracıdır ancak kontrollü ve güvenli bir ortamda kullanılmak üzere tasarlanmıştır ve genel kullanım için etkinleştirilmemelidir.
- adb'nin varsayılan olarak devre dışı olduğundan emin olun.
- adb'nin, bağlantıları kabul etmeden önce kullanıcının adb'yi açmasını gerektirdiğinden emin olun.