Небезопасное хранение и обмен данными

Две наиболее распространённые уязвимости мобильных приложений — это небезопасное хранение данных и небезопасная коммуникация. Они входят в OWASP Mobile Top 10.

Обе возникают из-за того, что разработчики слишком сильно доверяют устройству и плохо защищают данные.

Приложения хранят данные в /data/data/<package>/:

• SharedPreferences: файлы XML с парами «ключ — значение».
• базы данных SQLite.
• Внутренние и внешние файлы.

Специалисты по тестированию безопасности проверяют каждый из этих источников на наличие секретов, хранящихся в открытом виде.

Распространённая уязвимость — хранение паролей, токенов или PII в открытом виде в SharedPreferences или базе данных.

На устройстве с RootCheck, через резервную копию или с помощью Objection злоумышленник может прочитать их напрямую. Конфиденциальные данные следует шифровать или хранить в защищённом аппаратном хранилище.

Данные, записанные во внешнее хранилище (область SD-карты), в старых версиях Android доступны для чтения всем, а также любому приложению с разрешением на работу с хранилищем.

Сохранение там конфиденциальных файлов делает их доступными для других приложений. Записи журнала, сохраняемые на диске, создают аналогичную утечку.

К защищённым вариантам относятся Android Keystore (ключи хранятся в аппаратном хранилище и никогда не передаются приложению) и EncryptedSharedPreferences.

Keystore может выполнять криптографические операции, не раскрывая ключ, что гораздо безопаснее, чем зашитый в коде ключ.

Небезопасная коммуникация означает, что данные передаются без надлежащей защиты. Худший вариант — незашифрованный HTTP, при котором любой участник сети может прочитать или изменить трафик.

Для всего конфиденциального трафика необходимо использовать HTTPS/TLS.

Чтобы изучить трафик, направьте устройство через прокси для перехвата, например Burp Suite. Установите сертификат CA Burp на устройство, чтобы можно было читать HTTPS.

Это позволяет увидеть конечные точки API, параметры и любые конфиденциальные данные, передаваемые по сети.

Качественно разработанные приложения используют закрепление сертификата, чтобы отклонять любые сертификаты, кроме собственного, блокируя работу обычного прокси.

Как Вы уже узнали, обход закрепления SSL с помощью Frida отключает эту защиту, позволяя перехватывать трафик и оценивать фактическую безопасность API.

Даже при использовании HTTPS встречаются такие недостатки, как доверие ко всем сертификатам, принятие просроченных сертификатов или отключение проверки имени узла — часто это добавляют, чтобы упростить разработку.

Из-за этого злоумышленник может провести атаку «человек посередине», несмотря на наличие TLS.

Ещё две причины утечек:

• android:allowBackup="true" позволяет любому, у кого есть доступ к устройству, извлечь данные приложения через adb backup.
• Подробный вывод logcat может содержать токены или PII.

В рабочей среде и то и другое следует отключать или очищать.

Две часто упускаемые из виду утечки: копирование конфиденциальных данных в буфер обмена (в старых версиях Android его содержимое доступно другим приложениям) и системный снимок экрана, создаваемый при сворачивании приложения.

Банковские приложения предотвращают это с помощью флага окна FLAG_SECURE, который блокирует снимки экрана и предварительный просмотр в переключателе задач.

Вспомните, где в Android безопаснее всего хранить криптографические ключи.

Теперь Вы понимаете, что такое небезопасное хранение данных и коммуникации:

• Приложения допускают утечки секретов в открытом виде через SharedPreferences, базы данных, внешнее хранилище и журналы.
• Храните секреты в Android Keystore или EncryptedSharedPreferences.
• Небезопасные коммуникации варьируются от незашифрованного HTTP до слабой проверки TLS; для перехвата используйте Burp.
• Обходите закрепление сертификата с помощью Frida; отключайте allowBackup и очищайте журналы.

Вы завершили курс по тестированию безопасности мобильных приложений.