Meltdown: gevolgen voor Android

Ook Android-smartphones en -tablets mt ARM-processors zijn aan te vallen Google wil nog helemaal niets weten van werkende exploits, maar Meltdown en Spectre zijn door de voortgeschreden ARM-architectuur zeker gevaarlijk. De fixes komen bij Android meesta

Meestal is het alleen voor nerds interessant om te weten welke Cortex-versie er in welke mobiele ARM-processor zit, maar door Meltdown en Spectre wordt het toch belangrijk. Alleen de in 2011 geïntroduceerde Cortex-A7 en de in 2012 verschenen A53 zijn immuun omdat ze de benodigde trucs nog niet beheersen. Alle nieuwere Cortex-varianten zijn met Spectre te kraken. Meltdown werkt volgens ARM alleen op de Cortex-A75, die enkel in de nagelnieuwe Qualcomm Snapdragon 845 zit, maar een variant kan ook de CortexA15, A57 en A72 aanvallen. Alleen nieuwere Cortex-implementaties zullen voor beide aanvalsmethoden immuun zijn.

Sommige processorfabrikanten variëren wat op deze designs, zoals Qualcomm onder de naam Kryo. Maar ze weten zich niet te onderscheiden door gedetailleerde informatie te geven over Meltdown en Spectre, met uitzondering van Nvidia over Tegra. Je moet er dan ook vanuit gaan dat zo'n beetje alle huidige ARM-processors van Apple, Huawei/HiSilicon, Mediatek, Nvidia, Qualcomm en Samsung aan te vallen zijn – en daarmee bijna alle smartphones en tablets van de laatste jaren.

Bezitters van smartwatches – niet alleen met Android Wear, maar ook met Tizen en Fitbit OS – kunnen wat rustiger slapen: we hebben er nog geen enkele met een getroffen processor kunnen ontdekken. In de Snapdragon Wear 2100 van de huidige Samsung-watches zit bijvoorbeeld een Cortex-A7. Niet alle fabrikanten verraden echter alle details. Ook de weinige bezitters van oudere of bijzonder goedkope Android-smartphones en -tablets kunnen geluk hebben. Maar bijvoorbeeld de Galaxy S4 uit 2013 is er al vatbaar voor.

Met een diagnose-app als Aida64 kun je achterhalen welke processor er in welk Android-apparaat zit. Kijk uit bij de informatie op de website van de fabrikanten of in databases over smartphones: sommige apparaten zijn per regio van verschillende processors voorzien. Als er in een BigLittle-processor maar één processor aan te vallen is (de Snapdragon 810 gebruikt bijvoorbeeld vier snelle Cortex-A57's en vier langzame, niet vatbare A53's), dan is de processor in zijn geheel toch lek.

Vatbaar ondanks App Store

Gebruikers van Android die alleen apps uit de Google Store installeren zijn aan de veilige kant omdat Google de apps zelf test op malware. Maar daar slipt telkens toch wel weer een keer een kwaadwillende app tussendoor. Al zegt Google zelf dat ze nog geen aanval ontdekt hebben. Of dat er geen plaatsgevonden heeft of dat de code onontdekt in sommige apps in de Store op de achtergrond zit te wachten, is daardoor moeilijk in te schatten. De claim van Google betekent niet dat Android in principe veilig is. Het sandbox-principe van Android, waardoor apps niet bij bestanden en het geheugen van andere apps kunnen, helpt in dit geval niet omdat Meltdown en Spectre die beveiligingsmechanismen nou net ondermijnen.

Het is belangrijk de updates van alle apps op tijd te installeren, met name als het om een browser als Chrome of Firefox gaat: het is onduidelijk of de JavaScriptaanvallen onder Android werken. Chrome moet vanaf engine 63 enigszins en vanaf engine 64 duidelijk afgeschermd zijn, en daarmee ook alle apps die Androids WebView-componenten gebruiken. Browsers die in januari nog geen update gekregen hebben, moet je voorlopig nog even niet gebruiken. Dan blijft er nog een restrisico over bij apps met een eigen, niet afgeschermde browser-engine.

Januari-patch

Google heeft patches beschikbaar gesteld die Android moeten wapenen. Die zitten in de security-patches van januari 2018 en zullen daardoor inmiddels op bijna alle (nieuwe) Nexus- en Pixel-apparaten geïnstalleerd zijn. Veel apparaten uit 2017 en 2018 zullen die updates ook krijgen, maar – zoals bij Android helaas gebruikelijk – lang niet alle, en zeker niet de wat oudere apparaten.

De gevreesde performanceverliezen lijken bij de metingen tot nu toe amper relevant. We hebben dat op een Pixel 2, 2 XL en een Nexus 6P nagemeten: de grafische benchmarks 3DMark en GFX Bench doen het iets beter – blijkbaar door andere optimalisaties – maar de processorbenchmarks Geekbench en CoremarkSinglecore leveren waarden die binnen de meetfouttolerantie liggen. Alleen de Multicore-Coremark, die alle kernen belast, daalt met ongeveer vijf procent.

Apparaten zonder januari-patch zijn nog niet concreet aangevallen. Ook enkele andere Android-securitylekken staan nog open zonder dat die massaal misbruikt worden. Zo lang er nog geen concrete exploit onder Android bekend is, volstaan de sowieso benodigde voorzorgsmaatregelen. Installeer zo snel mogelijk de updates van de fabrikant, download apps alleen van betrouwbare bronnen en installeer updates hiervan ook meteen.

Maar toch blijft de situatie wat onbevredigend. De virusscanner van Googles Store moet weer eens de puinhoop opruimen die de Android-afdeling veroorzaakt door updates via de fabrikanten te laten lopen. De meeste smartphone- en tabletfabrikanten geven hun klanten in het geheel geen informatie of doen het af met wat algemeenheden. Samsung en Sony adviseren bijvoorbeeld het installeren van de januari-patch, maar bieden die zelf voor de meeste apparaten helemaal niet aan.