Ответы к вопросам по безопасности мобильных приложений. 1. Основные понятия и определения безопасности мобильных приложений 2
 Скачать 80.07 Kb.
|
14. Экспертный анализ уязвимости мобильных банковских приложенийОтчет основан на данных, полученных экспертами компании Digital Security. Мобильные банковские приложения для iOS: Записывают критичную информацию в лог-файл Не скрывают критичную информацию Уязвимы к обходу директорий Потенциально уязвимы к XSS Потенциально уязвимы к XXE-атакам Уязвимости, связанные с некорректной работой SSL Потенциально уязвимы к SQLite Лишь небольшое количество мобильных банков реализуют механизмы защиты. Все рассмотренные приложения содержат хотя бы одну уязвимость. Большая часть приложений для iOS не используют параметры компиляции, предназначенные для защиты от эксплуатации ошибок, связанных с некорректной работой с памятью. Мобильные банковские приложения для Android: Используют IMEI и IMSI в своей работе Неправильно используют механизмы межпроцессного взаимодействия Потенциально уязвимы к SQLite Потенциально уязвимы к XSS Уязвимости, связанные с некорректной работой SSL 15. Угрозы LTE беспроводных сетейПервая очевидная угроза – атаки DoS (Denial of Service) на сеть. Емкость радиоканала в LTE предполагается большая, но все же она имеет ограничения. Сетевые ресурсы базовой станции делятся между абонентами, и хотя есть ограничения для монополизации полосы отдельным пользователем, тем не менее атака на отказ в обслуживании сети вполне возможна. По мнению Алексея Лукацкого, исчезновение RNC привело к тому, что доступ к ядру сети LTE возможен непосредственно с базовой станции. Например, атаку, провоцирующую отказ мобильной сети, можно выполнить с помощью специального троянца, который активируется в определенной соте или географических координатах, либо хакер может перехватить контроль над отдельной базовой станцией и вывести ее из строя. «Угрозы начинаются не на канальном уровне LTE, а на более высоком уровне протокола TCP/IP со всеми его известными особенностями и применением злоумышленниками, –пояснил Голованов. – Тот же самый пресловутый вариант SYN Flood как форма проведения DoS-атаки будет работать и в сетях LTE». Вторая угроза – вирусные атаки. Хотя таким атакам подвержены устройства, а не сеть, технология LTE увеличивает скорость распространения вредоносных программ, поскольку сам этот стандарт является высокоскоростным. «Проблемы начинаются при установке пользователями дополнительных прошивок или при получении полного доступа к мобильному устройству, когда при неверной конфигурации злоумышленникам становятся доступны все ресурсы телефона через тот же протокол SSH (Secure SHell), – предупредил Голованов. – Сейчас ограничения скорости при сканировании в сетях 3G не позволяют злоумышленникам находить потенциально уязвимые устройства. Ситуация изменится с повсеместным распространением LTE». К тому же плата за пользование услугами четвертого поколения вряд ли будет зависеть от объема трафика – тарифы будут либо безлимитными, либо с ограничением по полосе пропускания. Поэтому пользователи не смогут быстро заметить трафик, порождаемый вредоносными программами и встроенными в них сканерами уязвимостей. А значит, у разработчиков вирусов будет больше возможностей для монетизации своих мобильных разработок: от слежки за конкретным человеком до воровства одноразовых паролей в системах дистанционного банковского обслуживания. Третья угроза – атаки на дополнительные сервисы. Собственно, LTE разрабатывалось не только для обеспечения доступа к Интернету мобильных пользователей, а скорее как платформа для внедрения новых услуг: видео, игровых и многих других. Эти сервисы также могут быть уязвимы для самых разнообразных атак – как из Интернета, так и из мобильной сети. Вполне возможно, что, атаковав один из сервисов, злоумышленники смогут внедрить в клиентские устройства опасные программы. Угроза пользователям LTE может исходить и от сервисов двойного назначения. Мобильные операторы имеют так много ценной информации об абонентах, что рано или поздно захотят ее монетизировать. Типичным примером являются LBS-сервисы. С одной стороны, их можно использовать, например, для контроля за перемещением грузов, для определения местонахождения детей и для оповещения о чрезвычайных ситуациях, но с другой – их же можно использовать для незаконной слежки. С распространением интеллектуальных устройств число потенциально опасных сервисов будет только возрастать. Взлом такого сервиса позволит злоумышленникам получить доступ к ценной информации провайдера и построить новые схемы преступлений и незаконного получения денег. |