1
00:00:00,000 --> 00:00:02,610
>> [ندوة] [الدفاع عن خلف الجهاز: تطبيق الأمن جوالة]

2
00:00:02,610 --> 00:00:04,380
[كريس Wysopal] [جامعة هارفارد]

3
00:00:04,380 --> 00:00:07,830
[هذا CS50.] [CS50.TV]

4
00:00:07,830 --> 00:00:10,360
مساء الخير >>. اسمي كريس Wysopal.

5
00:00:10,360 --> 00:00:13,360
أنا CTO والمؤسس المشارك لVeracode.

6
00:00:13,360 --> 00:00:15,880
Veracode هي شركة الأمن التطبيق.

7
00:00:15,880 --> 00:00:18,230
نحن اختبار جميع أنواع التطبيقات المختلفة،

8
00:00:18,230 --> 00:00:25,060
وما أنا بصدد الحديث عنه اليوم هو الأمن تطبيقات الهاتف المتحرك.

9
00:00:25,060 --> 00:00:28,630
خلفيتي ولقد تم القيام أبحاث الأمن

10
00:00:28,630 --> 00:00:31,970
لفترة طويلة جدا، وربما حول ما دام أحدا.

11
00:00:31,970 --> 00:00:35,000
لقد بدأت في منتصف 90s،

12
00:00:35,000 --> 00:00:37,370
وكان الوقت الذي كان مثيرا للاهتمام جدا ل

13
00:00:37,370 --> 00:00:39,220
كان لدينا نموذج التغيير في منتصف 90s.

14
00:00:39,220 --> 00:00:43,520
كان مدمن مخدرات كل من الكمبيوتر الجميع فجأة لتصل إلى الإنترنت،

15
00:00:43,520 --> 00:00:46,550
ومن ثم كان لدينا بدايات تطبيقات الويب،

16
00:00:46,550 --> 00:00:49,330
وهذا ما ركزت على الكثير الحين.

17
00:00:49,330 --> 00:00:51,160
انها مثيرة للاهتمام.

18
00:00:51,160 --> 00:00:53,930
الآن لدينا نموذج آخر تغير يحدث مع الحوسبة،

19
00:00:53,930 --> 00:00:58,710
وهو التحول إلى تطبيقات الهاتف المحمول.

20
00:00:58,710 --> 00:01:03,680
>> أشعر انها نوع من وقت مماثل ثم كان في أواخر 90s

21
00:01:03,680 --> 00:01:07,650
عندما كنا التحقيق تطبيقات الويب والبحث عن العيوب مثل

22
00:01:07,650 --> 00:01:11,800
أخطاء إدارة الدورة وحقن SQL

23
00:01:11,800 --> 00:01:14,940
الذي حقا لم تكن موجودة من قبل، وفجأة أنهم كانوا في كل مكان

24
00:01:14,940 --> 00:01:19,360
في تطبيقات الويب، والآن الكثير من الوقت أقضي

25
00:01:19,360 --> 00:01:27,950
تبحث في التطبيقات النقالة والنظر في ما يجري هناك في البرية.

26
00:01:27,950 --> 00:01:32,060
التطبيقات النقالة تسير حقا أن تكون منصة الحوسبة المهيمنة،

27
00:01:32,060 --> 00:01:35,060
لذلك نحن حقا بحاجة الى انفاق الكثير من الوقت إذا كنت في صناعة الأمن

28
00:01:35,060 --> 00:01:39,280
مع التركيز على تطبيقات الويب.

29
00:01:39,280 --> 00:01:43,420
كان هناك 29 مليار تطبيقات الجوال تحميلها في عام 2011.

30
00:01:43,420 --> 00:01:47,920
الذي من المتوقع أن يكون 76 مليار تطبيقات بحلول عام 2014.

31
00:01:47,920 --> 00:01:54,040
هناك 686000000 الأجهزة التي سوف يتم شراؤها من هذا العام،

32
00:01:54,040 --> 00:01:57,060
لذلك هذا هو المكان الذي يذهب الناس أن تفعل

33
00:01:57,060 --> 00:01:59,600
 غالبية الحوسبة موكلهم للمضي قدما.

34
00:01:59,600 --> 00:02:04,220
>> كنت أتحدث إلى نائب الرئيس في الاخلاص للاستثمارات

35
00:02:04,220 --> 00:02:08,780
قبل بضعة أشهر، وقال أنهم رأوا فقط المزيد من الحركة

36
00:02:08,780 --> 00:02:12,610
القيام بالمعاملات المالية من قاعدة زبائنها

37
00:02:12,610 --> 00:02:16,230
على تطبيقات الهاتف المتحرك الخاصة بهم من على موقعه على الانترنت،

38
00:02:16,230 --> 00:02:20,610
لذلك فقد كان الاستخدام الشائع للويب في الماضي

39
00:02:20,610 --> 00:02:23,800
التحقق من أسعار الأسهم الخاصة بك، وإدارة محفظتك،

40
00:02:23,800 --> 00:02:28,060
ونراه في الواقع أن التحول في عام 2012 أكثر من

41
00:02:28,060 --> 00:02:30,960
ليكون أكثر المهيمنة على منصة متنقلة.

42
00:02:30,960 --> 00:02:34,530
بالتأكيد إذا كان هناك ستكون أي نشاط إجرامي،

43
00:02:34,530 --> 00:02:38,900
أي نشاط ضار، انها سوف تبدأ في أن تركز على منصة متنقلة

44
00:02:38,900 --> 00:02:44,210
بمرور الوقت مع الناس التحول إلى ذلك.

45
00:02:44,210 --> 00:02:48,320
إذا نظرتم الى منصة متنقلة،

46
00:02:48,320 --> 00:02:54,380
للنظر في المخاطر من منصة انها مفيدة لكسرها نزولا إلى طبقات مختلفة،

47
00:02:54,380 --> 00:02:59,010
مثلك أن تفعل ذلك على جهاز كمبيوتر سطح المكتب،

48
00:02:59,010 --> 00:03:02,860
وكنت تفكر في طبقات مختلفة، والبرمجيات، ونظام التشغيل،

49
00:03:02,860 --> 00:03:07,730
طبقة الشبكة وطبقة الأجهزة، وبطبيعة الحال، هناك نقاط ضعف في جميع تلك الطبقات.

50
00:03:07,730 --> 00:03:10,510
>> ويحدث الشيء نفسه على الهاتف المحمول.

51
00:03:10,510 --> 00:03:14,880
ولكن النقالة، يبدو أن بعض من تلك الطبقات هي أسوأ حالا.

52
00:03:14,880 --> 00:03:19,840
لأحد، وطبقة الشبكة هو أكثر صعوبة على الهاتف المحمول

53
00:03:19,840 --> 00:03:25,650
لأن الكثير من الناس لديهم في مكاتبهم أو في المنزل

54
00:03:25,650 --> 00:03:30,780
اتصالات السلكية أو لديهم صلات واي فاي آمنة،

55
00:03:30,780 --> 00:03:36,530
مع وجود الكثير من الأجهزة النقالة من الواضح أنك خارج المنزل

56
00:03:36,530 --> 00:03:40,520
أو خارج المكتب كثيرا، وإذا كنت تستخدم واي فاي هناك

57
00:03:40,520 --> 00:03:42,820
كنت قد يكون باستخدام اتصال واي فاي غير آمنة،

58
00:03:42,820 --> 00:03:45,570
شيء أن يكون اتصال واي فاي العامة،

59
00:03:45,570 --> 00:03:48,840
لذلك عندما نفكر تطبيقات الجوال علينا أن نأخذ في الاعتبار

60
00:03:48,840 --> 00:03:53,770
أن البيئة الشبكة هو أكثر خطورة لتلك التطبيقات

61
00:03:53,770 --> 00:03:57,640
عندما يتم استخدام الواي فاي.

62
00:03:57,640 --> 00:04:02,410
وعندما نصل الى أكثر من المخاطر تطبيقات الهاتف المتحرك

63
00:04:02,410 --> 00:04:04,910
سترى لماذا هذا أكثر أهمية.

64
00:04:04,910 --> 00:04:09,710
هناك مخاطر على مستوى الأجهزة على الأجهزة النقالة.

65
00:04:09,710 --> 00:04:11,670
هذا هو مجال البحوث الجارية.

66
00:04:11,670 --> 00:04:15,910
دعوة الناس هذه الهجمات ذات النطاق العريض أو الهجمات القاعدي

67
00:04:15,910 --> 00:04:21,870
أين أنت تهاجم البرامج الثابتة التي يستمع على الراديو.

68
00:04:21,870 --> 00:04:25,430
هذه هي حقا >> الهجمات مخيف ل

69
00:04:25,430 --> 00:04:27,280
لا يكون لدى المستخدم للقيام بأي شيء.

70
00:04:27,280 --> 00:04:30,760
يمكنك ضرب الكثير من الأجهزة الموجودة في نطاق الترددات اللاسلكية

71
00:04:30,760 --> 00:04:36,690
في آن واحد، ويبدو مثل هذا البحث كلما فقاعات تصل

72
00:04:36,690 --> 00:04:40,750
فإنه سرعان ما يحصل على تصنيف حيث

73
00:04:40,750 --> 00:04:46,600
الناس في جميع أنحاء انقضاض ويقول: "هنا، تخبرنا عن ذلك، ويرجى التوقف عن الحديث حول هذا الموضوع."

74
00:04:46,600 --> 00:04:49,460
هناك بعض الأبحاث الجارية في مجال النطاق العريض،

75
00:04:49,460 --> 00:04:51,980
ولكن يبدو أن صه صه جدا.

76
00:04:51,980 --> 00:04:56,910
اعتقد انها اكثر من نوع الدولة القومية من البحوث التي يجري.

77
00:04:56,910 --> 00:05:02,140
مساحة الأبحاث النشطة، رغم ذلك، هي طبقة نظام التشغيل،

78
00:05:02,140 --> 00:05:08,910
ومرة أخرى، وهذا يختلف من في العالم الحوسبة سطح المكتب

79
00:05:08,910 --> 00:05:14,840
لأنه في الفضاء المحمول لديك هذه الفرق من الناس ودعا الهرب من سجن،

80
00:05:14,840 --> 00:05:18,670
والهرب من سجن مختلفة من الباحثين الضعف العادية.

81
00:05:18,670 --> 00:05:21,970
انهم يحاولون ايجاد نقاط الضعف في نظام التشغيل،

82
00:05:21,970 --> 00:05:27,000
ولكن السبب انهم يحاولون العثور على نقاط الضعف ليست ل

83
00:05:27,000 --> 00:05:31,810
اقتحام الجهاز لشخص آخر وسطا عليه.

84
00:05:31,810 --> 00:05:34,280
انها لاقتحام الكمبيوتر الخاصة بهم.

85
00:05:34,280 --> 00:05:38,820
>> انهم يريدون اقتحام المحمول الخاصة بهم، وتعديل نظام تشغيل الهواتف المحمولة الخاصة بهم في

86
00:05:38,820 --> 00:05:41,050
بحيث يمكن تشغيل التطبيقات التي يختارونها

87
00:05:41,050 --> 00:05:44,510
وتتغير الأمور مع أذونات إدارية كاملة،

88
00:05:44,510 --> 00:05:49,050
وأنها لا تريد أن تقول للبائع حول هذا الموضوع.

89
00:05:49,050 --> 00:05:52,960
انهم لا يحبون الباحث الأمني ​​الذي هو باحث الأمن قبعة بيضاء

90
00:05:52,960 --> 00:05:56,600
الذي تنوي القيام به الكشف مسؤولة ونقول للبائع عن ذلك.

91
00:05:56,600 --> 00:06:01,270
انهم يريدون ان يفعلوا هذا البحث، وأنها تريد أن تنشر فعلا

92
00:06:01,270 --> 00:06:06,400
في استغلال أو الجذور الخفية أو رمز الهروب من السجن،

93
00:06:06,400 --> 00:06:10,010
وأنها تريد أن تفعل ذلك من الناحية الاستراتيجية، مثل الحق بعد

94
00:06:10,010 --> 00:06:13,570
السفن بائع نظام التشغيل الجديد.

95
00:06:13,570 --> 00:06:16,350
لديك هذه العلاقة العدائية

96
00:06:16,350 --> 00:06:19,000
مع نقاط الضعف على مستوى نظام التشغيل على الهاتف النقال،

97
00:06:19,000 --> 00:06:23,150
التي أعتقد أنها مثيرة للاهتمام للغاية، ومكان واحد نراها

98
00:06:23,150 --> 00:06:29,210
وذلك يجعل من ذلك أن هناك جيدة كود نشرت استغلال هناك

99
00:06:29,210 --> 00:06:31,750
لمواطن الضعف على مستوى النواة،

100
00:06:31,750 --> 00:06:35,040
ولقد رأيت تلك في الواقع أن تستخدم من قبل مؤلفي البرمجيات الخبيثة.

101
00:06:35,040 --> 00:06:38,450
انها مختلفة قليلا من العالم PC.

102
00:06:38,450 --> 00:06:42,530
ثم طبقة النهائي هو الطبقة العليا، وطبقة التطبيق.

103
00:06:42,530 --> 00:06:45,250
هذا ما أنا بصدد الحديث عنه اليوم.

104
00:06:45,250 --> 00:06:48,970
>> طبقات أخرى موجودة، وتلعب الطبقات الأخرى في ذلك،

105
00:06:48,970 --> 00:06:53,310
ولكن أنا في الغالب بصدد الحديث عن ما يحدث في طبقة التطبيق

106
00:06:53,310 --> 00:06:55,560
حيث يتم تشغيل التعليمات البرمجية في رمل.

