[Mintegia] [defendatzea Gailuaren atzean: Mobile eskaera segurtasuna] [Chris Wysopal] [Harvardeko Unibertsitateko] [Hau CS50.] [CS50.TV] Arratsalde on. Nire izena Chris Wysopal da. CTO eta Veracode sortzaileetako naiz. Veracode aplikazioa segurtasun-enpresa bat da. Aplikazio desberdinak mota guztiak probatu dugu eta gaurko egunean buruz hitz noa mobile aplikazioa segurtasuna da. Nire background da Nik segurtasun ikerketa egiten Oso denbora luzez, seguruenik, betiere inor bezala buruz. Hasi zen 90eko hamarkadaren erdialdean, I, eta denbora bat izan zen, nahiko interesgarria zelako paradigma 90eko hamarkadaren erdialdean, aldaketa bat izan genuen. Bat-batean guztion ordenagailu guztien zaletasuna sortu internetera, eta, ondoren, web aplikazioen hasieratik izan genuen, eta horrek zer bideratuta nuen asko orduan da. Interesgarria da. Orain beste paradigma aldaketa informatika gertatzen dugu, Zein aplikazio mugikorren txanda da. Sentitzen dut antzeko denbora baten antzeko zerbait da, ondoren izan zen 90eko hamarkadaren amaieran hasi da denean web aplikazioak ikertzen ari ginen eta antzeko akatsak aurkitzeko saioaren kudeaketa akatsak eta SQL injection benetan ez da existitzen aurretik, eta bat-batean guztiak nonahi ziren web aplikazioetan, eta orain denbora dut pasatzeko asko aplikazio mugikorrak begira eta zer gertatzen ari basatia begira. Mugikorra aplikazio benetan menderatzailearen plataforma informatika izango, beraz, benetan behar dugu denbora asko pasatzera Oraindik segurtasun industrian bada web aplikazioen bideratua. Baziren 2011an deskargatuko 29 milioi mobile apps. Honez iragarri 76 milioi apps izateko 2014. Inolako diren eros aurten joan 686 milioi gailu, beraz, hau da non jendea joan behar egiten  bere bezero informatika gehiengoa lortu du. Dut alderantziz Fidelity Inbertsioak at presidente bat hitz egiten zen Duela pare bat hilabete, eta besterik gabe, trafiko gehiago ikusi zutenean, esan zuen finantza-eragiketak egiten bere bezero-oinarri batetik bere bere web orrian baino aplikazioa mugikorrean, beraz, Web erabilera komunean bat iraganean izan Zure stock quotes egiaztapena, zure zorroa kudeatzeko, eta benetan ari gara horretan 2012 switch baino gehiago ikusten da nagusi mugikorren plataforma izan nahi du. Zalantzarik izanez gero, ez da inolako delituzko jarduera izango da, Asmo txarreko ekintzak, hemen mugikor plataforma bideratuko dira, hasiko da joan Jende aldatzeko denboran zehar gisa baino gehiago dela. Begiratzen baduzu plataforma mugikorra at, plataforma erabilgarria da apurtu behera geruza desberdinen sartu arriskuak begiratu, besterik ez bezala egingo zenuke mahaigaineko ordenagailu batean, eta hainbat geruzak, software, sistema eragilea, pentsatzen duzu sare geruza, hardware geruza, eta, jakina, ez dago geruza horiek guztiak on ahuleziak. Gauza bera gertatzen da mugikorrean. Baina mugikorra, geruza horietako batzuk daudela okerrago badirudi. Bat, sare geruza gehiago problematikoa mugikorrean da jende asko bere bulegoan edo etxean izan delako konexio kable edo Wi-Fi konexio seguruak behar dituzte, eta gailu mugikorrak asko zauden etxetik kanpo, jakina, edo bulegoan asko kanpoan, eta Wi-Fi erabiltzen ari bada ez egon segurua ez wifi-konexioa erabiltzen duzu agian, zerbait WIFI konexioa publiko bat da, beraz, kontuan hartu denean mobile apps pentsatzen dugu sarearen ingurumena dela aplikazio horietan riskier edo Wi-Fi erabiltzen ari da. Eta noiz lortu mugikorraren aplikazio arriskuen gehiago sartu dut ikusiko duzu zergatik hori da