모바일 위협 환경

휴대전화에는 메시지, 사진, 금융 정보와 신원 정보가 저장됩니다.

이처럼 민감한 데이터가 한곳에 모여 있기 때문에 모바일 앱은 iOS와 Android 모두에서 공격자의 주요 표적이 됩니다.

개발자가 제어하는 서버와 달리 모바일 앱은 공격자가 소유할 수도 있는 기기에서 실행됩니다.

공격자는 앱을 자유롭게 검사하고 수정하고 분석할 수 있으므로 기기 자체를 신뢰할 수 없습니다.

iOS는 엄격한 심사 절차로 더 강하게 통제되고, Android는 더 개방적이며 다양한 기기에서 실행됩니다.

두 플랫폼 모두 앱을 격리하는 샌드박싱을 제공하지만, 각 플랫폼에는 고유한 위험이 있습니다.

각 앱은 다른 앱과 시스템에서 격리된 격리 환경에서 실행됩니다.

이 환경은 피해를 제한하지만, 앱 내부의 결함이나 취약한 권한 설정으로 인해 사용자 데이터가 노출될 수 있습니다.

모바일에서 가장 큰 위험 중 하나는 민감한 데이터를 기기에 평문으로 저장하는 것입니다.

일반 파일에 저장된 토큰이나 비밀번호는 기기를 분실하거나 도난당하거나 루팅하면 읽힐 수 있습니다.

서버로 이동하는 데이터는 공용 Wi-Fi에서 가로채일 수 있습니다.

적절한 TLS가 없으면 공격자가 중간자 공격을 통해 트래픽을 읽거나 변경할 수 있습니다.

공격자는 앱을 분해하여 작동 방식을 연구할 수 있습니다.

이 역공학을 통해 숨겨진 키, 비즈니스 로직과 악용하거나 복제할 수 있는 약점을 찾아낼 수 있습니다.

필요한 것보다 많은 권한을 요청하는 앱은 위험을 높입니다.

앱이 침해되면 연락처나 위치 정보 같은 추가 권한이 공격자의 도구가 됩니다.

앱은 여러 타사 라이브러리를 가져와 사용합니다.

취약하거나 악의적인 SDK는 개발자가 알아차리지 못하는 사이 데이터를 유출하거나 비밀 통로를 열 수 있습니다.

루팅된(Android) 기기나 탈옥된(iOS) 기기는 플랫폼에 기본으로 내장된 보호 기능을 제거합니다.

이러한 기기에서는 앱이 의존하는 격리 환경과 저장소 보호 기능이 더 이상 제대로 작동하지 않을 수 있습니다.

OWASP는 가장 흔한 위험을 정리한 모바일 주요 10가지 목록을 관리합니다.

이 목록은 안전하지 않은 저장부터 취약한 암호화와 코드 변조까지, 개발자가 무엇을 우선순위로 삼아야 하는지 안내합니다.

모바일 앱은 왜 자신이 실행되는 기기를 신뢰할 수 없는 대상으로 취급해야 하나요?

모바일 앱은 신뢰할 수 없는 기기에서 실행되며 민감한 데이터를 보관합니다. 주요 위험에는 안전하지 않은 저장, 안전하지 않은 통신, 역공학, 과도한 권한, 위험한 라이브러리와 루팅된 기기가 포함됩니다.

OWASP 모바일 주요 10가지 목록은 방어 방향을 안내합니다.