Inżynieria wsteczna aplikacji

Inżynieria wsteczna polega na rozłożeniu gotowej aplikacji na części, aby zrozumieć jej wewnętrzne działanie.

Atakujący wykorzystują ją do znajdowania sekretów, omijania kontroli i wykrywania luk w zabezpieczeniach.

Aplikacje są dystrybuowane jako pakiety: APK na Androidzie lub IPA na iOS.

Są to w zasadzie archiwa, które atakujący może rozpakować i przeanalizować.

Analiza statyczna polega na badaniu aplikacji bez jej uruchamiania.

Atakujący rozpakowuje pakiet i odczytuje jego pliki, zasoby oraz kod, aby poznać jego strukturę i logikę.

Narzędzia mogą przekształcić skompilowany kod z powrotem w postać czytelną dla człowieka.

Na Androidzie narzędzie takie jak jadx konwertuje kod bajtowy na kod źródłowy podobny do Javy, ujawniając sposób działania aplikacji.

Jedną z pierwszych rzeczy, których szukają atakujący, są sekrety zapisane na stałe w kodzie.

Klucze API lub adresy URL pozostawione w kodzie łatwo znaleźć po dekompilacji, dlatego nigdy nie polegaj na ukrywaniu sekretów w aplikacji.

Analiza dynamiczna polega na obserwowaniu aplikacji podczas jej działania.

Atakujący obserwują ruch sieciowy, pamięć i wywołania funkcji, aby zobaczyć rzeczywiste wartości i zachowanie aplikacji, a nie tylko jej kod statyczny.

Narzędzia takie jak Frida pozwalają atakującemu podłączyć się do działającej aplikacji i zmieniać jej zachowanie w czasie rzeczywistym.

Może on pominąć kontrolę bezpieczeństwa lub odczytać tajną wartość w chwili jej użycia.

Po zrozumieniu działania aplikacji atakujący może przy niej manipulować.

Modyfikuje kod, przepakowuje aplikację, a następnie rozpowszechnia jej złamaną lub zmodyfikowaną złośliwie wersję wśród innych użytkowników.

Obfuskacja zmienia nazwy i zaciemnia kod, utrudniając jego odczytanie.

Nie uniemożliwia inżynierii wstecznej, ale spowalnia atakujących i zwiększa wymagany nakład pracy.

Aplikacje mogą sprawdzać, czy zostały zmodyfikowane, za pomocą kontroli integralności, a także wykrywać zrootowane urządzenia lub urządzenia po jailbreaku.

Po wykryciu manipulacji aplikacja może odmówić uruchomienia wrażliwych funkcji.

Najważniejsza lekcja: należy zakładać, że klient może zostać poddany inżynierii wstecznej.

Sekrety należy przechowywać, a kluczowe decyzje egzekwować na serwerze, nad którym atakujący nie ma kontroli.

Jakie jest najbezpieczniejsze założenie podczas projektowania zabezpieczeń aplikacji mobilnej?

Atakujący poddają aplikacje analizie statycznej i dynamicznej, korzystają z dekompilatorów oraz narzędzi do hookowania, takich jak Frida, aby znajdować sekrety i manipulować aplikacją.

Stosuj zaciemnianie kodu i kontrole integralności, aby ich spowalniać, ale ostatecznie ufaj serwerowi, a nie klientowi.