garrantzitsuagoa. Gailu mugikorrean maila arriskuak daude. Hau etengabeko ikerketa-eremu bat da. Jende deitu banda zabaleko eraso horiek edo baseband erasoak non firmware hori irratian entzuten ari zaren erasotzeko. Hauek dira benetan scary erasoak delako erabiltzaileak ez dute ezer egin. Gailu asko hit dezakezu RF eremuan egon aldi berean, eta badirudi ikerketa honek burbuilak direnean up bezala azkar lortzen sailkatu da non Jende swoop inguruan eta esan, "Hemen, duten kontatzen digute, eta mesedez gelditu horri buruz hitz egiten." Badira ikerketa batzuk gertatzen banda zabaleko zona da, baina oso Hush Hush izango dela dirudi. Nik uste dut bat nazio estatu ikerketa mota hori gertatzen da gehiago da. Ikerketa aktiboa eremu bat, nahiz eta, sistema eragilea geruza da, eta, berriz ere, hau da, munduko desktop informatika baino desberdina espazio mugikor batean jailbreakers izeneko pertsona talde hauek duzulako, eta jailbreakers erregular ahultasun ikertzaile baino. Ahuleziak aurkitzeko sistema eragilearen in saiatzen ari dira, baina ahuleziak aurkitu nahian ari dira, arrazoia ez da norbaiten makina apurtu eta hondatu du. Bertara bere ordenagailuan apurtu da. Beren mugikor propioa hautsi nahi dute, euren sakelako sistema eragilea aldatu beraz, beren aukerako aplikazioak ireki ahal izango dute eta administrazio baimenak osoz gauzak aldatzeko, eta ez dute nahi honi buruz saltzaileari kontatzeko. Oraindik ez dute segurtasun ikertzaile horrek zuri hat segurtasun ikertzaile bat da gustatzen hau da dibulgazioa erantzule egin eta horri buruz saltzaileak esango dugu. Ikerketa hori egin nahi dute, eta benetan, argitaratzen dut nahi dute in bat ustiatu edo rootkit bat edo jailbreak kode bat, eta, modu estrategikoan egin, eskuinera ondoren bezala nahi dute hornitzailearen ontziak sistema berria. Harreman adversarial hori duzun OS-maila mugikorra onartuaz batera, Horrek uste dut nahiko interesgarria, eta leku bat ikusiko dugu dagoenean egiten du, beraz, ez da argitaratuko ustiatzeko kodea onak daude kernel-maila ahuleziak, eta horiek benetan malware idazleak erabiltzen duen ikusi dugu. PC munduan baino pixka bat hainbat. Eta gero, azken geruza goiko geruza, aplikazio geruza da. Hori zer naiz, gaur egun hitz egingo. Beste geruzak existitzen, eta gainerako geruzak sartu play, baina ez naiz, batez ere, zer ari den aplikazio geruza berri izan buruz hitz egingo non kodea sandbox abian dagoenean. Ez du administrazio-pribilegioak. Gailuaren APIak erabili behar du, baina, oraindik ere, asmo txarreko jarduera asko eta arrisku asko geruza horretan gerta daiteke hori delako geruza non informazio guztia da. Apps gailu buruzko informazio guztia sartu ahal baimen egokiak badute, eta telefonoa beste sentsore sartu ahal izango dute, GPS sentsore, mikrofono, kamera, zer egin behar duzu. Nahiz eta bakarrik ari gara buruz hitz Aplikazio geruza at arrisku asko izan genituen han. Desberdina da mugikorraren ingurune buruzko beste gauza den sistema eragilearen jokalari guztiak, izango da BlackBerry edo Android edo iOS edo Windows mobile, denek fintzea komeni baimena eredua fin bat dute, eta hau dela eraikitako sistema eragilea sartu dute modu bat ideia ez dela uste duzun bezala arriskutsua. Han kontaktu guztiak izan arren, zure informazio guztia ere, Zure argazkiak duzu, zure kokapena duzu han, Zure banku auto han saio pin gordetzeko ari zarenean, seguru delako apps dute halako baimenik hemen zenbait zati at lortu Gailu buruzko informazioa, eta erabiltzailearen ditu aurkeztuko Baimen horiek eta esan ados. Da