107
00:06:55,560 --> 00:06:58,670
أنه ليس لديه امتيازات إدارية.

108
00:06:58,670 --> 00:07:02,170
عليها أن تستخدم واجهات برمجة التطبيقات من الجهاز،

109
00:07:02,170 --> 00:07:06,970
ولكن لا يزال، الكثير من النشاط الخبيثة والكثير من المخاطر يمكن أن يحدث في تلك الطبقة

110
00:07:06,970 --> 00:07:09,220
لأن هذا هو طبقة فيها كل المعلومات.

111
00:07:09,220 --> 00:07:12,330
يمكن الوصول إلى كافة التطبيقات والمعلومات على الجهاز

112
00:07:12,330 --> 00:07:15,390
إذا كانت لديك الأذونات الصحيحة،

113
00:07:15,390 --> 00:07:17,540
ويمكن الوصول إلى أجهزة استشعار مختلفة على الجهاز،

114
00:07:17,540 --> 00:07:23,950
استشعار نظام تحديد المواقع، وميكروفون، وكاميرا، وما إلى ذلك.

115
00:07:23,950 --> 00:07:27,380
على الرغم من أننا نتحدث فقط عن عند طبقة التطبيق

116
00:07:27,380 --> 00:07:33,700
لدينا الكثير من المخاطر هناك.

117
00:07:33,700 --> 00:07:38,450
الشيء الآخر الذي هو مختلف عن البيئة المتنقلة

118
00:07:38,450 --> 00:07:45,060
وجميع اللاعبين نظام التشغيل، سواء كان بلاك بيري أو أندرويد

119
00:07:45,060 --> 00:07:53,410
أو دائرة الرقابة الداخلية أو ويندوز موبايل، أنهم جميعا لديهم نموذج إذن غرامة الحبيبات،

120
00:07:53,410 --> 00:07:56,990
وهذه هي واحدة من الطرق التي بنيت في نظام التشغيل

121
00:07:56,990 --> 00:08:01,230
فكرة أنه ليست خطرة كما تظن.

122
00:08:01,230 --> 00:08:04,550
على الرغم من أن لديك كل ما تبذلونه من الاتصالات هناك، جميع المعلومات الشخصية الخاصة بك،

123
00:08:04,550 --> 00:08:09,080
لديك الصور الخاصة بك، لديك موقعك على هناك،

124
00:08:09,080 --> 00:08:14,820
كنت تخزين دبوس البنك الذي تتعامل معه لدخول السيارات هناك، انها آمنة ل

125
00:08:14,820 --> 00:08:19,430
تطبيقات يكون لديك أذونات معينة للحصول على أجزاء معينة

126
00:08:19,430 --> 00:08:25,080
المعلومات على الجهاز، والمستخدم لديه لتقديمها مع

127
00:08:25,080 --> 00:08:29,230
هذه الأذونات ويقول بخير.

128
00:08:29,230 --> 00:08:32,590
>> إن المشكلة مع ذلك هو المستخدم دائما يقول بخير.

129
00:08:32,590 --> 00:08:35,240
كشخص الأمن، وأنا أعلم أنك يمكن مطالبة المستخدم،

130
00:08:35,240 --> 00:08:40,100
أقول شيئا سيئا حقا ما سيحدث، هل تريد أن يحدث ذلك؟

131
00:08:40,100 --> 00:08:44,680
واذا كانا لا يزالان في الاندفاع أو هناك شيء تحريضية حقا على الجانب الآخر من ذلك،

132
00:08:44,680 --> 00:08:47,760
مثل لعبة سوف يتم تثبيت أنهم كنت تنتظر،

133
00:08:47,760 --> 00:08:50,860
انهم ذاهبون الى فوق بخير.

134
00:08:50,860 --> 00:08:56,630
لهذا السبب أقول على الشريحة بلدي هنا فقط اسمحوا لي قذف الطيور في الخنازير بالفعل،

135
00:08:56,630 --> 00:09:03,150
ويمكنك ان ترى على الشريحة هنا وهناك أمثلة من مربع إذن بلاك بيري.

136
00:09:03,150 --> 00:09:05,990
تقول "الرجاء تعيين الأذونات تطبيق بلاك بيري سفر

137
00:09:05,990 --> 00:09:09,720
بعد النقر فوق الزر أدناه "، وأساسا المستخدم هو مجرد الذهاب الى القول

138
00:09:09,720 --> 00:09:12,240
تعيين الأذونات وحفظها.

139
00:09:12,240 --> 00:09:18,010
وهنا موجه الروبوت حيث أنه يظهر الأشياء،

140
00:09:18,010 --> 00:09:20,260
وفعلا يضع شيء يبدو تقريبا مثل تحذير.

141
00:09:20,260 --> 00:09:25,090
انها حصلت على نوع من العائد علامة قائلا هناك شبكة الاتصالات، مكالمة هاتفية،

142
00:09:25,090 --> 00:09:28,120
ولكن المستخدم هو الذهاب الى فوق تثبيت، أليس كذلك؟

143
00:09:28,120 --> 00:09:32,940
ثم واحد أبل هو حميدة تماما.

144
00:09:32,940 --> 00:09:34,300
أنها لا تعطي أي نوع من التحذير.

145
00:09:34,300 --> 00:09:37,380
انها مجرد أن أبل تريد استخدام موقعك الحالي.

146
00:09:37,380 --> 00:09:39,670
بالطبع كنت تريد الذهاب لانقر بخير.

147
00:09:39,670 --> 00:09:42,260
وهناك >> هذا النموذج إذن غرامة الحبيبات،

148
00:09:42,260 --> 00:09:45,890
وتطبيقات يكون لديك ملف البيان حيث يعلنون

149
00:09:45,890 --> 00:09:49,410
الأذونات التي يحتاجون إليها، والتي سوف تحصل على عرضها للمستخدم،

150
00:09:49,410 --> 00:09:53,480
وسيقوم المستخدم يجب أن أقول أنني منح هذه الأذونات.

151
00:09:53,480 --> 00:09:55,080
ولكن دعونا نكون صادقين.

152
00:09:55,080 --> 00:09:58,400
المستخدمين فقط أريد أن أقول دائما بخير.

153
00:09:58,400 --> 00:10:04,460
دعونا نلقي نظرة سريعة على الأذونات التي هذه التطبيقات يطلبون

154
00:10:04,460 --> 00:10:06,850
وبعض الأذونات الموجودة هناك.

155
00:10:06,850 --> 00:10:09,950
هذه الشركة لم الإمبراطوري استطلاع العام الماضي

156
00:10:09,950 --> 00:10:14,170
من 53،000 التطبيقات التي تم تحليلها في الأسواق السوق و3rd الطرف الروبوت،

157
00:10:14,170 --> 00:10:16,770
لذلك هذا هو كل الروبوت.

158
00:10:16,770 --> 00:10:19,670
وطلبت إلى متوسط ​​التطبيق 3 الأذونات.

159
00:10:19,670 --> 00:10:23,370
طلب بعض التطبيقات 117 الأذونات،

160
00:10:23,370 --> 00:10:27,480
لذلك من الواضح هذه هي دقيقة جدا الحبيبات وطريقة معقدة للغاية لمستخدم لفهم

161
00:10:27,480 --> 00:10:31,600
لو انهم قدموا مع هذا التطبيق الذي يحتاج هذه الأذونات 117.

162
00:10:31,600 --> 00:10:37,270
انها مثل اتفاقية ترخيص المستخدم النهائي وهذا 45 صفحات طويلة.

163
00:10:37,270 --> 00:10:40,240
ربما قريبا سيكون لديهم خيار حيث انها مثل

164
00:10:40,240 --> 00:10:43,100
طباعة أذونات وأرسل لي رسالة عبر البريد الإلكتروني.

165
00:10:43,100 --> 00:10:45,480
>> ولكن اذا نظرتم الى بعض الأذونات الأعلى للاهتمام

166
00:10:45,480 --> 00:10:50,840
24٪ من التطبيقات التي تم تنزيلها من 53،000

167
00:10:50,840 --> 00:10:57,230
طلبت معلومات GPS من الجهاز.

168
00:10:57,230 --> 00:10:59,810
8٪ قراءة الأسماء.

169
00:10:59,810 --> 00:11:03,770
أرسلت 4٪ SMS، وحصل على 3٪ SMS.

170
00:11:03,770 --> 00:11:07,730
سجلت 2٪ الصوت.

171
00:11:07,730 --> 00:11:11,210
1٪ معالجة المكالمات الصادرة.

172
00:11:11,210 --> 00:11:13,140
لا أعرف.

173
00:11:13,140 --> 00:11:17,520
لا أعتقد أن 4٪ من التطبيقات في المتجر حقا بحاجة لإرسال رسائل نصية SMS،

174
00:11:17,520 --> 00:11:21,410
لذلك أعتقد أن هذا إشارة إلى شيء غير مرغوب فيه يجري.

175
00:11:21,410 --> 00:11:24,350
8٪ من التطبيقات تحتاج إلى قراءة لائحة جهات الاتصال الخاصة بك.

176
00:11:24,350 --> 00:11:26,510
انها على الارجح ليست ضرورية.

177
00:11:26,510 --> 00:11:30,990
واحدة من الأشياء الأخرى المثيرة للاهتمام حول الأذونات هو

178
00:11:30,990 --> 00:11:36,740
إذا قمت بربط في المكتبات المشتركة في التطبيق الخاص بك

179
00:11:36,740 --> 00:11:39,780
تلك ترث الأذونات من التطبيق،

180
00:11:39,780 --> 00:11:46,570
إذا كان الأمر كذلك يحتاج التطبيق الخاص بك في قائمة الاتصال أو يحتاج الموقع GPS على العمل

181
00:11:46,570 --> 00:11:49,940
وقمت بربط في مكتبة الإعلانات، على سبيل المثال،

182
00:11:49,940 --> 00:11:53,170
وسوف تكون هذه المكتبة الإعلان أيضا قادرة على الوصول إلى جهات الاتصال

183
00:11:53,170 --> 00:11:57,630
وأيضا أن يكون قادرا على الوصول إلى موقع GPS،

184
00:11:57,630 --> 00:12:01,990
ومطور التطبيق لا يعرف شيئا عن التعليمات البرمجية التي يدير في المكتبة الإعلانية.

185
00:12:01,990 --> 00:12:05,370
انهم مجرد ربط أنه في لأنهم يريدون لنقد تطبيقاتهم.

186
00:12:05,370 --> 00:12:09,820
هذا هو المكان >> وسأتحدث عن بعض الأمثلة على هذا الأمر مع

187
00:12:09,820 --> 00:12:13,930
تطبيق يسمى باندورا حيث مطور تطبيق

188
00:12:13,930 --> 00:12:18,910
قد تكون عن غير قصد تسريب معلومات

189
00:12:18,910 --> 00:12:24,580
من مستخدميها لأن المكتبات انهم ترتبط فيها.

190
00:12:24,580 --> 00:12:30,110
مسح المشهد هناك، وتبحث في جميع تطبيقات مختلفة

191
00:12:30,110 --> 00:12:34,310
التي تم الإبلاغ عنها في الأخبار كما لم المستخدمين شيء ضار أو لا تريد القيام

192
00:12:34,310 --> 00:12:39,360
ثم تفقد الكثير من التطبيقات، ونحن نفعل الكثير من التحليل ثنائي ثابت على تطبيقات المحمول،

193
00:12:39,360 --> 00:12:42,010
لذلك قمنا بتفتيش لهم ونظرت إلى القانون نفسه،

194
00:12:42,010 --> 00:12:49,640
توصلنا مع ما نسميه لدينا أعلى 10 قائمة من السلوكيات المحفوفة بالمخاطر في التطبيقات.

195
00:12:49,640 --> 00:12:54,180
وانها تقسيمها إلى 2 أقسام، والشيفرات الخبيثة،

196
00:12:54,180 --> 00:12:57,600
لذلك فان هذه هي الأشياء السيئة التي يمكن أن تطبيقات يفعل ذلك

197
00:12:57,600 --> 00:13:06,520
من المحتمل أن يكون شيئا هناك شخص خبيث

198
00:13:06,520 --> 00:13:10,060
وقد وضعت خصيصا في التطبيق، لكنه غامض بعض الشيء.

199
00:13:10,060 --> 00:13:13,300
يمكن أن يكون شيء أن المطور يعتقد على ما يرام،

200
00:13:13,300 --> 00:13:16,350
ولكن تبين في النهاية أنها فكرت في الخبيثة كما من قبل المستخدم.

201
00:13:16,350 --> 00:13:19,830
وبعد ذلك >> القسم الثاني هو ما نسميه الترميز نقاط الضعف،

202
00:13:19,830 --> 00:13:24,600
وهذه هي الأشياء التي المطور في الأساس هو الوقوع في الخطأ

203
00:13:24,600 --> 00:13:27,200
أو مجرد لا يفهم كيفية كتابة التطبيق بشكل آمن،

204
00:13:27,200 --> 00:13:30,260
 وهذا ما يضع المستخدم التطبيق للخطر.

205
00:13:30,260 --> 00:13:34,060
انا ذاهب للذهاب من خلال هذه بالتفصيل وإعطاء بعض الأمثلة.

206
00:13:34,060 --> 00:13:39,620
للإشارة، أردت أن طرح OWASP قائمة أفضل 10 المحمول.

