מגישה למיקרופון, למצלמה ולמיקום של מכשיר המשתמש ועד לבניית שיבוטים משכנעים של יישומים, ישנן מערכות רבות שבהן מתכנתים משתמשים כדי לגשת ולנצל נתונים אישיים של משתמשי אפליקציות ניידות תמימים.

להלן כמה איומי אבטחה חשובים של יישומים ניידים שאתה צריך לדעת עליהם.

 

1. היעדר אימות רב-גורמי

רובנו לא מסתפקים בשימוש באותה סיסמה לא מאובטחת במספר חשבונות. עכשיו שקול את מספר המשתמשים שיש לך. ללא קשר לשאלה אם סיסמת המשתמש נפגעה עקב הפסקה בארגון אחר, מתכנתים בודקים לעתים קרובות סיסמאות באפליקציות אחרות, מה שעלול להוביל להתקפה על הארגון שלך.

אימות רב-גורמי, לעתים קרובות תוך שימוש בשניים משלושת מרכיבי האישור הפוטנציאליים, אינו תלוי לחלוטין בסיסמת המשתמש לפני הבטחת זהות המשתמש. שכבת אימות נוספת זו יכולה להיות התגובה לפנייה אישית, קוד אישור SMS שיכלול, או אימות ביומטרי (טביעת אצבע, רשתית וכן הלאה).

 

2. כישלון בהצפנה כראוי

הצפנה היא הדרך לעיבוד מידע לקוד בלתי ניתן לפענוח, שעדיף שניתן יהיה לצפות בו רק לאחר תרגום חזרה באמצעות המפתח הסודי. ככזה, ההצפנה משנה את הרצף של מנעול קומבינציה, עם זאת, היזהר, מתכנתים מיומנים בבחירת מנעולים.

כפי שציינה סימנטק, 13.4% מהמכשירים של הקונים ו-10.5% מהמכשירים הארגוניים הגדולים אינם מופעלים בהצפנה. זה מרמז שאם מתכנתים ניגשים למכשירים האלה, המידע האישי יהיה נגיש בטקסט רגיל.

למרבה הצער, חברות התוכנה שכן משתמשות בהצפנה אינן חסינות מפני טעות. מפתחים הם אנושיים ומבצעים שגיאות שמתכנתים יכולים להשתמש בהן לרעה. בכל הנוגע להצפנה, חשוב להעריך עד כמה זה יכול להיות פשוט מאוד לפצח את הקוד של האפליקציה שלך.

לפגיעות אבטחה נפוצה זו יכולה להיות תוצאות חמורות כולל גניבת חדשנות מוגנת, גניבת קוד, הפרות פרטיות ופגיעה במוניטין, רק אם להזכיר כמה.

 

3. הנדסה לאחור

הרעיון של תכנות פותח יישומים רבים לאיום של הנדסה לאחור. כמו כן, הכמות הבריאה של המטא נתונים המופיעים בקוד המיועד לניפוי באגים מסייעת לתוקף להבין כיצד אפליקציה פועלת.

ניתן להשתמש בהנדסה הפוכה כדי לחשוף כיצד האפליקציה פועלת בקצה האחורי, לחשוף אלגוריתמי הצפנה, לשנות את קוד המקור ועוד. הקוד שלך יכול לשמש נגדך ולסלול דרך להאקרים.

 

4. חשיפת הזרקת קוד זדוני

לעתים קרובות ניתן להתעלם מתוכן שנוצר על ידי משתמשים, בדומה לטפסים ותכנים, בשל האיום הצפוי על אבטחת האפליקציות הניידות.

אנחנו צריכים להשתמש במבנה ההתחברות למשל. כאשר משתמש מזין את שם המשתמש והסיסמה שלו, האפליקציה מדברת עם נתונים בצד השרת כדי לאמת. יישומים שאינם מגבילים אילו תווים משתמש יכול להזין ביעילות מסתכן בכך שהאקרים יזרקו קוד כדי לגשת לשרת.

אם משתמש זדוני מזין שורת JavaScript למבנה התחברות שאינו שומר מפני תווים כמו סימן או נקודתיים המקבילים, הוא ללא ספק יכול להגיע למידע פרטי.

