Ад доступу да мікрафона, камеры і месцазнаходжання прылады карыстальніка да стварэння пераканаўчых клонаў прыкладанняў, існуе мноства сістэмных праграмістаў, якія выкарыстоўваюць для доступу і выкарыстання асабістых даных нічога не падазравалых карыстальнікаў мабільных дадаткаў.
Ніжэй прыведзены некаторыя важныя пагрозы бяспекі мабільных прыкладанняў, пра якія вам варта ведаць.
1. Адсутнасць шматфактарнай аўтэнтыфікацыі
Большасць з нас не задавальняе выкарыстанне аднаго і таго ж небяспечнага пароля ў некалькіх уліковых запісах. Цяпер падумайце аб колькасці карыстальнікаў. Незалежна ад таго, ці быў пароль карыстальніка ўзламаны ў выніку ўзлому ў іншай арганізацыі, праграмісты часта правяраюць паролі ў іншых праграмах, што можа прывесці да атакі на вашу арганізацыю.
Шматфактарная аўтэнтыфікацыя, часта з выкарыстаннем двух з трох патэнцыйных элементаў пацверджання, не залежыць цалкам ад пароля карыстальніка перад забеспячэннем асобы карыстальніка. Гэтым дадатковым узроўнем аўтэнтыфікацыі можа быць адказ на асабісты запыт, код пацверджання SMS, які трэба ўключыць, або біяметрычная аўтэнтыфікацыя (адбітак пальца, сятчатка і г.д.).
2. Няздольнасць шыфраваць належным чынам
Шыфраванне - гэта шлях да пераўтварэння інфармацыі ў код, які немагчыма расшыфраваць, які пажадана толькі праглядаць пасля таго, як ён быў пераведзены назад з дапамогай сакрэтнага ключа. Такім чынам, шыфраванне змяняе паслядоўнасць кодавага замка, аднак будзьце асцярожныя, праграмісты ўмеюць узломваць замкі.
Як паказвае Symantec, 13.4% прылад пакупнікоў і 10.5% прылад буйных прадпрыемстваў не маюць уключанага шыфравання. Гэта азначае, што калі праграмісты атрымаюць доступ да гэтых прылад, асабістая інфармацыя будзе даступная ў выглядзе звычайнага тэксту.
На жаль, кампаніі-распрацоўшчыкі праграмнага забеспячэння, якія выкарыстоўваюць шыфраванне, не застрахаваны ад памылак. Распрацоўшчыкі - людзі і здзяйсняюць памылкі, якімі праграмісты могуць злоўжываць. Што тычыцца шыфравання, важна ацаніць, наколькі проста можа быць узламаць код вашага прыкладання.
Гэтая распаўсюджаная ўразлівасць бяспекі можа мець сур'ёзныя наступствы, уключаючы крадзеж абароненых інавацый, крадзеж кода, парушэнне канфідэнцыяльнасці і шкоду рэпутацыі, і гэта толькі некаторыя з іх.
3. Зваротная інжынерыя
Ідэя праграмавання адкрывае мноства прыкладанняў перад пагрозай зваротнага праектавання. Здаровая колькасць метададзеных у кодзе, прызначаным для адладкі, таксама дапамагае зламысніку зразумець, як функцыянуе праграма.
Зваротная інжынерыя можа быць выкарыстана, каб выявіць, як функцыянуе прыкладанне на бэкэнде, выявіць алгарытмы шыфравання, змяніць зыходны код і многае іншае. Ваш уласны код можа быць выкарыстаны супраць вас і пракласці шлях для хакераў.
4. Выкрыццё ўкаранення шкоднаснага кода
Створаны карыстальнікамі кантэнт, падобны да формаў і зместу, часта можна ігнараваць з-за чаканай пагрозы бяспецы мабільных прыкладанняў.
Мы павінны выкарыстоўваць структуру ўваходу, напрыклад. Калі карыстальнік уводзіць сваё імя карыстальніка і пароль, праграма размаўляе з дадзенымі на баку сервера для аўтэнтыфікацыі. Праграмы, якія не абмяжоўваюць, якія сімвалы карыстальнік можа эфектыўна ўводзіць, рызыкуюць хакерамі ўвесці код для доступу да сервера.