207
00:13:39,620 --> 00:13:43,590
هذه هي القضايا التي 10 مجموعة في OWASP،

208
00:13:43,590 --> 00:13:48,900
مشروع توسيع تطبيق ويب الأمن، لديهم مجموعة العمل

209
00:13:48,900 --> 00:13:50,620
العمل على المحمول قائمة أعلى 10.

210
00:13:50,620 --> 00:13:54,600
لديهم مشهورة جدا قائمة على شبكة الإنترنت أكبر 10، والتي هي أعلى 10

211
00:13:54,600 --> 00:13:57,180
أخطر الأشياء التي يمكن أن يكون في تطبيق ويب.

212
00:13:57,180 --> 00:13:59,090
انهم يفعلون الشيء نفسه للجوال،

213
00:13:59,090 --> 00:14:01,750
وقائمتهم هي مختلفة قليلا من بلدنا.

214
00:14:01,750 --> 00:14:03,670
6 من أصل 10 هي نفسها.

215
00:14:03,670 --> 00:14:06,020
لديهم 4 التي هي مختلفة.

216
00:14:06,020 --> 00:14:10,550
أعتقد أن لديهم قليلا من لقطة مختلفة على

217
00:14:10,550 --> 00:14:14,490
خطر في تطبيقات المحمول فيها الكثير من قضاياهم

218
00:14:14,490 --> 00:14:20,490
وحقا كيف التطبيق هو التواصل إلى خادم خلفية

219
00:14:20,490 --> 00:14:23,100
أو ما يحدث على ملقم الجهة الخلفية،

220
00:14:23,100 --> 00:14:29,220
تطبيقات وليس ذلك بكثير أن يكون السلوك المحفوف بالمخاطر التي هي تطبيقات العميل فقط مباشرة.

221
00:14:29,220 --> 00:14:36,640
>> هم باللون الأحمر هنا هي الاختلافات بين القوائم 2.

222
00:14:36,640 --> 00:14:40,740
وبعض فريق بحثي ساهم فعلا في هذا المشروع،

223
00:14:40,740 --> 00:14:44,570
ولذا فإننا سوف نرى ما سيحدث مع مرور الوقت، ولكن أعتقد أن ذهابه هنا

224
00:14:44,570 --> 00:14:47,550
نحن لا نعرف حقا ما هو أعلى قائمة 10 في تطبيقات المحمول ل

225
00:14:47,550 --> 00:14:50,510
انهم حقا كان فقط حول ل2 أو 3 سنوات حتى الآن،

226
00:14:50,510 --> 00:14:57,750
ولم يكن هناك ما يكفي من الوقت للبحث حقا أنظمة التشغيل

227
00:14:57,750 --> 00:15:00,450
وما كنت قادر، وأنه لم يكن هناك ما يكفي من الوقت

228
00:15:00,450 --> 00:15:06,870
للمجتمع الخبيثة، اذا صح التعبير، قد قضى وقتا كافيا

229
00:15:06,870 --> 00:15:12,910
محاولة لمهاجمة المستخدمين من خلال تطبيقات المحمول، لذلك أتوقع هذه القوائم لتغيير قليلا.

230
00:15:12,910 --> 00:15:18,720
لكنه الآن، وهذه هي أفضل 10 أشياء ما يدعو للقلق.

231
00:15:18,720 --> 00:15:24,150
قد نتساءل على الجانب المتحرك حيث لا رمز موبايل الخبيثة

232
00:15:24,150 --> 00:15:28,880
كيف لا تحصل على إلى الجهاز؟

233
00:15:28,880 --> 00:15:35,210
ولاية نورث كارولينا لديها مشروع يسمى مشروع الجينوم المحمول الخبيثة

234
00:15:35,210 --> 00:15:39,520
حيث يتم جمع أكبر قدر من البرمجيات الخبيثة النقالة، حيث أنها تستطيع، وتحليلها،

235
00:15:39,520 --> 00:15:45,270
ولقد موزعة ناقلات الحقن التي تستخدم البرمجيات الخبيثة النقالة،

236
00:15:45,270 --> 00:15:51,490
وتستخدم 86٪ تقنية تسمى إعادة التغليف،

237
00:15:51,490 --> 00:15:54,160
وهذه ليست سوى على منصة أندرويد

238
00:15:54,160 --> 00:15:56,720
يمكنك حقا القيام بذلك إعادة التغليف.

239
00:15:56,720 --> 00:16:03,100
وبنيت >> رمز الروبوت والسبب مع

240
00:16:03,100 --> 00:16:08,130
رمز بايت جافا دعا DALVIK وهو decompilable بسهولة.

241
00:16:08,130 --> 00:16:12,460
ما الرجل السيئ يمكن القيام به هو

242
00:16:12,460 --> 00:16:16,590
تتخذ تطبيق الروبوت، فك ذلك،

243
00:16:16,590 --> 00:16:20,120
إدراج التعليمات البرمجية الخاصة بهم الخبيثة، وإعادة ترجمة عليه،

244
00:16:20,120 --> 00:16:28,070
ومن ثم طرحها في المتجر يزعم أن يكون نسخة جديدة من هذا التطبيق،

245
00:16:28,070 --> 00:16:30,330
أو ربما فقط تغيير اسم التطبيق.

246
00:16:30,330 --> 00:16:35,140
لو كان نوعا من اللعبة، تغيير اسم قليلا،

247
00:16:35,140 --> 00:16:42,860
وحتى هذا تحزيم هو كيف يحصل على توزيع 86٪ من البرمجيات الخبيثة النقالة.

248
00:16:42,860 --> 00:16:45,810
هناك تقنية تسمى تحديث آخر وهو

249
00:16:45,810 --> 00:16:50,030
مشابهة جدا لإعادة التعبئة، لكنك في الواقع لا تضع الشيفرات الخبيثة فيه.

250
00:16:50,030 --> 00:16:52,870
ما عليك فعله هو أن تضع في آلية التحديث الصغيرة.

251
00:16:52,870 --> 00:16:56,660
كنت فك، كنت وضعت في آلية التحديث، وإعادة ترجمة ذلك،

252
00:16:56,660 --> 00:17:02,360
وبعد ذلك عندما يتم تشغيل التطبيق فإنه يسحب إلى أسفل برامج ضارة على الجهاز.

253
00:17:02,360 --> 00:17:06,300
>> حتى الآن الأغلبية هي تلك التقنيات 2.

254
00:17:06,300 --> 00:17:12,710
ليس هناك الكثير حقا تحميل محرك سطحها أو من سيارة التنزيلات على الهواتف النقالة،

255
00:17:12,710 --> 00:17:15,890
التي يمكن أن تكون مثل هجوم التصيد.

256
00:17:15,890 --> 00:17:18,200
مهلا، تحقق من هذا الموقع رائع حقا،

257
00:17:18,200 --> 00:17:21,020
أو كنت في حاجة للذهاب إلى هذا الموقع وملء هذا النموذج

258
00:17:21,020 --> 00:17:24,420
للحفاظ على استمرار تفعل شيئا.

259
00:17:24,420 --> 00:17:26,230
تلك هي هجمات تصيد المعلومات.

260
00:17:26,230 --> 00:17:28,160
نفس الشيء يمكن أن يحدث على منصة متنقلة حيث

261
00:17:28,160 --> 00:17:33,830
إشارة إلى التطبيق المحمول لتحميل، ويقول "مرحبا، وهذا هو بنك أوف أميركا".

262
00:17:33,830 --> 00:17:36,070
"نحن نرى كنت تستخدم هذا التطبيق."

263
00:17:36,070 --> 00:17:38,540
"يجب تنزيل هذا التطبيق الآخر."

264
00:17:38,540 --> 00:17:41,170
من الناحية النظرية، التي يمكن أن تعمل.

265
00:17:41,170 --> 00:17:48,610
ربما فقط لا تستخدم بما فيه الكفاية لتحديد ما اذا كان ناجحا أم لا،

266
00:17:48,610 --> 00:17:51,680
لكنهم وجدوا أن يستخدم أقل من 1٪ من الوقت الذي تقنية.

267
00:17:51,680 --> 00:17:56,130
في معظم الوقت انها حقا رمز إعادة تجميعها.

268
00:17:56,130 --> 00:17:58,710
>> هناك فئة تسمى مستقل آخر

269
00:17:58,710 --> 00:18:01,420
حيث شخص يبني مجرد تطبيق العلامة التجارية الجديدة.

270
00:18:01,420 --> 00:18:04,020
يبنون أحد التطبيقات التي يزعم أن يكون شيء.

271
00:18:04,020 --> 00:18:07,360
انها ليست تحزيم من شيء آخر، والذي يحتوي على تعليمات برمجية ضارة.

272
00:18:07,360 --> 00:18:11,230
الذي يتم استخدامه 14٪ من الوقت.

273
00:18:11,230 --> 00:18:17,880
الآن أريد أن أتحدث عن ما تقوم به الشيفرات الخبيثة؟

274
00:18:17,880 --> 00:18:23,070
واحدة من البرمجيات الخبيثة لأول مرة هناك

275
00:18:23,070 --> 00:18:25,490
هل يمكن النظر في برامج التجسس.

276
00:18:25,490 --> 00:18:27,620
انها جواسيس في الأساس على المستخدم.

277
00:18:27,620 --> 00:18:30,470
التي تجمعها رسائل البريد الإلكتروني، والرسائل القصيرة.

278
00:18:30,470 --> 00:18:32,340
فإنه يتحول على الميكروفون.

279
00:18:32,340 --> 00:18:37,330
فإنه يحصد كتاب للإتصال به، ويرسل تشغيله لشخص آخر.

280
00:18:37,330 --> 00:18:40,870
هذا النوع من برامج التجسس موجودة على جهاز الكمبيوتر،

281
00:18:40,870 --> 00:18:46,200
لذلك فمن المنطقي مثالية للأشخاص لمحاولة القيام بذلك على الأجهزة النقالة.

282
00:18:46,200 --> 00:18:53,230
>> كان واحدا من الأمثلة الأولى من هذا برنامج يسمى سر SMS المكرر.

283
00:18:53,230 --> 00:18:56,250
كان عليه في سوق الروبوت بضع سنوات مضت،

284
00:18:56,250 --> 00:18:59,960
وكانت الفكرة لو كان لديك الوصول إلى الروبوت الهاتف لشخص ما

285
00:18:59,960 --> 00:19:03,450
ان كنت تريد للتجسس على، لذلك ربما انها زوجتك

286
00:19:03,450 --> 00:19:07,600
أو غيرها من الخاص كبيرة وتريد للتجسس على الرسائل النصية، و

287
00:19:07,600 --> 00:19:11,200
هل يمكن تحميل هذا التطبيق وتثبيته وتكوينه

288
00:19:11,200 --> 00:19:16,540
لإرسال رسالة نصية قصيرة SMS لك بنسخة

289
00:19:16,540 --> 00:19:21,710
كل رسالة نصية SMS لأنهم وصلوا.

290
00:19:21,710 --> 00:19:27,220
هذا هو واضح في انتهاكات شروط الخدمة المتجر،

291
00:19:27,220 --> 00:19:32,040
وهذا تم إزالتها من سوق الروبوت في غضون 18 ساعة من كونها هناك،

292
00:19:32,040 --> 00:19:36,760
لذلك كان عدد قليل جدا من الناس في خطر بسبب هذا.

293
00:19:36,760 --> 00:19:42,510
الآن، اعتقد انه اذا كان برنامج يسمى شيئا ربما أقل قليلا الاستفزازية

294
00:19:42,510 --> 00:19:48,690
مثل سر SMS المكرر وربما قد عملت الكثير أفضل.

295
00:19:48,690 --> 00:19:52,870
ولكنه كان نوع من واضحة.

296
00:19:52,870 --> 00:19:58,680
>> واحدة من الأشياء التي يمكننا القيام به لتحديد ما إذا كان لديهم هذا السلوك التطبيقات أننا لا نريد

297
00:19:58,680 --> 00:20:01,410
هو لتفقد التعليمات البرمجية.

298
00:20:01,410 --> 00:20:06,250
هذا هو في الواقع من السهل حقا أن تفعل على الروبوت لأننا لا نستطيع فك تطبيقات.

299
00:20:06,250 --> 00:20:11,050
على دائرة الرقابة الداخلية يمكنك استخدام المجمع مثل المؤسسة الدولية للتنمية برو

300
00:20:11,050 --> 00:20:17,190
لننظر إلى ما أبيس التطبيق تدعو وما تقوم به.

301
00:20:17,190 --> 00:20:20,680
كتبنا منطقتنا محلل ثابت ثنائي لرمز لدينا

302
00:20:20,680 --> 00:20:24,940
ونحن نفعل ذلك، وذلك ما يمكن أن تفعله هو أنك يمكن أن نقول

303
00:20:24,940 --> 00:20:30,490
لا الجهاز تفعل أي شيء أساسا على التجسس أو تتبع لي لي؟

304
00:20:30,490 --> 00:20:33,360
ولدي بعض الأمثلة هنا على اي فون.

305
00:20:33,360 --> 00:20:41,440
هذا المثال الأول هو كيفية الوصول إلى UUID على الهاتف.

306
00:20:41,440 --> 00:20:47,060
هذا هو في الواقع شيء أن أبل قد حظرت فقط لتطبيقات جديدة،

307
00:20:47,060 --> 00:20:52,540
ولكن التطبيقات القديمة التي كنت قد تعمل على الهاتف الخاص بك يمكن أن لا تزال تفعل ذلك،

308
00:20:52,540 --> 00:20:56,500
وبحيث معرف فريد يمكن استخدامها لتتبع لك

309
00:20:56,500 --> 00:21:00,440
عبر العديد من التطبيقات المختلفة.

