Güvensiz Depolama ve İletişim

En yaygın mobil güvenlik açıklarından ikisi güvenli olmayan veri depolama ve güvenli olmayan iletişimdir. Bunlar OWASP Mobile Top 10'da yer alır.

Her ikisi de geliştiricilerin cihaza gereğinden fazla güvenmesinden ve verileri yetersiz korumasından kaynaklanır.

Uygulamalar verileri /data/data/<package>/ konumunda tutar:

• SharedPreferences: XML anahtar-değer dosyaları.
• SQLite veritabanları.
• Dahili ve harici dosyalar.

Sızma testi uzmanları, açık biçimde saklanan gizli bilgileri bulmak için her birini inceler.

Sık rastlanan bir kusur, parolaların, belirteçlerin veya PII'ın düz metin olarak SharedPreferences'ta ya da bir veritabanında saklanmasıdır.

Root erişimli bir cihazda, yedek üzerinden veya Objection kullanarak saldırgan bunları doğrudan okuyabilir. Hassas veriler şifrelenmeli veya güvenli donanımda tutulmalıdır.

Harici depolamaya (SD kart alanına) yazılan veriler, eski Android sürümlerinde herkes tarafından okunabilir ve depolama iznine sahip tüm uygulamalar tarafından erişilebilir.

Hassas dosyaların buraya kaydedilmesi, onları diğer uygulamalara açık hâle getirir. Diske yazılan günlükler de benzer bir veri sızıntısıdır.

Güvenli seçenekler arasında Android Keystore (anahtarlar donanımda saklanır ve uygulamaya hiçbir zaman açığa çıkarılmaz) ve EncryptedSharedPreferences bulunur.

Keystore, anahtarı açığa çıkarmadan kriptografik işlemler gerçekleştirebilir; bu, kod içinde sabit kodlanmış bir anahtardan çok daha güvenlidir.

Güvenli olmayan iletişim, verilerin uygun koruma olmadan iletilmesi anlamına gelir. En kötü durum, ağdaki herkesin trafiği okuyabildiği veya değiştirebildiği açık metin HTTP'dir.

Tüm hassas trafik HTTPS/TLS kullanmalıdır.

Burp Suite gibi bir yakalayıcı proxy üzerinden yönlendirin. HTTPS'nin okunabilmesi için Burp'ün CA sertifikasını cihaza yükleyin.

Bu işlem API uç noktalarını, parametreleri ve aktarım sırasında bulunan hassas verileri ortaya çıkarır.

İyi tasarlanmış uygulamalar, kendilerine ait olmayan tüm sertifikaları reddetmek ve temel bir proxy'yi etkisiz kılmak için sertifika sabitlemesi kullanır.

Öğrendiğiniz gibi, Frida ile SSL sabitlemesini atlamak bunu devre dışı bırakır; böylece gerçek API güvenliğini yine de yakalayıp değerlendirebilirsiniz.

HTTPS kullanılsa bile tüm sertifikalara güvenmek, süresi dolmuş sertifikaları kabul etmek veya ana bilgisayar adı doğrulamasını devre dışı bırakmak gibi kusurlar bulunabilir; bunlar genellikle geliştirmeyi kolaylaştırmak için eklenir.

TLS mevcut olmasına rağmen bunlar saldırganın araya girme saldırısı gerçekleştirmesine olanak tanır.

İki ek sızıntı:

• android:allowBackup="true", cihazı olan herkesin adb backup aracılığıyla uygulama verilerini çıkarmasına izin verir.
• Ayrıntılı logcat çıktısı belirteçleri veya PII'ı yazdırabilir.

Üretim ortamında her ikisi de devre dışı bırakılmalı veya temizlenmelidir.

Sıklıkla gözden kaçan iki sızıntı: hassas verilerin panoya kopyalanması (eski Android sürümlerinde diğer uygulamalar tarafından okunabilir) ve uygulama arka plana geçtiğinde sistem tarafından alınan ekran görüntüsü.

Bankacılık uygulamaları bunu, ekran görüntülerini ve görev değiştirici önizlemesini engelleyen FLAG_SECURE pencere işaretiyle azaltır.

Android'de kriptografik anahtarları saklamak için en güvenli yeri hatırlayın.

Artık güvenli olmayan depolama ve iletişimleri anlıyorsunuz:

• Uygulamalar düz metin gizli bilgilerini SharedPreferences'ta, veritabanlarında, harici depolamada ve günlüklerde sızdırır.
• Gizli bilgileri Android Keystore veya EncryptedSharedPreferences içinde saklayın.
• Güvenli olmayan iletişimler açık metin HTTP'den zayıf TLS doğrulamasına kadar uzanır; trafiği Burp ile yakalayın.
• Sertifika sabitlemesini Frida ile etkisiz hâle getirin; allowBackup'ı devre dışı bırakın ve günlükleri temizleyin.

Mobil Uygulama Sızma Testi kursunu tamamladınız.