Fortnite sur mobile est un succès - mais est-ce sûr sur Android ?

Comme les fidget spinners et Snapchat avant lui, Fortnite n'est pas seulement le jeu le plus populaire au monde, c'est aussi le plus en vogue. Des millions d'adolescents ont sauté sur le jeu de tir gratuit, accessible et amusant, grâce à son lancement sur presque tous les appareils de jeu modernes de la planète. C'était, bien sûr, omettre Android, avec ses 2 milliards d'utilisateurs et sans doute la plus grande base d'installation. Contrairement à ses lancements rapides sur des plates-formes mobiles similaires basées sur ARM, la Nintendo Switch et iOS, Android était plutôt la giroflée de la danse, regardant avec envie ses pairs heureux alors qu'ils construisaient des murs et montaient dans des caddies.

Epic Games, les développeurs auto-éditeurs de Fortnite, étaient silencieux à propos de la sortie, ne publiant aucune information jusqu'à ce que les rumeurs commencent à enfler qu'il s'agirait d'une exclusivité Samsung. Peu de temps après cette rumeur, d'autres rumeurs, beaucoup plus flagrantes, circulaient sur le projet d'Epic de contourner le Google Play Store pour éviter la réduction de 30% que Google prend aux développeurs pour atteindre les utilisateurs, fournir de la bande passante et des contrôles de sécurité. Cela a été confirmé quelques semaines plus tard après qu'un utilisateur a trouvé un média intégré dans un site Epic qui a alerté les utilisateurs qu'ils devraient apporter des modifications de sécurité à leurs appareils. Ainsi, après que Tim Sweeney, le PDG d'Epic Games, ait plaidé sur Twitter en faveur de sa décision, j'ai posé ma propre question.

Donc, @FortniteGame ne s'installera-t-il que sur Oreo ou s'installera-t-il également sur les 90 % des autres téléphones Android qui n'ont pas la fenêtre contextuelle d'installation, laissant ainsi des millions de téléphones non sécurisés ouverts pour être exploités par des logiciels malveillants ? https://t.co/HUihEnDwNt 7 août 2018

Voir plus

Le fil de discussion précédent a détaillé une discussion concernant mes préoccupations concernant la sécurité des utilisateurs dans un environnement de plus en plus trouble où l'accès aux comptes d'utilisateurs, leurs données et leurs détails financiers sont facilement et facilement hameçonnés et vendus. L'argument de Tim était largement centré sur les libertés fondamentales des plates-formes ouvertes, telles que Windows, où Epic a largement bâti sa réputation, et pour être le pionnier d'une échappée aux limites des magasins d'applications monopolistiques, comme ceux des autres plates-formes que Fortnite peut, sans doute, crédit comme partie de la raison de son succès phénoménal.

Il convient de noter que Tim a un point fort ici : les plates-formes ouvertes offrent aux consommateurs plus d'options grâce à des places de marché concurrentielles. Windows est en grande partie la plate-forme dominante pour les applications et les jeux grâce à sa facilité de développement héritée, à l'absence de restrictions sur les installations d'applications tierces par défaut, etc. Mais en même temps, Windows avait payé un lourd tribut pour cette même liberté, avec des milliers de trous permettant des millions d'exploits, de logiciels malveillants, de virus, de vers, etc. Ce n'est que dans les versions les plus récentes que le point culminant de plus de 20 ans de changements de sécurité incrémentiels et de plus en plus obligatoires a endigué le flux d'attaques.

Android, à bien des égards, est encore plus libre que Windows, grâce à sa base open source offrant un accès facile à l'agriculture d'exploitation, ainsi qu'à l'attitude de laisser faire de Google vis-à-vis du forking, du skinning et des mises à jour de sécurité obligatoires. Cela signifie que les utilisateurs sont largement répartis sur 10 versions différentes d'Android, avec un énorme 50% utilisant encore des logiciels entre 2 et 5 ans. La seule défense contre ce cauchemar de sécurité est la puissance croissante de Google sur l'API Google Play Services, qui est nécessaire pour charger le Google Play Store aux côtés d'une foule d'autres services Google.