310
00:21:00,440 --> 00:21:07,180
>> على الروبوت، ولدي مثال هنا للحصول على موقع الجهاز.

311
00:21:07,180 --> 00:21:10,310
يمكنك أن ترى أنه إذا تلك الدعوة API هناك أن التطبيق هو تتبع،

312
00:21:10,310 --> 00:21:15,000
ويمكنك معرفة ما إذا كان هو الحصول على موقع جيد أو موقع الخشنة.

313
00:21:15,000 --> 00:21:18,860
ثم في الجزء السفلي هنا، ولدي مثال عن كيفية على بلاك بيري

314
00:21:18,860 --> 00:21:25,130
قد الوصول إلى التطبيق رسائل البريد الإلكتروني في صندوق البريد الوارد.

315
00:21:25,130 --> 00:21:27,660
هذه هي نوع من الأشياء التي يمكن أن تفقد لرؤية

316
00:21:27,660 --> 00:21:32,360
إذا كان التطبيق يفعل تلك الأشياء.

317
00:21:32,360 --> 00:21:38,320
الفئة الثانية الكبيرة من سلوك ضار، وهذا هو على الارجح اكبر فئة الآن،

318
00:21:38,320 --> 00:21:43,950
هو الاتصال غير المصرح به، والرسائل النصية SMS قسط غير المصرح به

319
00:21:43,950 --> 00:21:46,080
أو مدفوعات غير المصرح به.

320
00:21:46,080 --> 00:21:48,930
شيء آخر هذا فريدة من نوعها حول الهاتف

321
00:21:48,930 --> 00:21:52,700
ويتم توصيل الجهاز إلى حساب الفواتير،

322
00:21:52,700 --> 00:21:55,960
وعندما يحدث أنشطة على الهاتف

323
00:21:55,960 --> 00:21:58,510
أنها يمكن أن تخلق الاتهامات.

324
00:21:58,510 --> 00:22:00,700
يمكنك شراء الأشياء عبر الهاتف،

325
00:22:00,700 --> 00:22:04,390
وعند إرسال رسالة نصية قصيرة SMS قسط كنت إعطاء المال في الواقع

326
00:22:04,390 --> 00:22:11,590
لصاحب الحساب من رقم الهاتف على الجانب الآخر.

327
00:22:11,590 --> 00:22:17,420
تم إعداد هذه للحصول على أسعار الأسهم أو الحصول على برجك اليومي أو أشياء أخرى،

328
00:22:17,420 --> 00:22:21,680
ولكنها يمكن أن تقام لأجل منتج عن طريق إرسال نصية قصيرة SMS.

329
00:22:21,680 --> 00:22:26,970
الناس تعطي المال إلى الصليب الأحمر عن طريق إرسال رسالة نصية.

330
00:22:26,970 --> 00:22:30,650
يمكنك ان تعطي 10 $ بهذه الطريقة.

331
00:22:30,650 --> 00:22:34,190
>> المهاجمون، ما فعلوه هو أنهم اقامة

332
00:22:34,190 --> 00:22:38,750
حسابات في دول أجنبية، وأنها تغرس في البرمجيات الخبيثة

333
00:22:38,750 --> 00:22:42,840
أن الهاتف سوف ترسل رسالة نصية SMS قسط،

334
00:22:42,840 --> 00:22:47,700
ويقول، بضع مرات في اليوم، وفي نهاية الشهر كنت أدرك كنت قد أنفقت

335
00:22:47,700 --> 00:22:52,090
عشرات أو ربما حتى مئات من الدولارات، ويمشون بعيدا مع المال.

336
00:22:52,090 --> 00:22:57,280
حصلت على هذا السوء أن هذا كان أول شيء جدا أن الروبوت

337
00:22:57,280 --> 00:23:00,760
السوق أو مكان، فإنه كان جوجل سوق الروبوت في ذلك الوقت،

338
00:23:00,760 --> 00:23:04,430
وانها الآن جوجل المباريات أول شيء أن جوجل بدأت التحقق من وجود.

339
00:23:04,430 --> 00:23:08,700
عندما بدأت جوجل توزيع تطبيقات الروبوت في متجر تطبيقاتهم

340
00:23:08,700 --> 00:23:11,350
قالوا انهم لن تحقق من وجود أي شيء.

341
00:23:11,350 --> 00:23:15,630
سنقوم سحب التطبيقات مرة واحدة لقد تم إخطار لقد كسر شروط الخدمة،

342
00:23:15,630 --> 00:23:17,520
لكننا لن تحقق من وجود أي شيء.

343
00:23:17,520 --> 00:23:24,350
حسنا، قبل نحو عام أنها حصلت سيئة للغاية مع هذه العلاوة رسالة نصية SMS الخبيثة

344
00:23:24,350 --> 00:23:28,030
أن هذا هو أول شيء بدأوا التدقيق ل.

345
00:23:28,030 --> 00:23:31,770
إذا كان التطبيق يمكن إرسال رسائل نصية SMS

346
00:23:31,770 --> 00:23:34,750
أنها تدقق أن تطبيق مزيد يدويا.

347
00:23:34,750 --> 00:23:38,770
انهم يبحثون عن واجهات برمجة التطبيقات التي تستدعي ذلك،

348
00:23:38,770 --> 00:23:40,580
والآن منذ ذلك الحين توسعت جوجل،

349
00:23:40,580 --> 00:23:46,900
ولكن هذا كان أول ما بدأوا يبحثون عنه.

350
00:23:46,900 --> 00:23:50,690
>> بعض التطبيقات الأخرى التي فعلت بعض الرسائل النصية SMS،

351
00:23:50,690 --> 00:23:56,980
هذا الروبوت Qicsomos، أعتقد يطلق عليه.

352
00:23:56,980 --> 00:24:02,670
كان هناك هذا الحدث الحالي على المحمول حيث جاء هذا CarrierIQ خارج

353
00:24:02,670 --> 00:24:07,720
كما وضعت برامج التجسس على الجهاز من قبل شركات الطيران،

354
00:24:07,720 --> 00:24:10,820
من الناس تريد أن تعرف إذا كانت هواتفهم عرضة لهذا،

355
00:24:10,820 --> 00:24:13,890
وكان هذا التطبيق الحرة التي اختبرت ذلك.

356
00:24:13,890 --> 00:24:17,520
حسنا، بالطبع، ما فعله هذا التطبيق كان إرسال الرسائل النصية القصيرة المتميزة،

357
00:24:17,520 --> 00:24:20,090
ذلك عن طريق اختبار لمعرفة ما إذا كنت مصابة التجسس

358
00:24:20,090 --> 00:24:24,930
الذي قمت بتحميله البرامج الضارة على جهازك.

359
00:24:24,930 --> 00:24:27,310
رأينا الشيء نفسه يحدث في الماضي سوبر السلطانية.

360
00:24:27,310 --> 00:24:33,180
كان هناك نسخة وهمية للعبة كرة القدم مادن

361
00:24:33,180 --> 00:24:38,320
التي أرسلت رسائل نصية SMS متميزة.

362
00:24:38,320 --> 00:24:45,750
حاولت فعلا لإنشاء شبكة بوت جدا على الجهاز.

363
00:24:45,750 --> 00:24:48,090
هنا لدي بعض الأمثلة.

364
00:24:48,090 --> 00:24:52,640
ومن المثير للاهتمام، وكان أبل ذكية جدا،

365
00:24:52,640 --> 00:24:58,470
وأنها لا تسمح للتطبيقات لإرسال رسائل نصية SMS على الإطلاق.

366
00:24:58,470 --> 00:25:00,350
لا تستطيع ان تفعل ذلك التطبيق.

367
00:25:00,350 --> 00:25:03,530
هذا هو وسيلة رائعة للتخلص من فئة كاملة من الضعف،

368
00:25:03,530 --> 00:25:09,040
ولكن على الروبوت يمكنك أن تفعل ذلك، وبطبيعة الحال، على بلاك بيري يمكنك أن تفعل ذلك أيضا.

369
00:25:09,040 --> 00:25:13,060
انها مثيرة للاهتمام أن على بلاك بيري كل ما تحتاجه هو أذونات الإنترنت

370
00:25:13,060 --> 00:25:18,370
لإرسال رسالة نصية قصيرة SMS.

371
00:25:18,370 --> 00:25:21,580
>> والشيء الآخر حقا أن ننظر ل

372
00:25:21,580 --> 00:25:24,780
عندما نحن نبحث لمعرفة ما إذا كان هناك شيء غير الخبيثة هو مجرد أي نوع من

373
00:25:24,780 --> 00:25:28,100
نشاط الشبكة غير مصرح بها، مثل إلقاء نظرة على نشاط الشبكة

374
00:25:28,100 --> 00:25:31,570
من المفترض أن يكون لديك وظائفه التطبيق،

375
00:25:31,570 --> 00:25:35,380
وإلقاء نظرة على هذا النشاط الشبكة الأخرى.

376
00:25:35,380 --> 00:25:43,380
ربما أحد التطبيقات، للعمل، لديها للحصول على البيانات عبر HTTP،

377
00:25:43,380 --> 00:25:47,500
ولكن إذا كان يفعل الأشياء عبر البريد الإلكتروني أو الرسائل القصيرة أو بلوتوث أو شيء من هذا القبيل

378
00:25:47,500 --> 00:25:52,890
الآن أن التطبيق المحتمل أن تكون ضارة، لذلك هذا هو آخر شيء كنت يمكن أن تفقد ل.

379
00:25:52,890 --> 00:26:00,430
وعلى هذه الشريحة هنا لدي بعض الأمثلة على ذلك.

380
00:26:00,430 --> 00:26:05,950
آخر الشيء المثير للاهتمام رأينا مع البرمجيات الخبيثة حدث مرة أخرى في عام 2009،

381
00:26:05,950 --> 00:26:07,600
وحدث ذلك بطريقة كبيرة.

382
00:26:07,600 --> 00:26:11,390
أنا لا أعرف إذا حدث ذلك كثيرا منذ ذلك الحين، ولكن كان التطبيق

383
00:26:11,390 --> 00:26:15,140
أن انتحاله تطبيق آخر.

384
00:26:15,140 --> 00:26:21,700
كان هناك مجموعة من التطبيقات، وسماها الهجوم 09Droid،

385
00:26:21,700 --> 00:26:29,770
وقرر شخص ما أن هناك الكثير من البنوك الصغيرة والإقليمية ومتوسطة الحجم

386
00:26:29,770 --> 00:26:32,260
التي لم يكن لديك تطبيقات الخدمات المصرفية عبر الإنترنت،

387
00:26:32,260 --> 00:26:36,870
وذلك ما فعلوه كان بنوا حوالي 50 تطبيقات الخدمات المصرفية عبر الإنترنت

388
00:26:36,870 --> 00:26:39,410
أن كل ما فعلوه هو اتخاذ اسم المستخدم وكلمة المرور

389
00:26:39,410 --> 00:26:42,190
وتحولك إلى الموقع.

390
00:26:42,190 --> 00:26:47,470
وهكذا وضعوا هذه كل شيء في سوق جوجل،

391
00:26:47,470 --> 00:26:51,530
في سوق الروبوت، وعندما يقوم شخص ما بحثت لمعرفة ما إذا حساباتهم المصرفية

392
00:26:51,530 --> 00:26:56,000
كان تطبيق أنهم سيجدون تطبيق وهمية،

393
00:26:56,000 --> 00:27:01,230
التي جمعت وثائق تفويضهم ثم توجيه لهم لموقعه على الانترنت.

394
00:27:01,230 --> 00:27:06,640
الطريق أن هذا الواقع أصبح ل-كانت هناك تطبيقات تصل لبضعة أسابيع،

395
00:27:06,640 --> 00:27:09,050
وكان هناك الآلاف والآلاف من التنزيلات.

396
00:27:09,050 --> 00:27:12,910
>> وكان السبيل جاء هذا للضوء شخص كان وجود مشكلة

397
00:27:12,910 --> 00:27:15,740
مع واحدة من التطبيقات، ودعوا البنك، و

398
00:27:15,740 --> 00:27:18,390
ودعوا خط دعم العملاء المصرفية الخاصة بهم، وقال:

399
00:27:18,390 --> 00:27:21,180
"أواجه مشكلة مع تطبيق المصرفية عبر الهاتف المحمول الخاص بك."

400
00:27:21,180 --> 00:27:23,460
"هل يمكنك مساعدتي؟"

401
00:27:23,460 --> 00:27:26,540
وقالوا: "ليس لدينا تطبيق المصرفية عبر الهاتف المحمول."

402
00:27:26,540 --> 00:27:28,120
التي بدأت التحقيق.

403
00:27:28,120 --> 00:27:31,200
أن البنك دعا جوجل، ثم بدا جوجل، وقال:

404
00:27:31,200 --> 00:27:37,220
"نجاح باهر، والمؤلف نفسه قد كتب 50 التطبيقات المصرفية"، واقتادتهم جميعا إلى أسفل.

405
00:27:37,220 --> 00:27:43,410
ولكن بالتأكيد هذا يمكن أن يحدث مرة أخرى.

406
00:27:43,410 --> 00:27:51,790
هناك قائمة من جميع البنوك المختلفة هنا

407
00:27:51,790 --> 00:27:55,870
التي كانت جزءا من هذه الفضيحة.

408
00:27:55,870 --> 00:28:02,050
الشيء الآخر التطبيق يمكن القيام به هو الحاضر واجهة المستخدم من تطبيق آخر.