 

5. אחסון נתונים

אחסון נתונים לא מאובטח יכול להתרחש במקומות רבים בתוך האפליקציה שלך. זה כולל מסדי נתונים של SQL, חנויות עוגיות, מאגרי נתונים בינאריים ועוד.

אם האקר ניגש למכשיר או למסד נתונים, הם יכולים לשנות את האפליקציה האותנטית כדי להעביר מידע למכונות שלהם.

אפילו ניירות ערך הצפנה מודרניים מסופקים חסרי תועלת כאשר מכשיר נשבר בכלא או מבוסס, מה שמאפשר להאקרים לעקוף מגבלות של מערכת ההפעלה ולעקוף הצפנה.

בדרך כלל, אחסון נתונים לא מאובטח נוצר עקב היעדר תהליכים להתמודדות עם המטמון של נתונים, תמונות ולחיצות מקשים.

 

השיטה היעילה ביותר לשמירה על הנייד שלך

ללא קשר למאבק העקבי לשמור על שליטה על האקרים, ישנם כמה חוטים משותפים של שיטות עבודה מומלצות לאבטחה שמבטיחות את חברות הסלולר הגדולות.

 

שיטות עבודה מומלצות לאבטחת יישומים ניידים

 

1. השתמש באימות בצד השרת

בעולם מושלם, בקשות אימות רב-גורמי מותרות בצד השרת ורק הרשאה נגישה מצליחה. אם היישום שלך מצפה שהנתונים יאוחסנו בצד הלקוח ויהיה נגישים במכשיר, ודא שניתן לגשת לנתונים המוצפנים רק לאחר אימות האישורים בהצלחה.

 

2. השתמש באלגוריתמי קריפטוגרפיה וניהול מפתחות

אסטרטגיה אחת להילחם בהפסקות הקשורות להצפנה היא לנסות לא לאחסן נתונים רגישים בטלפון נייד. זה כולל מפתחות וסיסמאות בקוד קשיח שיכולים להיות נגישים בטקסט רגיל או להשתמש בהם על ידי תוקף כדי לגשת לשרת.

 

3. ודא שכל כניסות המשתמש עומדות בתקני המחאה

האקרים חדים בעת בדיקת אישור המידע שלך. הם סורקים את האפליקציה שלך עבור כל פוטנציאל להכרה במידע מעוות.

אימות קלט הוא מתודולוגיה להבטיח רק מידע שהוא נורמלי יכול לעבור דרך שדה קלט. בעת העלאת תמונה, למשל, לקובץ צריכה להיות סיומת התואמת סיומות קבצי תמונה סטנדרטיות וצריכה להיות בגודל סביר.

 

4. בנה מודלים של איומים כדי להגן על נתונים

מודל איומים הוא טכניקה המשמשת להבנה עמוקה של הקושי בו מטפלים, היכן עלולות להתקיים בעיות ונהלים להגנה מפניהם.

מודל איומים מושכל דורש מהצוות לראות כיצד מערכות הפעלה ייחודיות, פלטפורמות, מסגרות וממשקי API חיצוניים מעבירים ומאחסנים את הנתונים שלהם. התרחבות על גבי מסגרות וחיבור עם ממשקי API של צד שלישי יכולים לפתוח אותך גם לכשלים שלהם.

 

5. ערפל כדי למנוע הנדסה לאחור

במקרים רבים, למפתחים יש את היכולות והכלים החיוניים לבנות העתקים משכנעים של ממשק המשתמש של אפליקציה לנייד מבלי לגשת לקוד המקור. הגיון עסקי בלעדי, שוב, דורש הרבה יותר רעיונות ומאמצים.

מפתחים משתמשים בהזחה כדי להפוך את הקוד שלהם לקריא יותר לאנשים, אם כי למחשב האישי לא היה אכפת פחות מעיצוב נכון. זו הסיבה שהמיניפיקציה, שמבטלת את כל החללים, שומרת על פונקציונליות אך מקשה על האקרים להבין את הקוד.

לבלוגים מעניינים נוספים בנושא טכנולוגיה, בקר באתר שלנו אתר אינטרנט.