Mais avant que vous ne rassembliez tous vos fourches pour me traquer sur Twitter, permettez-moi de noter que je suis d'accord, sans réserve, que la réduction de Google est sans doute beaucoup trop élevée pour ce qu'ils offrent aux développeurs en retour. Le même cas s'applique à presque tous les autres magasins - de Steam à Origin, GOG à Playstation - le propriétaire contrôle la plate-forme. Mais en même temps, il n'y a rien d'intrinsèquement mal à cela, car ces propriétaires ont dépensé de l'argent pour créer un vaste public et augmenter la visibilité de titres qui n'auraient normalement pas été visibles du tout. On dirait que dans ce cas, Epic, heureux d'avoir utilisé le renforcement d'autres plates-formes où les magasins d'applications sont des monopoles, tenait à utiliser leur grande popularité pour contourner Google.

Encore une fois, il n'y a rien de mal à cela en surface. Android est conçu pour permettre le chargement latéral d'applications dès la conception. Mais le problème ici est que sur la grande majorité des appareils de plus de 10 mois environ, le chargement latéral (téléchargement direct du Web ouvert sur le téléphone) des applications nécessite la désactivation de la plus grande fonction de sécurité d'Android - ce qui, entre les mains d'un utilisateur expérimenté, est déjà risqué – mais lorsque des millions d'utilisateurs tentent simplement de mettre la main sur le jeu le plus en vogue, la sécurité est toujours une énorme réflexion après coup.

Le chargement latéral est l'un des moyens les plus simples d'attaquer un appareil Android en l'ouvrant sur le monde. Là où cette fonction empêchait autrefois * toute * application non-Google Play Store de s'exécuter sur les appareils, maintenant tout ce qui est emballé au format .apk est mûr. Toute application existante, y compris les navigateurs Web ou d'autres applications existantes, est alors autorisée à extraire et à exécuter des packages .apk - c'est essentiellement comme se connecter à Windows en tant qu'administrateur et désactiver cette invite d'installation. La décision d'Epic poussera simplement les hameçonneurs et autres à faire de la publicité et à pousser des logiciels aux utilisateurs de Fortnite qui offrent des cadeaux, des astuces, etc. pour infecter les appareils.

Pour lutter contre ces problèmes, le programme d'installation de Fortnite .apk envoie une notification qui, une fois tapée, renvoie les utilisateurs à l'onglet où ils ont activé le chargement latéral pour le réactiver. Mais il est probable qu'à ce stade, la plupart des utilisateurs mettront à jour le jeu ou y joueront et le feront simplement glisser pour le faire plus tard ou parce qu'ils s'en fichent tout simplement. Il n'y a aucune directive obligatoire que cette option soit activée pour que le jeu fonctionne. Tim mentionne que Google Play Store est un théâtre de sécurité, et dans certains cas, il a raison. Le propre magasin de Google a été surpris en train d'héberger des applications douteuses des dizaines de fois, et par conséquent, il filtre maintenant plus fortement les nouvelles applications et exécute des contrôles constants pour s'assurer que les mises à jour ne se faufilent pas dans du code malveillant.

Mais Epic rejette simplement la faute sur Google pour ses premières failles de sécurité et loue ses efforts les plus récents est hors de propos. De nombreux téléphones pré-Oreo exécuteront ce logiciel sans réactiver les protections, tout comme les utilisateurs d'Oreo et de Pie laisseront simplement Chrome ouvert au chargement des applications. Bien sûr, ce n'est pas à l'échelle du système, mais cela ouvre également un énorme trou exploitable qui n'existait pas auparavant. Google ne peut pas réécrire le passé et résoudre les problèmes de sécurité sur un milliard de téléphones en une seule action, mais Epic peut certainement éviter d'être le méchant pour des millions d'utilisateurs en jouant selon les mêmes règles que tout le monde.