409
00:28:02,050 --> 00:28:06,430
في حين انها تعمل يمكن أن يطفو على السطح في الفيسبوك واجهة المستخدم.

410
00:28:06,430 --> 00:28:09,540
تقول عليك ان تضع في اسم المستخدم وكلمة المرور لمتابعة

411
00:28:09,540 --> 00:28:15,090
أو طرح أي اسم المستخدم وكلمة المرور واجهة المستخدم لموقع على شبكة الانترنت

412
00:28:15,090 --> 00:28:18,420
أنه ربما كان المستخدم يستخدم فقط في محاولة لخداع المستخدم

413
00:28:18,420 --> 00:28:21,340
في وضع وثائق تفويضهم فيها.

414
00:28:21,340 --> 00:28:25,590
هذا هو حقا موازية على التوالي من هجمات التصيد البريد الإلكتروني

415
00:28:25,590 --> 00:28:28,210
حيث شخص يرسل لك رسالة بريد إلكتروني

416
00:28:28,210 --> 00:28:33,050
ويعطيك أساسا واجهة وهمية لموقع على شبكة الانترنت

417
00:28:33,050 --> 00:28:37,320
أن يكون لديك الوصول إليها.

418
00:28:37,320 --> 00:28:41,590
والشيء الآخر >> نبحث عنه في الشيفرات الخبيثة هو تعديل النظام.

419
00:28:41,590 --> 00:28:48,160
يمكنك البحث عن جميع المكالمات API التي تتطلب امتياز الجذر

420
00:28:48,160 --> 00:28:50,870
لتنفيذ بشكل صحيح.

421
00:28:50,870 --> 00:28:56,160
أن تغيير وكيل ويب للجهاز يكون شيئا أن تطبيق

422
00:28:56,160 --> 00:28:59,530
لا ينبغي أن تكون قادرة على القيام به.

423
00:28:59,530 --> 00:29:03,030
ولكن إذا كان التطبيق يحتوي على رمز في هناك للقيام بذلك

424
00:29:03,030 --> 00:29:05,960
كنت أعرف أنه من المحتمل أن يكون التطبيق الخبيثة

425
00:29:05,960 --> 00:29:09,620
أو من المحتمل أن يكون تطبيق الخبيثة عالية جدا،

426
00:29:09,620 --> 00:29:13,910
وذلك ما يمكن أن يحدث هو أن التطبيق سيكون له بعض الطريق تصاعد الامتياز.

427
00:29:13,910 --> 00:29:17,200
كان يمكن أن يكون بعض التصعيد امتياز استغلال

428
00:29:17,200 --> 00:29:20,730
في التطبيق، ومن ثم بمجرد أن صعدت امتيازات

429
00:29:20,730 --> 00:29:23,800
أنها ستفعل هذه التعديلات النظام.

430
00:29:23,800 --> 00:29:28,010
يمكنك العثور البرامج الضارة التي لديها امتياز التصعيد

431
00:29:28,010 --> 00:29:32,550
في ذلك حتى من دون معرفة كيفية التصعيد امتياز

432
00:29:32,550 --> 00:29:37,960
استغلال ما سيحدث، وهذا لطيف، طريقة سهلة

433
00:29:37,960 --> 00:29:41,220
للبحث عن البرامج الضارة.

434
00:29:41,220 --> 00:29:46,030
كان DroidDream ربما قطعة من البرمجيات الخبيثة الأكثر شهرة الروبوت.

435
00:29:46,030 --> 00:29:50,530
أعتقد أنه يتأثر حوالي 250،000 مستخدمين على مدى بضعة أيام

436
00:29:50,530 --> 00:29:52,810
قبل العثور عليها.

437
00:29:52,810 --> 00:29:56,890
انهم إعادة تجميعها 50 طلبا وهمية،

438
00:29:56,890 --> 00:30:00,370
وضعها في مخزن التطبيق الروبوت،

439
00:30:00,370 --> 00:30:10,940
وأنها تستخدم أساسا الروبوت الهروب من السجن رمز لتصعيد الامتيازات

440
00:30:10,940 --> 00:30:16,380
ثم تثبيت أمر والسيطرة وتحويل جميع الضحايا

441
00:30:16,380 --> 00:30:20,690
في صافي بوت، ولكن هل يمكن أن يكون الكشف عن هذه

442
00:30:20,690 --> 00:30:24,170
إذا كنت مسح التطبيق وتبحث فقط عن

443
00:30:24,170 --> 00:30:32,230
يدعو API التي إذن الجذرية اللازمة لتنفيذ بشكل صحيح.

444
00:30:32,230 --> 00:30:40,150
>> وهناك مثال هنا لدي الذي هو تغيير وكيل،

445
00:30:40,150 --> 00:30:46,380
وهذا لا يتوفر إلا في الواقع على الروبوت.

446
00:30:46,380 --> 00:30:49,070
يمكنك ان ترى أنا أقدم لك الكثير من الأمثلة على الروبوت

447
00:30:49,070 --> 00:30:53,990
لأن هذا هو المكان النظام الإيكولوجي البرمجيات الخبيثة الأكثر نشاطا هو

448
00:30:53,990 --> 00:30:58,690
لأنه من السهل حقا للمهاجمين للحصول على الشيفرات الخبيثة

449
00:30:58,690 --> 00:31:01,470
في سوق الروبوت.

450
00:31:01,470 --> 00:31:06,480
انها ليست من السهل جدا أن تفعل ذلك في المتجر أبل

451
00:31:06,480 --> 00:31:10,250
لأن أبل يتطلب المطورين لتعريف أنفسهم

452
00:31:10,250 --> 00:31:12,790
وتوقيع التعليمات البرمجية.

453
00:31:12,790 --> 00:31:20,340
أنها تحقق فعلا من أنت، وأبل هو فعلا التدقيق في التطبيقات.

454
00:31:20,340 --> 00:31:27,450
نحن لا نرى الكثير من البرمجيات الخبيثة الحقيقية حيث يتم الحصول على الجهاز للخطر.

455
00:31:27,450 --> 00:31:32,250
سأتحدث عن بعض الأمثلة حيث انها حقا الخصوصية التي يزداد خطر،

456
00:31:32,250 --> 00:31:38,460
وهذا ما يحدث حقا على جهاز أبل.

457
00:31:38,460 --> 00:31:44,090
شيء آخر للبحث عن الشيفرات الخبيثة، كود الخطرة في الأجهزة

458
00:31:44,090 --> 00:31:50,300
هو منطق أو الوقت القنابل، وقنابل موقوتة وربما

459
00:31:50,300 --> 00:31:53,370
أسهل بكثير للبحث عن قنابل من المنطق.

460
00:31:53,370 --> 00:31:57,030
ولكن مع قنابل موقوتة، ما يمكنك القيام به هو يمكنك أن تبحث عن

461
00:31:57,030 --> 00:32:04,760
وبدا الأماكن في التعليمات البرمجية حيث يتم اختبار الوقت أو مطلقة الوقت ل

462
00:32:04,760 --> 00:32:08,190
قبل وظيفة معينة في التطبيق يحدث.

463
00:32:08,190 --> 00:32:14,200
وهذا يمكن القيام به لإخفاء هذا النشاط من المستخدم،

464
00:32:14,200 --> 00:32:17,510
لذلك يحدث في وقت متأخر من الليل.

465
00:32:17,510 --> 00:32:24,350
لم DroidDream كل نشاطها 11:00 حتي 08:00 بالتوقيت المحلي

466
00:32:24,350 --> 00:32:30,650
في محاولة للقيام بذلك في حين أن المستخدم قد لا يكون باستخدام أجهزتهم.

467
00:32:30,650 --> 00:32:38,680
وهناك سبب آخر >> للقيام بذلك هي إذا كان الناس باستخدام التحليل السلوكي للتطبيق،

468
00:32:38,680 --> 00:32:43,430
تشغيل التطبيق في رمل لمعرفة ما هو السلوك للتطبيق،

469
00:32:43,430 --> 00:32:51,090
يمكنهم استخدام المنطق القائم على الوقت للقيام النشاط

470
00:32:51,090 --> 00:32:54,640
عند التطبيق ليس في رمل.

471
00:32:54,640 --> 00:33:01,520
على سبيل المثال، مخزن التطبيق مثل أبل

472
00:33:01,520 --> 00:33:07,940
تشغيل التطبيق، لكنهم ربما لا تشغيل كل تطبيق ل، مثلا، 30 يوما

473
00:33:07,940 --> 00:33:10,550
قبل الموافقة عليه، لذلك يمكنك وضع

474
00:33:10,550 --> 00:33:14,120
المنطق في التطبيق الذي قال، حسنا، تفعل سوى شيئا سيئا

475
00:33:14,120 --> 00:33:20,490
بعد 30 يوما قد ذهب من قبل، أو بعد 30 يوما من تاريخ نشر الطلب،

476
00:33:20,490 --> 00:33:27,020
والتي يمكن أن تساعد على إخفاء الشيفرات الخبيثة من الناس يتفقد لذلك.

477
00:33:27,020 --> 00:33:30,050
إذا كانت الشركات المضادة للفيروسات تقوم بتشغيل الأمور في ملاعب من الرمل

478
00:33:30,050 --> 00:33:36,370
أو التطبيق مخازن أنفسهم وهذا يمكن أن يساعد

479
00:33:36,370 --> 00:33:39,260
إخفاء ذلك من أن التفتيش.

480
00:33:39,260 --> 00:33:43,020
الآن، وعلى الجانب الآخر من ذلك هو أنه من السهل أن تجد مع تحليل ساكنة،

481
00:33:43,020 --> 00:33:46,170
حتى تفقده في الواقع رمز يمكنك أن تبحث عن جميع الأماكن

482
00:33:46,170 --> 00:33:54,010
حيث تطبيق اختبارات الزمن وتفقد بهذه الطريقة.

483
00:33:54,010 --> 00:33:58,850
وهنا لدي بعض الأمثلة على هذه المنصات المختلفة 3

484
00:33:58,850 --> 00:34:05,640
كيف يمكن التحقق من الوقت لمن قبل صانع التطبيق

485
00:34:05,640 --> 00:34:10,520
حتى تعرف ما الذي تبحث عنه إذا كنت يتفقد التطبيق بشكل ثابت.

486
00:34:10,520 --> 00:34:14,570
>> أنا فقط ذهبت من خلال مجموعة كاملة من الأنشطة الخبيثة مختلفة

487
00:34:14,570 --> 00:34:18,969
التي شهدناها في البرية، ولكن تلك التي هي الأكثر انتشارا؟

488
00:34:18,969 --> 00:34:23,940
أن نفس الدراسة من ولاية كارولينا الشمالية مشروع الجينوم الدولة المحمول

489
00:34:23,940 --> 00:34:28,560
نشرت بعض البيانات، وكانت هناك أساسا 4 مناطق

490
00:34:28,560 --> 00:34:32,850
أنهم رأوا حيث كان هناك الكثير من النشاط.

491
00:34:32,850 --> 00:34:35,370
37٪ من التطبيقات فعل التصعيد امتياز،

492
00:34:35,370 --> 00:34:38,429
لذلك كان لديهم نوع من التعليمات البرمجية في الهروب من السجن هناك

493
00:34:38,429 --> 00:34:42,070
حيث حاولوا تصعيد الامتيازات بحيث يمكن

494
00:34:42,070 --> 00:34:48,360
لا أوامر API تشغيل ونظام التشغيل.

495
00:34:48,360 --> 00:34:52,520
45٪ من التطبيقات هناك فعل قسط SMS،

496
00:34:52,520 --> 00:34:57,260
ذلك أن نسبة كبيرة أن تحاول نقد مباشرة.

497
00:34:57,260 --> 00:35:02,640
93٪ لم تحكم عن بعد، لذلك حاولوا انشاء شبكة بوت، بوت شبكة المحمول.

498
00:35:02,640 --> 00:35:08,990
وتحصد 45٪ تحديد المعلومات

499
00:35:08,990 --> 00:35:16,230
مثل أرقام الهاتف، UUIDs، موقع GPS، وحسابات المستخدمين،

500
00:35:16,230 --> 00:35:22,870
وهذا يضيف ما يصل إلى أكثر من 100 لأن معظم البرمجيات الخبيثة يحاول القيام به عدد قليل من هذه الأشياء.

501
00:35:22,870 --> 00:35:27,070
>> انا ذاهب للتبديل إلى الشوط الثاني والحديث عن نقاط الضعف التعليمات البرمجية.

502
00:35:27,070 --> 00:35:29,480
هذا هو النصف الثاني من النشاط محفوفة بالمخاطر.

503
00:35:29,480 --> 00:35:33,450
هذا هو المكان أساسا المطور ارتكاب أخطاء.

504
00:35:33,450 --> 00:35:37,210
مطور المشروعة كتابة التطبيق المشروعة

505
00:35:37,210 --> 00:35:41,830
يتم ارتكاب أخطاء أو يجهل مخاطر منصة متنقلة.

506
00:35:41,830 --> 00:35:44,780
هم فقط لا يعرفون كيفية جعل التطبيق المحمول آمنة،

507
00:35:44,780 --> 00:35:47,700
أو في بعض الأحيان المطور لا يهمه وضع المستخدم للخطر.

508
00:35:47,700 --> 00:35:50,850
في بعض الأحيان جزءا من نموذج أعمالها قد تكون

509
00:35:50,850 --> 00:35:54,610
حصاد المعلومات الشخصية للمستخدم.