Калі зламысны карыстальнік уводзіць радок JavaScript у структуру ўваходу, якая не абараняе ад сімвалаў, такіх як эквівалентны знак або двукроп'е, ён, несумненна, можа атрымаць прыватную інфармацыю.
5. Захоўванне дадзеных
Небяспечнае захоўванне даных можа адбывацца ў розных месцах вашага прыкладання. Гэта ўключае ў сябе Базы дадзеных SQL, крамы печыва, двайковыя сховішчы даных і многае іншае.
Калі хакер атрымлівае доступ да прылады або базы дадзеных, ён можа змяніць сапраўднае прыкладанне, каб перадаваць інфармацыю на свае машыны.
Нават сучасныя каштоўныя паперы шыфравання бескарысныя, калі прылада ўзламана або ўсталявана, што дазваляе хакерам абыходзіць абмежаванні аперацыйнай сістэмы і абыходзіць шыфраванне.
Як правіла, небяспечнае захоўванне дадзеных выклікана адсутнасцю працэсаў для працы з кэшам дадзеных, малюнкаў і націсканняў клавіш.
Самы эфектыўны спосаб абараніць свой мабільны
Нягледзячы на пастаянную барацьбу за тое, каб трымаць хакераў пад кантролем, ёсць некаторыя агульныя напрамкі перадавых практык бяспекі, якія забяспечваюць буйныя мабільныя кампаніі.
Лепшыя практыкі бяспекі мабільных прыкладанняў
1. Выкарыстоўвайце аўтэнтыфікацыю на баку сервера
У ідэальным свеце запыты шматфактарнай аўтэнтыфікацыі дазволеныя на баку сервера, а толькі даступная аўтарызацыя праходзіць паспяхова. Калі ваша праграма чакае, што даныя будуць захоўвацца на баку кліента і быць даступнымі на прыладзе, пераканайцеся, што доступ да зашыфраваных даных будзе даступны толькі пасля паспяховай праверкі ўліковых дадзеных.
2. Выкарыстоўвайце алгарытмы крыптаграфіі і кіраванне ключамі
Адна са стратэгій барацьбы са збоямі, звязанымі з шыфраваннем, - не захоўваць канфідэнцыяльныя даныя на мабільным тэлефоне. Гэта ўключае ў сябе жорсткія ключы і паролі, якія могуць быць даступныя ў выглядзе звычайнага тэксту або выкарыстоўвацца зламыснікам для доступу да сервера.
3. Пераканайцеся, што ўсе ўводы карыстальніка адпавядаюць стандартам праверкі
Хакеры рэзка правяраюць вашу інфармацыю. Яны шукаюць у вашым дадатку магчымасці пацверджання скажонай інфармацыі.
Праверка ўводу - гэта метадалогія, якая гарантуе, што праз поле ўводу можа прайсці толькі звычайная інфармацыя. Напрыклад, падчас загрузкі выявы файл павінен мець пашырэнне, якое адпавядае стандартным пашырэнням файла выявы, і мець разумны памер.
4. Стварыце мадэлі пагроз для абароны даных
Мадэляванне пагроз - гэта метад, які выкарыстоўваецца для глыбокага разумення цяжкасцей, якія вырашаюцца, дзе праблемы могуць існаваць і працэдур абароны ад іх.
Добра інфармаваная мадэль пагроз патрабуе ад каманды бачыць, як унікальныя аперацыйныя сістэмы, платформы, структуры і знешнія API перадаюць і захоўваюць свае даныя. Пашырэнне вяршыні фрэймворкаў і падключэнне да старонніх API таксама могуць адкрыць для вас іх няўдачы.
5. Абфускацыя для прадухілення зваротнага праектавання
У многіх выпадках распрацоўшчыкі валодаюць неабходнымі здольнасцямі і інструментамі для стварэння пераканаўчых копій карыстацкага інтэрфейсу мабільнага прыкладання без доступу да зыходнага кода. Эксклюзіўная бізнес-логіка, зноў жа, патрабуе значна больш ідэй і намаганняў.
Распрацоўшчыкі выкарыстоўваюць водступы, каб зрабіць свой код больш чытэльным для людзей, хоць ПК не можа клапаціцца аб правільным фарматаванні. Гэта прычына мініфікацыі, якая выдаляе ўсе прабелы, захоўвае функцыянальнасць, але ўскладняе разуменне кода хакерам.
Для больш цікавых тэхналагічных блогаў наведайце наш сайт.