Krajobraz zagrożeń mobilnych

Telefony przechowują nasze wiadomości, zdjęcia, dane bankowe i informacje o tożsamości.

Takie nagromadzenie wrażliwych danych sprawia, że aplikacje mobilne są głównym celem atakujących — zarówno na platformie iOS, jak i Android.

W przeciwieństwie do kontrolowanego przez Ciebie serwera aplikacja mobilna działa na urządzeniu, którego właścicielem może być atakujący.

Może on swobodnie analizować i modyfikować aplikację oraz monitorować jej działanie, dlatego samemu urządzeniu nie można ufać.

iOS jest bardziej zamknięty i podlega rygorystycznemu procesowi weryfikacji, natomiast Android jest bardziej otwarty i działa na wielu urządzeniach.

Obie platformy stosują izolowanie aplikacji, ale każda z nich wiąże się z innymi zagrożeniami.

Każda aplikacja działa w piaskownicy, odizolowana od innych aplikacji i systemu.

Ogranicza to możliwe szkody, ale luki w aplikacji lub zbyt szerokie uprawnienia nadal mogą ujawnić dane użytkownika.

Jednym z głównych zagrożeń mobilnych jest przechowywanie wrażliwych danych w jawnej postaci na urządzeniu.

Tokeny lub hasła zapisane w zwykłych plikach mogą zostać odczytane po zgubieniu, kradzieży lub zrootowaniu urządzenia.

Dane przesyłane do serwera mogą zostać przechwycone w publicznej sieci Wi-Fi.

Bez odpowiedniego TLS atakujący może odczytywać lub modyfikować ruch w ramach ataku typu man-in-the-middle.

Atakujący mogą rozłożyć aplikację na części, aby zbadać sposób jej działania.

Taka inżynieria wsteczna ujawnia ukryte klucze, logikę biznesową i słabe punkty, które można wykorzystać lub skopiować.

Aplikacje żądające większej liczby uprawnień, niż potrzebują, zwiększają ryzyko.

Jeśli aplikacja zostanie przejęta, te dodatkowe uprawnienia, na przykład dostęp do kontaktów lub lokalizacji, stają się narzędziami atakującego.

Aplikacje korzystają z wielu bibliotek firm trzecich.

Podatny na ataki lub złośliwy SDK może ujawniać dane albo otworzyć tylną furtkę bez wiedzy dewelopera.

Urządzenie zrootowane (Android) lub po jailbreaku (iOS) traci wbudowane zabezpieczenia platformy.

Na takich urządzeniach piaskownica i mechanizmy ochrony pamięci masowej, na których polega aplikacja, mogą już nie działać.

Organizacja OWASP prowadzi listę Mobile Top 10, obejmującą najczęstsze zagrożenia.

Pomaga ona deweloperom ustalić priorytety — od niebezpiecznego przechowywania danych po słabą kryptografię i manipulowanie kodem.

Dlaczego aplikacja mobilna musi traktować urządzenie, na którym działa, jako niezaufane?

Aplikacje mobilne działają na niezaufanych urządzeniach i przechowują wrażliwe dane. Do głównych zagrożeń należą niebezpieczne przechowywanie danych, niebezpieczna komunikacja, inżynieria wsteczna, nadmierne uprawnienia, ryzykowne biblioteki i zrootowane urządzenia.

Mobile Top 10 OWASP pomaga opracować zabezpieczenia.