510
00:35:54,610 --> 00:35:58,090
وهذا النوع من فئة أخرى، وهذا هو السبب في أن بعض من هذه الخبيثة

511
00:35:58,090 --> 00:36:03,200
يبدأ المشروع في مقابل تنزف على أنه لا يوجد اختلاف في الآراء

512
00:36:03,200 --> 00:36:10,440
بين ما يريد المستخدم وما تعتبره المستخدم محفوفة بالمخاطر

513
00:36:10,440 --> 00:36:13,050
وما تعتبره مطور التطبيق محفوفة بالمخاطر.

514
00:36:13,050 --> 00:36:18,380
بالطبع، انها ليست البيانات مطور التطبيق في معظم الحالات.

515
00:36:18,380 --> 00:36:22,030
>> ثم أخيرا، هناك طريقة أخرى يحدث هذا هو مطور قد ربط في

516
00:36:22,030 --> 00:36:28,600
مكتبة المشتركة التي لديها نقاط الضعف أو هذا السلوك محفوف بالمخاطر في ذلك

517
00:36:28,600 --> 00:36:32,480
دون علم منهم.

518
00:36:32,480 --> 00:36:37,060
الفئة الأولى هي تسرب البيانات الحساسة،

519
00:36:37,060 --> 00:36:40,030
وهذا هو عندما يجمع التطبيق المعلومات

520
00:36:40,030 --> 00:36:44,980
مثل الموقع، معلومات دفتر العناوين، معلومات المالك

521
00:36:44,980 --> 00:36:48,000
ويرسل أن أغلق الجهاز.

522
00:36:48,000 --> 00:36:53,050
وبمجرد أن أغلق الجهاز، نحن لا نعرف ما يحدث مع تلك المعلومات.

523
00:36:53,050 --> 00:36:57,170
يمكن تخزينها غير مأمون من قبل مطور التطبيق.

524
00:36:57,170 --> 00:37:02,070
رأيناه الحصول على الشبهة مطوري التطبيقات،

525
00:37:02,070 --> 00:37:05,820
والبيانات التي يحصل انهم تخزين اتخاذها.

526
00:37:05,820 --> 00:37:10,970
حدث هذا قبل بضعة أشهر إلى أسفل المطور في ولاية فلوريدا

527
00:37:10,970 --> 00:37:21,660
حيث كان عدد كبير من بين ذلك UUIDs باد وأسماء الأجهزة

528
00:37:21,660 --> 00:37:25,270
سربت لشخص ما، وأعتقد أنه كان مجهول،

529
00:37:25,270 --> 00:37:29,460
ادعى القيام بذلك، اقتحم خوادم هذا المطور

530
00:37:29,460 --> 00:37:34,920
وسرقوا الملايين من باد UUIDs

531
00:37:34,920 --> 00:37:37,390
وأسماء أجهزة الكمبيوتر.

532
00:37:37,390 --> 00:37:40,260
لا المعلومات الأكثر خطورة،

533
00:37:40,260 --> 00:37:46,820
ولكن ماذا لو كان ذلك تخزين أسماء المستخدمين وكلمات المرور

534
00:37:46,820 --> 00:37:48,170
وعناوين المنازل؟

535
00:37:48,170 --> 00:37:51,100
هناك الكثير من التطبيقات التي تقوم بتخزين هذا النوع من المعلومات.

536
00:37:51,100 --> 00:37:53,230
والخطر هو هناك.

537
00:37:53,230 --> 00:37:56,620
>> والشيء الآخر الذي يمكن أن يحدث هو إذا كان المطور لا تأخذ الرعاية

538
00:37:56,620 --> 00:38:01,370
لتأمين قناة البيانات، وهذا الضعف كبيرة أخرى أنا بصدد الحديث عنه،

539
00:38:01,370 --> 00:38:05,160
يتم إرسال تلك البيانات في واضحة.

540
00:38:05,160 --> 00:38:09,040
إذا كان المستخدم على شبكة واي فاي العامة

541
00:38:09,040 --> 00:38:12,330
أو شخص ما في مكان ما شم الإنترنت

542
00:38:12,330 --> 00:38:19,260
على طول الطريق يتعرض تلك البيانات.

543
00:38:19,260 --> 00:38:23,790
حالة واحدة مشهورة جدا من تسرب المعلومات هذا حدث مع باندورا،

544
00:38:23,790 --> 00:38:27,250
وهذا شيء نحن بحث في Veracode.

545
00:38:27,250 --> 00:38:33,200
سمعنا أن هناك، وأعتقد أنه كان على لجنة التجارة الاتحادية

546
00:38:33,200 --> 00:38:35,310
التحقيق يجري مع باندورا.

547
00:38:35,310 --> 00:38:39,830
قلنا، "ما الذي يحدث هناك؟ دعونا نبدأ الحفر في التطبيق باندورا".

548
00:38:39,830 --> 00:38:46,690
وما توصلنا كان تطبيق باندورا جمعها

549
00:38:46,690 --> 00:38:51,270
جنسك وعمرك،

550
00:38:51,270 --> 00:38:56,660
وأيضا الوصول إلى موقع GPS الخاص بك، وتطبيق باندورا

551
00:38:56,660 --> 00:39:00,200
فعلت هذا من أجل ما قالوا إنهم كانوا لأسباب مشروعة.

552
00:39:00,200 --> 00:39:05,360
الموسيقى التي كانوا يلعبون-باندورا هو التطبيق الموسيقى يتدفقون

553
00:39:05,360 --> 00:39:07,530
الموسيقى كانوا يلعبون تم الترخيص فقط في الولايات المتحدة،

554
00:39:07,530 --> 00:39:13,020
لذلك كان عليهم أن تحقق الامتثال لاتفاقيات الترخيص الخاصة بهم أن لديهم

555
00:39:13,020 --> 00:39:17,240
للموسيقى أن المستخدم كان في الولايات المتحدة.

556
00:39:17,240 --> 00:39:25,070
انهم يريدون أيضا ليتوافق مع الاستشارية الوالدين

557
00:39:25,070 --> 00:39:33,790
حول لغة الكبار في الموسيقى،

558
00:39:33,790 --> 00:39:37,500
وذلك هو برنامج طوعي، ولكن أرادوا أن تمتثل

559
00:39:37,500 --> 00:39:43,010
وعدم اللعب كلمات صريحة للأطفال 13 وتحت.

560
00:39:43,010 --> 00:39:46,280
>> كان لديهم أسباب مشروعة لجمع هذه البيانات.

561
00:39:46,280 --> 00:39:49,160
كان تطبيقاتهم أذونات للقيام بذلك.

562
00:39:49,160 --> 00:39:52,000
يعتقد المستخدمين كان هذا المشروع. ولكن ماذا حدث؟

563
00:39:52,000 --> 00:39:55,810
أنها مرتبطة في 3 أو 4 مكتبات إعلانية مختلفة.

564
00:39:55,810 --> 00:39:59,140
الآن كل من المفاجئ على جميع المكتبات إعلان هذه

565
00:39:59,140 --> 00:40:02,970
يتم الحصول على الوصول إلى هذه المعلومات نفسها.

566
00:40:02,970 --> 00:40:05,830
المكتبات الإعلان، إذا نظرتم الى التعليمات البرمجية في مكتبات إعلان

567
00:40:05,830 --> 00:40:08,430
ما يفعلونه هو يقول كل مكتبة الإعلانية

568
00:40:08,430 --> 00:40:11,340
"هل لديك بلدي التطبيق إذن للحصول على موقع GPS؟"

569
00:40:11,340 --> 00:40:14,890
"أوه، أنها لا؟ حسنا، قل لي الموقع GPS".

570
00:40:14,890 --> 00:40:16,620
كل مكتبة إعلان واحد يفعل ذلك،

571
00:40:16,620 --> 00:40:19,740
وإذا لم يكن لديك إذن التطبيق GPS

572
00:40:19,740 --> 00:40:23,460
انها لن تكون قادرة على الحصول عليه، ولكن إذا كان كذلك، فإنه سوف تحصل عليه.

573
00:40:23,460 --> 00:40:26,240
هذا هو المكان الذي نموذج الأعمال المكتبات الإعلان

574
00:40:26,240 --> 00:40:31,160
تعارض خصوصية المستخدم.

575
00:40:31,160 --> 00:40:34,980
وكان هناك دراسات الى ان هناك سيقول إذا كنت تعرف سن

576
00:40:34,980 --> 00:40:38,430
شخص وأنت تعرف مواقعها

577
00:40:38,430 --> 00:40:42,530
حيث ينامون في الليل، لأن لديك إحداثيات GPS الخاصة

578
00:40:42,530 --> 00:40:46,030
في حين أنها ربما ينامون، وانت تعرف بالضبط من هو هذا الشخص

579
00:40:46,030 --> 00:40:50,230
لأنه يمكنك تحديد أي عضو في هذه الأسرة هو ذلك الشخص.

580
00:40:50,230 --> 00:40:54,780
حقا هذا هو تحديد للمعلنين

581
00:40:54,780 --> 00:40:59,530
بالضبط من أنت، ويبدو أنها كانت مشروعة.

582
00:40:59,530 --> 00:41:02,800
أريد فقط بلدي تدفق الموسيقى، وهذا هو السبيل الوحيد للحصول عليه.

583
00:41:02,800 --> 00:41:05,370
>> حسنا، نحن يتعرض هذا.

584
00:41:05,370 --> 00:41:08,030
كتبنا هذا الأمر في العديد من المناصب بلوق،

585
00:41:08,030 --> 00:41:13,280
واتضح ان احدهم من مجلة رولينج ستون

586
00:41:13,280 --> 00:41:18,810
قراءة واحدة من بلوق وظائف لدينا وكتب بلوق الخاصة بها في رولينج ستون حول هذا الموضوع،

587
00:41:18,810 --> 00:41:22,120
وفي اليوم التالي للغاية يعتقد باندورا كان فكرة جيدة

588
00:41:22,120 --> 00:41:27,600
لإزالة المكتبات الإعلان من تطبيقها.

589
00:41:27,600 --> 00:41:31,270
بقدر ما أعرف انهم فقط، فهم ينبغي الثناء.

590
00:41:31,270 --> 00:41:35,770
اعتقد انهم نوع freemium فقط من التطبيق الذي قام به هذا.

591
00:41:35,770 --> 00:41:38,660
جميع تطبيقات freemium الأخرى لديها هذا السلوك نفسه،

592
00:41:38,660 --> 00:41:41,780
لذلك كنت قد حصلت على التفكير في أي نوع من البيانات التي منحنا

593
00:41:41,780 --> 00:41:48,330
هذه التطبيقات freemium لأنها جميعا سوف المعلنين.

594
00:41:48,330 --> 00:41:53,390
كما فعلت امبراطوري دراسة حول المكتبات المشتركة، وقال:

595
00:41:53,390 --> 00:41:57,100
"دعونا ننظر إلى ما المشتركة المكتبات هي المكتبات المشتركة العليا"، وكان هذا هو البيانات.

596
00:41:57,100 --> 00:41:59,420
>> قاموا بتحليل 53،000 تطبيقات،

597
00:41:59,420 --> 00:42:01,900
وكانت المكتبة المشتركة رقم 1 Admob.

598
00:42:01,900 --> 00:42:06,060
كان عليه فعلا في 38٪ من التطبيقات هناك،

599
00:42:06,060 --> 00:42:08,800
حتى 38٪ من التطبيقات التي تستخدمه

600
00:42:08,800 --> 00:42:11,250
ومن المرجح حصاد معلوماتك الشخصية

601
00:42:11,250 --> 00:42:16,650
وإرساله إلى الشبكات الإعلانية.

602
00:42:16,650 --> 00:42:19,350
كانت اباتشي والروبوت 8٪ و 6٪،

603
00:42:19,350 --> 00:42:22,960
ثم هذه بعضها الآخر في أسفل، إعلانات جوجل، الموجة،

604
00:42:22,960 --> 00:42:26,600
الغوغاء مدينة الألفي وسائل الإعلام،

605
00:42:26,600 --> 00:42:30,500
هذه هي جميع الشركات الإعلانية، وبعد ذلك، من المثير للاهتمام بما فيه الكفاية،

606
00:42:30,500 --> 00:42:33,500
4٪ مرتبطة في المكتبة الفيسبوك

607
00:42:33,500 --> 00:42:38,870
ربما للقيام المصادقة من خلال الفيسبوك

608
00:42:38,870 --> 00:42:40,810
وبالتالي فإن التطبيق يمكن مصادقة الفيسبوك.

609
00:42:40,810 --> 00:42:44,660
ولكن هذا يعني أيضا شركة الفيسبوك يتحكم كود

610
00:42:44,660 --> 00:42:49,010
وهذا ما يعمل في 4٪ من تطبيقات الروبوت المتحرك هناك،

611
00:42:49,010 --> 00:42:53,490
وحصولهم على كافة البيانات التي أن التطبيق لديه الإذن للحصول على.

612
00:42:53,490 --> 00:42:57,170
الفيسبوك يحاول أساسا لبيع مساحات إعلانية.

613
00:42:57,170 --> 00:43:00,120
هذا هو نموذج أعمالها.

614
00:43:00,120 --> 00:43:02,920
>> اذا نظرتم الى هذا النظام البيئي كله مع هذه الأذونات

615
00:43:02,920 --> 00:43:07,740
والمكتبات المشتركة التي تبدأ في رؤية أن

616
00:43:07,740 --> 00:43:13,850
لديك الكثير من المخاطر في تطبيق الشرعية المفترض.

