Panorama de Ameaças Móveis

Os telefones armazenam nossas mensagens, fotos, dados bancários e identidade.

Essa concentração de dados sensíveis torna os aplicativos móveis um alvo privilegiado para invasores, tanto no iOS quanto no Android.

Ao contrário de um servidor que você controla, um aplicativo móvel é executado em um dispositivo que o invasor pode possuir.

O invasor pode inspecionar, modificar e instrumentar o aplicativo livremente, portanto o próprio dispositivo não pode ser considerado confiável.

O iOS é mais restrito, com um processo rigoroso de revisão; o Android é mais aberto e funciona em muitos dispositivos.

Ambos usam isolamento para separar os aplicativos, mas cada plataforma tem seus próprios riscos.

Cada aplicativo é executado em um ambiente isolado, separado dos outros aplicativos e do sistema.

Isso limita os danos, mas falhas no aplicativo ou permissões fracas ainda podem expor dados do usuário.

Um dos principais riscos móveis é armazenar dados sensíveis sem criptografia no dispositivo.

Tokens ou senhas salvos em arquivos sem criptografia podem ser lidos se o dispositivo for perdido, roubado ou tiver acesso de superusuário.

Dados enviados a um servidor podem ser interceptados em uma rede Wi-Fi pública.

Sem o TLS adequado, um invasor pode ler ou alterar o tráfego em um ataque de intermediário.

Os invasores podem desmontar um aplicativo para estudar seu funcionamento.

Essa engenharia reversa revela chaves ocultas, lógica de negócios e vulnerabilidades que podem ser exploradas ou clonadas.

Aplicativos que solicitam mais permissões do que precisam aumentam o risco.

Se o aplicativo for comprometido, essas permissões extras, como acesso a contatos ou localização, tornam-se ferramentas para o invasor.

Os aplicativos incorporam muitas bibliotecas de terceiros.

Um SDK vulnerável ou malicioso pode vazar dados ou abrir uma porta dos fundos sem que o desenvolvedor perceba.

Um dispositivo com acesso de superusuário (Android) ou desbloqueado (iOS) remove as proteções integradas da plataforma.

Nesses dispositivos, o ambiente isolado e as proteções de armazenamento nas quais um aplicativo confia podem deixar de funcionar.

A OWASP mantém uma lista das 10 principais ameaças móveis.

Ela orienta os desenvolvedores sobre o que priorizar, desde armazenamento inseguro até criptografia fraca e adulteração de código.

Os aplicativos móveis são executados em dispositivos não confiáveis e armazenam dados sensíveis. Os principais riscos incluem armazenamento inseguro, comunicação insegura, engenharia reversa, permissões excessivas, bibliotecas arriscadas e dispositivos com acesso de superusuário.

A lista das 10 principais ameaças móveis da OWASP orienta a defesa.