Unsichere Speicherung und Kommunikation

Zwei der häufigsten mobilen Schwachstellen sind unsichere Datenspeicherung und unsichere Kommunikation. Sie werden in den OWASP Mobile Top 10 aufgeführt.

Beide entstehen dadurch, dass Entwickler dem Gerät zu sehr vertrauen und Daten unzureichend schützen.

Apps speichern Daten unter /data/data/<package>/:

• SharedPreferences: XML-Dateien mit Schlüssel-Wert-Paaren.
• SQLite-Datenbanken.
• Interne und externe Dateien.

Pentester prüfen jede dieser Speicherformen auf Geheimnisse, die im Klartext gespeichert sind.

Ein häufiger Fehler ist das Speichern von Passwörtern, Tokens oder personenbezogenen Daten im Klartext in SharedPreferences oder einer Datenbank.

Auf einem Gerät mit Root-Zugriff, über ein Backup oder mit Objection kann ein Angreifer diese Daten direkt auslesen. Sensible Daten sollten verschlüsselt oder in sicherer Hardware gespeichert werden.

Daten, die im externen Speicher (dem Bereich der SD-Karte) abgelegt werden, sind unter älteren Android-Versionen für alle lesbar und für jede App mit Speicherberechtigung zugänglich.

Das Speichern sensibler Dateien dort gibt sie anderen Apps preis. Auf Datenträger geschriebene Protokolle sind ein ähnliches Datenleck.

Zu den sicheren Optionen gehören der Android Keystore (Schlüssel werden in Hardware gespeichert und der App niemals offengelegt) und EncryptedSharedPreferences.

Der Keystore kann kryptografische Operationen ausführen, ohne den Schlüssel preiszugeben. Das ist wesentlich sicherer als ein fest codierter Schlüssel im Code.

Unsichere Kommunikation bedeutet, dass Daten ohne angemessenen Schutz übertragen werden. Der schlimmste Fall ist HTTP im Klartext, bei dem jeder im Netzwerk den Datenverkehr lesen oder verändern kann.

Der gesamte sensible Datenverkehr muss HTTPS/TLS verwenden.

Um Datenverkehr zu untersuchen, leiten Sie das Gerät über einen abfangenden Proxy wie Burp Suite. Sie installieren das CA-Zertifikat von Burp auf dem Gerät, damit HTTPS gelesen werden kann.

Dadurch werden API-Endpunkte, Parameter und sämtliche sensiblen Daten während der Übertragung sichtbar.

Gut entwickelte Apps verwenden Zertifikats-Pinning, um jedes Zertifikat außer dem eigenen zurückzuweisen und einen einfachen Proxy abzuwehren.

Wie Sie gelernt haben, deaktiviert ein Frida-Bypass für SSL-Pinning diese Funktion, sodass Sie den tatsächlichen API-Schutz weiterhin abfangen und bewerten können.

Auch bei HTTPS gibt es Schwachstellen, etwa das Vertrauen in alle Zertifikate, das Akzeptieren abgelaufener Zertifikate oder das Deaktivieren der Hostnamenprüfung – häufig nachträglich eingebaut, um die Entwicklung zu erleichtern.

Dadurch kann ein Angreifer trotz vorhandenem TLS einen Man-in-the-Middle-Angriff durchführen.

Zwei weitere Datenlecks:

• android:allowBackup="true" ermöglicht es jedem mit Zugriff auf das Gerät, App-Daten über adb backup zu extrahieren.
• Ausführliche logcat-Ausgaben können Tokens oder personenbezogene Daten ausgeben.

Beides sollte in der Produktion deaktiviert oder bereinigt werden.

Zwei häufig übersehene Datenlecks: das Kopieren sensibler Daten in die Zwischenablage (unter älteren Android-Versionen für andere Apps lesbar) und der System-Screenshot, der beim Wechsel der App in den Hintergrund erstellt wird.

Banking-Apps wirken dem mit dem Fenster-Flag FLAG_SECURE entgegen, das Screenshots und die Vorschau im Task-Manager blockiert.

Rufen Sie sich den sichersten Ort für die Aufbewahrung kryptografischer Schlüssel unter Android ins Gedächtnis.

Sie verstehen nun unsichere Speicherung und Kommunikation:

• Apps geben Geheimnisse im Klartext in SharedPreferences, Datenbanken, externem Speicher und Protokollen preis.
• Speichern Sie Geheimnisse im Android Keystore oder in EncryptedSharedPreferences.
• Unsichere Kommunikation reicht von HTTP im Klartext bis zu schwacher TLS-Validierung; fangen Sie den Datenverkehr mit Burp ab.
• Umgehen Sie Zertifikats-Pinning mit Frida; deaktivieren Sie allowBackup und bereinigen Sie Protokolle.

Sie haben den Kurs zu mobilen Penetrationstests abgeschlossen.