617
00:43:13,850 --> 00:43:19,360
الشيء نفسه حدث مع المماثلة التي باندورا

618
00:43:19,360 --> 00:43:22,340
حدث مع تطبيق يسمى المسار،

619
00:43:22,340 --> 00:43:27,660
ويعتقد أنها كانت مسار كونها مفيدة والمطورين ودية.

620
00:43:27,660 --> 00:43:32,160
انها مجرد محاولة لتعطيك تجربة ممتازة للمستخدم،

621
00:43:32,160 --> 00:43:37,810
واتضح أنه من دون مطالبة المستخدم أو تشرح للمستخدم أي شيء،

622
00:43:37,810 --> 00:43:40,400
وحدث هذا على اي فون وعلى الروبوت،

623
00:43:40,400 --> 00:43:44,420
كان باندورا التطبيق على اي فون والروبوت

624
00:43:44,420 --> 00:43:48,890
أن تطبيق مسار تم الاستيلاء كتابك العنوان بالكامل

625
00:43:48,890 --> 00:43:52,830
وتحميلها على مسار فقط عند تثبيت وركض التطبيق،

626
00:43:52,830 --> 00:43:55,840
وأنهم لم اقول لكم حول هذا الموضوع.

627
00:43:55,840 --> 00:43:58,750
كانوا يعتقدون أنه كان مفيدا جدا بالنسبة لك

628
00:43:58,750 --> 00:44:04,040
لتكون قادرة على المشاركة مع جميع الناس في دفتر العناوين الخاص بك

629
00:44:04,040 --> 00:44:06,920
أن كنت تستخدم تطبيق مسار.

630
00:44:06,920 --> 00:44:09,490
>> حسنا، من الواضح يعتقد مسار هذا كان كبيرا للشركة.

631
00:44:09,490 --> 00:44:13,510
ليست كبيرة للمستخدم.

632
00:44:13,510 --> 00:44:19,020
عليك أن تفكر أنه شيء واحد إذا ربما في سن المراهقة

633
00:44:19,020 --> 00:44:23,700
يستخدم هذا التطبيق وعشرات من الأصدقاء في هناك،

634
00:44:23,700 --> 00:44:29,360
ولكن ماذا لو كان الرئيس التنفيذي لشركة مسار الذي يثبت

635
00:44:29,360 --> 00:44:33,170
ثم فجأة على دفتر العناوين كلها تصل إلى هناك؟

636
00:44:33,170 --> 00:44:38,310
وأنت تسير في الحصول على الكثير من المعلومات الاتصال يحتمل أن تكون قيمة

637
00:44:38,310 --> 00:44:40,920
لكثير من الناس.

638
00:44:40,920 --> 00:44:44,500
وذكر مراسل من صحيفة نيويورك تايمز، قد تكون قادرة على الحصول على رقم الهاتف

639
00:44:44,500 --> 00:44:47,380
بالنسبة للرؤساء السابقين من دفتر العناوين الخاصة بهم،

640
00:44:47,380 --> 00:44:54,780
لذلك من الواضح أن الكثير من المعلومات الحساسة يحصل على نقل بشيء من هذا القبيل.

641
00:44:54,780 --> 00:44:58,090
كان هناك مثل هذا رفرف كبيرة حول هذا اعتذر أن مسار.

642
00:44:58,090 --> 00:45:01,610
غيروا التطبيق، وحتى أنها أثرت أبل.

643
00:45:01,610 --> 00:45:06,950
وقال تفاحة "، ونحن في طريقنا لإجبار البائعين التطبيق للمطالبة المستخدمين

644
00:45:06,950 --> 00:45:12,650
إذا أنهم ذاهبون لجمع بدفتر العناوين ".

645
00:45:12,650 --> 00:45:15,360
يبدو >> مثل ما يحدث هنا هو

646
00:45:15,360 --> 00:45:19,430
عندما يكون هناك واحد انتهاك خصوصية كبيرة ويجعل الصحافة

647
00:45:19,430 --> 00:45:21,680
ونحن نرى تغييرا هناك.

648
00:45:21,680 --> 00:45:23,230
ولكن بالطبع، هناك أمور أخرى هناك.

649
00:45:23,230 --> 00:45:27,440
يحصد تطبيق ينكدين إدخالات التقويم الخاص بك،

650
00:45:27,440 --> 00:45:34,530
ولكن أبل لا يجعل تتم مطالبة المستخدم عن ذلك.

651
00:45:34,530 --> 00:45:38,030
يمكن إدخالات التقويم لديهم معلومات حساسة في لهم أيضا.

652
00:45:38,030 --> 00:45:40,000
إلى أين أنت ذاهب لرسم الخط؟

653
00:45:40,000 --> 00:45:43,960
هذا هو حقا نوع من مكان المتطور

654
00:45:43,960 --> 00:45:47,640
حيث هناك حقا أي مستوى جيد هناك

655
00:45:47,640 --> 00:45:51,990
للمستخدمين لفهم عندما معلوماتهم ستكون في خطر

656
00:45:51,990 --> 00:45:57,820
وعندما أنهم ذاهبون لمعرفة يجري التقاطها.

657
00:45:57,820 --> 00:46:03,040
كتبنا التطبيق في Veracode دعا داع،

658
00:46:03,040 --> 00:46:08,350
وأساسا فإنه يسمح لك أن نشير التطبيق في الدليل الخاص بك اي تيونز

659
00:46:08,350 --> 00:46:12,550
والنظر في جميع التطبيقات التي تم حصاد الكتاب العنوان الكامل.

660
00:46:12,550 --> 00:46:19,760
وكما ترون في هذه القائمة هنا، غاضبون الطيور،

661
00:46:19,760 --> 00:46:21,590
AIM، AroundMe.

662
00:46:21,590 --> 00:46:24,050
لماذا تحتاج الطيور الغاضبة دفتر العناوين الخاص بك؟

663
00:46:24,050 --> 00:46:29,160
أنا لا أعرف، ولكنه بطريقة أو بأخرى.

664
00:46:29,160 --> 00:46:32,310
>> وهذا شيء تفعل الكثير والكثير من التطبيقات.

665
00:46:32,310 --> 00:46:34,780
يمكنك فحص رمز لهذا الغرض.

666
00:46:34,780 --> 00:46:38,660
هناك واجهات برمجة التطبيقات واضحة المعالم لفون، أندرويد وبلاك بيري

667
00:46:38,660 --> 00:46:42,120
للحصول على دفتر العناوين.

668
00:46:42,120 --> 00:46:48,520
يمكنك بسهولة تفقد حقا لهذا، وهذا ما فعلناه في تطبيق وداع لدينا.

669
00:46:48,520 --> 00:46:52,320
فئة المقبل، غير آمنة تخزين البيانات الحساسة،

670
00:46:52,320 --> 00:46:55,670
هو شيء حيث تأخذ مطوري شيء مثل دبوس أو رقم الحساب

671
00:46:55,670 --> 00:46:58,530
أو كلمة مرور وتخزينه في واضحة على الجهاز.

672
00:46:58,530 --> 00:47:02,310
أسوأ من ذلك، لأنها قد تخزينه في منطقة على الهاتف

673
00:47:02,310 --> 00:47:06,820
التي يمكن الوصول إليها عالميا، مثل بطاقة SD.

674
00:47:06,820 --> 00:47:11,320
ترى هذا في كثير من الأحيان على الروبوت الروبوت ليسمح للحصول على بطاقة SD.

675
00:47:11,320 --> 00:47:13,200
أجهزة آيفون لا.

676
00:47:13,200 --> 00:47:17,900
ولكن حتى رأينا هذا يحدث في تطبيق سيتي جروب.

677
00:47:17,900 --> 00:47:25,450
تطبيق المصرفية على الانترنت تخزين أرقام الحسابات غير مأمون،

678
00:47:25,450 --> 00:47:28,120
فقط في واضحة، لذلك إذا كنت فقدت جهازك،

679
00:47:28,120 --> 00:47:30,670
أساسا كنت فقدت حسابك المصرفي.

680
00:47:30,670 --> 00:47:36,000
هذا هو السبب في أنني شخصيا لا تفعل المصرفية على اي فون بلدي.

681
00:47:36,000 --> 00:47:43,710
اعتقد انها خطرة جدا في الوقت الراهن للقيام بهذه الأنواع من الأنشطة.

682
00:47:43,710 --> 00:47:45,950
فعل >> سكايب نفس الشيء.

683
00:47:45,950 --> 00:47:49,870
سكايب، وبطبيعة الحال، لديه رصيد الحساب، واسم المستخدم وكلمة المرور

684
00:47:49,870 --> 00:47:51,030
التي يمكنها الوصول إلى هذا التوازن.

685
00:47:51,030 --> 00:48:00,080
كانوا تخزين كل هذه المعلومات في واضحة على الجهاز المحمول.

686
00:48:00,080 --> 00:48:05,760
لدي بعض الأمثلة هنا من إنشاء ملفات

687
00:48:05,760 --> 00:48:10,310
أن لا يكون لديك الأذونات الحق أو الكتابة إلى القرص

688
00:48:10,310 --> 00:48:17,260
وعدم وجود أي تشفير يحدث لذلك.

689
00:48:17,260 --> 00:48:20,190
هذه المنطقة القادمة، غير آمنة لنقل المعلومات الحساسة،

690
00:48:20,190 --> 00:48:24,450
لقد ألمح إلى ذلك عدة مرات، وبسبب واي فاي العامة

691
00:48:24,450 --> 00:48:27,770
هذا هو الشيء الذي تطبيقات تماما الحاجة إلى القيام به،

692
00:48:27,770 --> 00:48:31,250
وربما هذا هو ما نراه تسوء أكثر.

693
00:48:31,250 --> 00:48:34,920
وأود أن أقول، في الواقع، أعتقد أن لدينا البيانات الفعلية،

694
00:48:34,920 --> 00:48:38,120
لكنها قريبة إلى نصف التطبيقات النقالة

695
00:48:38,120 --> 00:48:41,780
المسمار القيام SSL.

696
00:48:41,780 --> 00:48:43,910
انهم فقط لا تستخدم واجهات برمجة التطبيقات بشكل صحيح.

697
00:48:43,910 --> 00:48:47,970
أعني، كل ما قد حصلت على القيام به هو اتباع التعليمات واستخدام واجهات برمجة التطبيقات،

698
00:48:47,970 --> 00:48:54,720
لكنهم أشياء مثل لا تحقق ما إذا كان هناك شهادة غير صالحة في الطرف الآخر،

699
00:48:54,720 --> 00:49:02,120
لا معرفة ما اذا كان الطرف الآخر يحاول القيام بهجوم بروتوكول تقليله.

700
00:49:02,120 --> 00:49:07,200
>> المطورين، وأنها ترغب في الحصول على مربع الاختيار، أليس كذلك؟

701
00:49:07,200 --> 00:49:11,910
بحدها هو استخدام هذا للبيع. لقد استعملت هذا أنها للبيع.

702
00:49:11,910 --> 00:49:14,800
والشرط هو عدم استخدام هذا لبيع بشكل آمن،

703
00:49:14,800 --> 00:49:19,680
وحتى هذا هو السبب في كل التطبيقات التي تستخدم SSL لتأمين البيانات

704
00:49:19,680 --> 00:49:23,470
كما انه يتم نقلها من الجهاز حقا بحاجة الى أن يتم فحص

705
00:49:23,470 --> 00:49:28,950
للتأكد من أن تم تنفيذ بشكل صحيح.

706
00:49:28,950 --> 00:49:32,850
وهنا لدي بعض الأمثلة حيث يمكنك رؤية تطبيق

707
00:49:32,850 --> 00:49:37,400
قد تستخدم بدلا من HTTP HTTPS.

708
00:49:37,400 --> 00:49:40,510
في بعض الحالات تطبيقات ستعود إلى HTTP

709
00:49:40,510 --> 00:49:44,250
إذا كان HTTPS لا يعمل.

710
00:49:44,250 --> 00:49:49,070
لدي مكالمة أخرى هنا على الروبوت حيث انهم تعطيل الاختيار الشهادة،

711
00:49:49,070 --> 00:49:51,700
حتى هجوم رجل في الوسط إلى يمكن أن يحدث.

712
00:49:51,700 --> 00:49:56,370
لن يتم قبول شهادة غير صالحة.

713
00:49:56,370 --> 00:50:01,920
هذه هي جميع الحالات التي المهاجمين ستكون قادرة على الحصول على

714
00:50:01,920 --> 00:50:07,150
نفس اتصال واي فاي باسم المستخدم والوصول إلى كافة البيانات

715
00:50:07,150 --> 00:50:11,650
التي يجري إرسالها عبر الإنترنت.

716
00:50:11,650 --> 00:50:15,970
>> وأخيرا، فإن الفئة الأخيرة لدي هنا هي كلمة السر ومفاتيح ضمنية.

717
00:50:15,970 --> 00:50:21,470
ونحن نرى في الواقع الكثير من المطورين استخدام نفس أسلوب الترميز

718
00:50:21,470 --> 00:50:25,900
أن فعلوا عندما كانوا يبنون تطبيقات خادم الويب،

719
00:50:25,900 --> 00:50:29,700
حتى انهم بناء تطبيق ملقم جافا، وانهم hardcoding المفتاح.

720
00:50:29,700 --> 00:50:31,940
حسنا، عندما كنت بناء تطبيق ملقم، نعم،

721
00:50:31,940 --> 00:50:34,240
hardcoding المفتاح ليست فكرة جيدة.

722
00:50:34,240 --> 00:50:36,290
فإنه يجعل من الصعب تغييرها.

