ユーザーのデバイスのマイク、カメラ、位置情報へのアクセスから、説得力のあるアプリケーション クローンの構築に至るまで、プログラマーが無防備なモバイル アプリ ユーザーの個人データにアクセスして悪用するために使用するシステムは数多くあります。
以下に、知っておくべき重要なモバイル アプリケーションのセキュリティの脅威をいくつか示します。
1. 多要素認証の欠如
私たちのほとんどは、複数のアカウントで同じ安全でないパスワードを使用することに満足していません。次に、ユーザーの数を考えてみましょう。ユーザーのパスワードが別の組織での侵入によって侵害されたかどうかに関係なく、プログラマは他のアプリケーションでパスワードを頻繁にテストしますが、これが組織への攻撃につながる可能性があります。
多要素認証では、確認の 3 つの潜在的な要素のうち 2 つを頻繁に使用しますが、ユーザーの ID を保証する前にユーザーのパスワードに完全に依存するわけではありません。この追加の認証層には、個人的な問い合わせへの応答、SMS 確認コード、または生体認証 (指紋、網膜など) が含まれます。
2. 適切な暗号化の失敗
暗号化は、情報を解読不可能なコードにレンダリングする方法であり、秘密鍵を使用して元に変換された後でのみ表示できることが望ましいです。このように、暗号化によってコンビネーション ロックの順序が変更されますが、プログラマはロックをピッキングすることに熟練しているため、注意してください。
シマンテックが示しているように、購入者のデバイスの 13.4%、大企業のデバイスの 10.5% では暗号化が有効になっていません。これは、プログラマーがこれらのデバイスにアクセスすると、個人情報が平文でアクセスできることを意味します。
残念ながら、暗号化を使用しているソフトウェア会社も間違いを免れないわけではありません。開発者は人間であり、プログラマーが悪用する可能性のあるエラーを犯します。暗号化に関しては、アプリケーションのコードを解読することがどれほど簡単であるかを評価することが重要です。
この一般的なセキュリティ脆弱性は、ほんの数例を挙げると、保護されたイノベーションの盗難、コードの盗難、プライバシー侵害、風評被害などの深刻な結果を引き起こす可能性があります。
3. リバースエンジニアリング
プログラミングという考え方により、リバース エンジニアリングの脅威に数多くの応用が可能になります。デバッグを目的としたコード内に与えられる適切な量のメタデータも同様に、攻撃者がアプリがどのように機能するかを理解するのに役立ちます。
リバース エンジニアリングを使用すると、アプリケーションがバックエンドでどのように機能するか、暗号化アルゴリズムを明らかにし、ソース コードを変更するなどの目的で使用できます。あなた自身のコードがあなたに対して使用され、ハッカーに道を開く可能性があります。
4. 悪意のあるコードインジェクションの暴露
ユーザー作成コンテンツは、フォームやコンテンツと同様、モバイル アプリケーションのセキュリティに対する予想される脅威として無視されることがよくあります。
たとえば、ログイン構造を使用する必要があります。ユーザーがユーザー名とパスワードを入力すると、アプリケーションはサーバー側のデータと通信して認証します。ユーザーが効果的に入力できる文字を制限していないアプリケーションでは、ハッカーがコードを挿入してサーバーにアクセスする危険があります。
悪意のあるユーザーが、等号やコロンなどの文字を保護していないログイン構造に JavaScript の行を入力すると、間違いなく個人情報にアクセスする可能性があります。
5.データストレージ
安全でないデータ ストレージは、アプリケーション内のさまざまな場所で発生する可能性があります。これも SQLデータベース, クッキーストア、バイナリ データ ストアなど。
ハッカーがデバイスまたはデータベースにアクセスすると、正規のアプリケーションを変更して情報を自分のマシンに送信する可能性があります。
最新の暗号化セキュリティでも、デバイスがジェイルブレイクされたり確立されたりすると役に立たなくなり、ハッカーがオペレーティング システムの制限をバイパスして暗号化を回避できるようになります。
一般に、安全でないデータ ストレージは、データ、画像、およびキー押下のキャッシュを処理するプロセスが存在しないことが原因で発生します。
モバイルを保護する最も効果的な方法
ハッカーを制御下に置くための一貫した戦いに関係なく、大規模なモバイル会社を保証するセキュリティのベストプラクティスには共通のスレッドがいくつかあります。
モバイル アプリケーションのセキュリティのベスト プラクティス
1. サーバー側認証を使用する
理想的な世界では、多要素認証リクエストがサーバー側で許可され、アクセス可能な承認のみが成功します。アプリケーションがデータをクライアント側に保存し、デバイス上でアクセスできるようにすることを想定している場合は、資格情報が正常に検証された場合にのみ暗号化されたデータにアクセスできるようにしてください。
2. 暗号化アルゴリズムとキー管理を使用する
暗号化関連の侵害を防ぐ 1 つの戦略は、機密データを携帯電話に保存しないようにすることです。これには、平文でアクセス可能になったり、攻撃者がサーバーにアクセスするために使用したりする可能性のある、ハードコードされたキーとパスワードが含まれます。
3. すべてのユーザー入力がチェック基準を満たしていることを確認する
ハッカーはあなたの情報の承認をテストするときに鋭いです。彼らは、歪められた情報を認識する可能性がないかアプリを徹底的に調べます。
入力検証は、正常な情報だけが入力フィールドを通過できることを保証する方法論です。たとえば、画像をアップロードする場合、ファイルには標準の画像ファイル拡張子と一致する拡張子が必要であり、適切なサイズでなければなりません。
4. データを防御するための脅威モデルを構築する
脅威モデリングは、対処されている困難、問題が存在する可能性のある場所、およびそれらを防ぐ手順を深く理解するために使用される手法です。
十分な情報に基づいた脅威モデルを構築するには、チームが独自のオペレーティング システム、プラットフォーム、フレームワーク、外部 API がどのようにデータを転送および保存するかを確認する必要があります。フレームワークを拡張し、サードパーティ API と接続すると、その失敗にもさらされる可能性があります。
5. リバースエンジニアリングを防ぐために難読化する
多くの場合、開発者は、ソース コードにアクセスせずに、モバイル アプリケーションの UI の説得力のあるレプリカを構築するための重要な能力とツールを持っています。排他的なビジネス ロジックには、さらに多くのアイデアと労力が必要になります。
開発者はコードを人が読みやすくするためにインデントを使用しますが、PC は適切な書式設定をあまり気にしません。これが、すべてのスペースを削除する縮小化が機能を維持しながら、ハッカーがコードを理解しにくくする理由です。
さらに興味深いテクノロジー ブログについては、こちらをご覧ください。 ウェブサイト.