723
00:50:36,290 --> 00:50:40,700
ولكنها ليست سيئة للغاية على جانب الملقم لأن الذي لديه حق الوصول إلى الجانب الخادم؟

724
00:50:40,700 --> 00:50:43,140
فقط للمسؤولين.

725
00:50:43,140 --> 00:50:48,100
ولكن إذا كنت تأخذ نفس الرمز وكنت سكب عليه أكثر لتطبيقات الهاتف المتحرك

726
00:50:48,100 --> 00:50:52,550
الآن كل شخص لديه أن تطبيقات الهاتف المتحرك لديه حق الوصول إلى هذا المفتاح ضمنية،

727
00:50:52,550 --> 00:50:56,380
ونحن نرى في الواقع هذا في الكثير من الأحيان، ولدي بعض الإحصاءات

728
00:50:56,380 --> 00:51:00,920
على كيفية غالبا ما نرى هذا يحدث.

729
00:51:00,920 --> 00:51:04,940
كان في الواقع في التعليمات البرمجية المثال أن نشرت ماستركارد

730
00:51:04,940 --> 00:51:06,850
حول كيفية استخدام خدمتهم.

731
00:51:06,850 --> 00:51:11,860
أظهرت رمز المثال كيف سيكون مجرد إلقاء كلمة المرور

732
00:51:11,860 --> 00:51:14,850
ووضعها في سلسلة ضمنية هناك حق،

733
00:51:14,850 --> 00:51:19,380
ونحن نعرف كيف نحب المطورين لنسخ ولصق قصاصات المتون

734
00:51:19,380 --> 00:51:22,360
عندما نحاول أن نفعل شيئا، لذلك يمكنك نسخ ولصق مقتطف الشفرة

735
00:51:22,360 --> 00:51:28,450
التي قدموها كما رمز المثال، وكان لديك تطبيق غير آمنة.

736
00:51:28,450 --> 00:51:31,490
>> وهنا لدينا بعض الأمثلة.

737
00:51:31,490 --> 00:51:35,840
هذا واحد الأول هو واحد ونحن نرى الكثير حيث هاردكودي

738
00:51:35,840 --> 00:51:40,510
الحق البيانات إلى URL الذي يحصل إرسالها.

739
00:51:40,510 --> 00:51:45,120
أحيانا نرى سلسلة كلمة المرور = كلمة المرور.

740
00:51:45,120 --> 00:51:49,060
أن من السهل جدا للكشف، أو كلمة المرور على سلسلة بلاك بيري وأندرويد.

741
00:51:49,060 --> 00:51:53,680
انها في الواقع من السهل جدا للتحقق من أنه دائما تقريبا

742
00:51:53,680 --> 00:51:57,030
أسماء المطور المتغير الذي هو عقد كلمة المرور

743
00:51:57,030 --> 00:52:02,290
بعض الاختلاف من كلمة المرور.

744
00:52:02,290 --> 00:52:05,200
ذكرت أننا القيام بتحليل ثابتة في Veracode،

745
00:52:05,200 --> 00:52:11,790
لذلك قمنا بتحليل عدة مئات من تطبيقات الروبوت ودائرة الرقابة الداخلية.

746
00:52:11,790 --> 00:52:15,160
قمنا ببناء نماذج كاملة منها، ونحن قادرون على مسح لهم

747
00:52:15,160 --> 00:52:19,280
لثغرات أمنية مختلفة، وخاصة نقاط الضعف كنت أتحدث عنه،

748
00:52:19,280 --> 00:52:21,050
ولدي بعض البيانات هنا.

749
00:52:21,050 --> 00:52:24,320
68.5٪ من تطبيقات الروبوت ونحن ننظر في

750
00:52:24,320 --> 00:52:28,590
قد كسر كود التشفير،

751
00:52:28,590 --> 00:52:33,240
الذي بالنسبة لنا، ونحن لا يمكن الكشف عن إذا أجريت روتينك التشفير الخاصة،

752
00:52:33,240 --> 00:52:38,980
لا أن هذا هو فكرة جيدة، ولكن هذا هو الواقع باستخدام واجهات برمجة التطبيقات المنشورة

753
00:52:38,980 --> 00:52:42,530
التي هي على منصة ولكن القيام بها في مثل هذه الطريقة

754
00:52:42,530 --> 00:52:46,680
أن التشفير سيكون الضعيفة، 68.5.

755
00:52:46,680 --> 00:52:49,870
وهذا هو للناس أن ترسل لنا تطبيقاتها في الواقع ل

756
00:52:49,870 --> 00:52:53,730
انهم يعتقدون انها فكرة جيدة للقيام اختبار الأمن.

757
00:52:53,730 --> 00:52:56,960
هذه هي بالفعل أن الناس ربما تفكر بشكل آمن،

758
00:52:56,960 --> 00:52:59,540
لذلك فمن الأرجح أسوأ.

759
00:52:59,540 --> 00:53:02,690
>> أنا لم أتحدث عن السيطرة حقن سطر تغذية.

760
00:53:02,690 --> 00:53:07,640
انها شيء ونحن تحقق من وجود، ولكن الأمر ليس بهذه محفوفة بالمخاطر قضية.

761
00:53:07,640 --> 00:53:15,390
تسرب المعلومات، وهذا هو المكان الذي يتم إرسالها البيانات الحساسة من الجهاز.

762
00:53:15,390 --> 00:53:19,270
وجدنا أن في 40٪ من التطبيقات.

763
00:53:19,270 --> 00:53:23,540
الوقت والدولة، وتلك هي القضايا سباق نوع الشرط، وعادة من الصعب جدا أن تستغل،

764
00:53:23,540 --> 00:53:26,170
لذلك أنا لم يتحدث عن ذلك، ولكن نحن ننظر في ذلك.

765
00:53:26,170 --> 00:53:28,750
وكان 23٪ قضايا حقن SQL.

766
00:53:28,750 --> 00:53:32,020
وهناك الكثير من الناس لا يعرفون أن الكثير من التطبيقات

767
00:53:32,020 --> 00:53:35,880
استخدام قاعدة بيانات SQL قليلا صغيرة على نهاية ظهورهم لتخزين البيانات.

768
00:53:35,880 --> 00:53:40,430
كذلك، إذا كانت البيانات التي كنت الاستيلاء عبر الشبكة

769
00:53:40,430 --> 00:53:43,800
لديها سلاسل هجوم حقن SQL في ذلك

770
00:53:43,800 --> 00:53:45,970
شخص ما يمكن أن ينال من الجهاز من خلال ذلك،

771
00:53:45,970 --> 00:53:49,800
وهكذا أعتقد أننا نجد حوالي 40٪ من تطبيقات الويب لديك هذه المشكلة،

772
00:53:49,800 --> 00:53:52,840
وهذه مشكلة ضخمة الوباء.

773
00:53:52,840 --> 00:53:55,740
نجد أنه 23٪ من الوقت في تطبيقات المحمول

774
00:53:55,740 --> 00:54:02,030
وهذا هو الأرجح لأن العديد من تطبيقات الويب استخدام SQL من المحمول.

775
00:54:02,030 --> 00:54:05,580
>> وبعد ذلك لا نزال نرى بعض البرامج النصية عبر المواقع، وقضايا إذن،

776
00:54:05,580 --> 00:54:09,400
ثم إدارة الاعتماد، حيث ان لديك كلمة السر ضمنية.

777
00:54:09,400 --> 00:54:14,540
في 5٪ من تطبيقات نرى ذلك.

778
00:54:14,540 --> 00:54:17,970
ومن ثم لدينا بعض البيانات عن دائرة الرقابة الداخلية.

779
00:54:17,970 --> 00:54:20,180
وكان 81٪ قضايا معالجة الخطأ.

780
00:54:20,180 --> 00:54:23,130
هذا هو أكثر من مشكلة جودة رمز،

781
00:54:23,130 --> 00:54:28,010
ولكن 67٪ زيارتها قضايا التشفير، لذلك ليس تماما سيئا كما الروبوت.

782
00:54:28,010 --> 00:54:32,440
ربما واجهات برمجة التطبيقات هي أسهل قليلا، رموز سبيل المثال أفضل قليلا على دائرة الرقابة الداخلية.

783
00:54:32,440 --> 00:54:35,420
ولكن لا تزال نسبة عالية جدا.

784
00:54:35,420 --> 00:54:39,040
كان لدينا 54٪ مع تسرب المعلومات،

785
00:54:39,040 --> 00:54:42,080
حوالي 30٪ مع وجود أخطاء إدارة العازلة.

786
00:54:42,080 --> 00:54:45,930
هذا الأماكن التي من المحتمل أن تكون هناك مشكلة تلف الذاكرة.

787
00:54:45,930 --> 00:54:50,350
اتضح أن هذا ليس مثل كثير من المشكلة لأغراض الاستغلال

788
00:54:50,350 --> 00:54:56,450
على دائرة الرقابة الداخلية لأن كل رمز لابد من وقعت،

789
00:54:56,450 --> 00:55:02,210
لذلك فمن الصعب بالنسبة للمهاجمين لتنفيذ قانون تعسفي على دائرة الرقابة الداخلية.

790
00:55:02,210 --> 00:55:07,880
رمز الجودة، اجتياز الدليل، ولكن إدارة بيانات الاعتماد ثم هنا في 14.6 في المائة،

791
00:55:07,880 --> 00:55:09,250
أسوأ من ذلك على الروبوت.

792
00:55:09,250 --> 00:55:13,240
لدينا أشخاص لا يعالج كلمات السر بشكل صحيح.

793
00:55:13,240 --> 00:55:15,790
ثم الأخطاء الرقمية وتجاوز سعة المخزن المؤقت،

794
00:55:15,790 --> 00:55:22,680
تلك هي أكثر ستكون متاحة قضايا الجودة في دائرة الرقابة الداخلية.

795
00:55:22,680 --> 00:55:26,110
>> هذا ما كان لعرضي. أنا لا أعرف إذا كنا من الوقت أم لا.

796
00:55:26,110 --> 00:55:29,540
أنا لا أعرف ما إذا كان هناك أي سؤال.

797
00:55:29,540 --> 00:55:33,220
[ذكر] سؤال سريع حول تجزئة وسوق الروبوت.

798
00:55:33,220 --> 00:55:36,240
التفاح على الأقل تمتلك الترقيع.

799
00:55:36,240 --> 00:55:40,780
انهم يقومون بعمل جيد من الحصول عليه في حين أن هناك أقل من ذلك في الفضاء الروبوت.

800
00:55:40,780 --> 00:55:44,280
تحتاج تقريبا إلى الهروب من السجن الهاتف الخاص بك إلى البقاء الحالية

801
00:55:44,280 --> 00:55:46,660
مع الإصدار الحالي من الروبوت.

802
00:55:46,660 --> 00:55:50,960
نعم، وهذا مشكلة كبيرة وحتى إذا كنت تفكر-

803
00:55:50,960 --> 00:55:52,280
[ذكر] لماذا لا يمكن لك تكرار ذلك؟

804
00:55:52,280 --> 00:55:55,610
>> أوه، الحق، لذلك كان السؤال ماذا عن تجزئة

805
00:55:55,610 --> 00:56:00,410
من نظام التشغيل على منصة أندرويد؟

806
00:56:00,410 --> 00:56:05,890
كيف يمكن أن تؤثر على المخاطرة في تلك الأجهزة؟

807
00:56:05,890 --> 00:56:09,700
وأنه هو في الواقع مشكلة كبيرة، لأن ما يحدث هو

808
00:56:09,700 --> 00:56:15,110
في الأجهزة القديمة، عندما يأتي شخص ما مع الهروب من السجن لهذا الجهاز،

809
00:56:15,110 --> 00:56:19,960
أساسا هذا التصعيد امتياز، وحتى يتم تحديث نظام التشغيل

810
00:56:19,960 --> 00:56:25,350
يمكن لأي من البرامج الضارة ثم استخدم هذا الضعف تماما لتقديم تنازلات الجهاز،

811
00:56:25,350 --> 00:56:30,200
وما نراه على الروبوت هو من أجل الحصول على نظام التشغيل الجديد

812
00:56:30,200 --> 00:56:34,690
جوجل لديها لاخماد نظام التشغيل، ومن ثم الشركة المصنعة للجهاز

813
00:56:34,690 --> 00:56:39,390
لديه لتخصيصه، ومن ثم الناقل له لتخصيصه وتسليمه.

814
00:56:39,390 --> 00:56:43,070
أساسا لديك 3 أجزاء متحركة هنا،

815
00:56:43,070 --> 00:56:47,210
وانها انقلبت أن شركات الطيران لا يهمني،

816
00:56:47,210 --> 00:56:50,400
والشركات المصنعة للأجهزة لا يهمني، وجوجل لا الحث لهم ما يكفي

817
00:56:50,400 --> 00:56:54,430
لفعل أي شيء، لذلك أساسا أكثر من نصف الأجهزة هناك

818
00:56:54,430 --> 00:57:00,590
لديها أنظمة التشغيل التي لديها نقاط الضعف هذه التصعيد امتياز في نفوسهم،

819
00:57:00,590 --> 00:57:08,440
وحتى إذا كنت تحصل على البرامج الضارة على جهاز الروبوت الخاص بك هو أكثر بكثير من مشكلة.

820
00:57:08,440 --> 00:57:10,350
حسنا >>، وشكرا جزيلا لكم.

821
00:57:10,350 --> 00:57:12,310
[تصفيق]

822
00:57:12,310 --> 00:57:14,310
[CS50.TV]