arazoa erabiltzaileari beti da dio ados. Segurtasun pertsona gisa, erabiltzaileari galdetuko dezakezu ezagutzen dut, esan zerbait benetan txarra gertatuko da, ez gertatuko nahi duzu? Eta ari dira puntako bat bada edo zerbait benetan duten beste alde on erakargarri da, bezalako joko bat da instalatuko dut dutela zain joan, ados klikatu ari dira. Horregatik nire diapositiba on esaten dut hemen besterik ez dit utzi hegaztiak fling txerriak at jada, eta diapositiba daiteke hemen ikusten duzuna ez da BlackBerry baimena kutxa bat adibide. Dio "Mesedez ezarri BlackBerry Bidaia aplikazio baimenak azpitik sakatuz botoi ", eta, funtsean, erabiltzaileari besterik ez da, esan du ondoren baimenak ezarri eta gorde. Hemen non gauzak erakusten du bat Android gonbita da, eta benetan ia abisu bat itxura zerbait jartzen du. Handia lortu etekina zeinu han esaten sareko komunikazio, telefono dei moduko bat, baina erabiltzaileak da klik instalatu? joan, eskuineko Eta ondoren, Apple bat erabat kalterik da. Ez du edozein abisu mota eman. Besterik ez da Apple uneko kokapena erabili nahi. Jakina zauden ados klikatu joan. There fintzea komeni izaten baimen eredu hau da, eta aplikazioak izan manifest fitxategia bat dute non aldarrikatu dute baimenak, behar dute eta hori izango da erabiltzaileari bistaratuko ezagutu, eta erabiltzailearen baimen horiek ematen diot esateko aukera izango dute. Baina dezagun zintzoa izan. Erabiltzaile besterik ez dira beti esaten ongi joan. Ikus dezagun begirada azkar bat duten apps horiek eskatu baimenak at eta hor daude baimen batzuk. Enpresa hau Pretoriar iaz inkesta bat 53.000 aplikazioen Android merkatuan eta party 3 merkatuetan aztertu du, beraz, hau Android guztia. Eta batez besteko aplikazioa 3 baimenak eskatu. Zenbait aplikazio 117 baimenak eskatu, beraz, jakina, horiek oso fina fintzea komeni izaten da eta modu oso konplexua erabiltzaile batek ulertzen dira dute 117 Baimen horiek behar duen aplikazio honekin aurkeztutako bazabiltza. Da azken erabiltzailearen lizentzia-kontratu hori da 45 orrialde luze bezala. Agian laster aukera bat non da atsegin izango dute baimenak inprimatu eta bidali email bat. Baina begiratzen baduzu goiko baimenak interesgarri batzuk Deskargatu 53.000 daudelarik dute apps guztien% 24 GPS eskatu gailuaren datuak. % 8 kontaktuak irakurri. % 4 SMS bidaltzen, eta% 3 SMS jaso. % 2 audio grabatu. % 1 prozesatu irteerako deiak. Ez dakit. Ez dut uste aplikazio dendan apps guztien% 4 benetan behar SMS testu mezuak bidaltzeko, Baietz uste dut aholku bat zerbait untoward hori gertatzen ari da. Apps guztien% 8 behar zure kontaktu zerrenda irakurtzeko. Seguruenik ez da beharrezkoa. Baimenei buruzko beste gauza interesgarri bat da partekatutako liburutegietan lotzen baduzu zure eskaera sartu oinordetzan horiek aplikazioa baimenak, beraz zure aplikazioa kontaktu zerrendatik behar baditu edo GPS kokapenaren behar du funtzionatzeko eta publizitate liburutegi batean lotzen duzu, esate baterako, ad liburutegia ere kontaktuak sartzeko gai izango da eta, gainera, GPS kokapena sartzeko gai izan, eta aplikazioa sustatzailearen hori ad liburutegian exekutatzen kodearen buruz ezer ez daki. Besterik ari dira beren aplikazioa dirua irabazi nahi dutelako horrek lotzen ditu. Hau da, non-eta horren adibide batzuk buruz hitz egin dut honekin Pandora izeneko aplikazio bat non Aplikazio garatzailea agian oharkabean beharreko informazio leaking beren erabiltzaileen of haiekin lotuta sartu liburutegiak delako Paisaia Topografia daude, ezberdinak aplikazio guztiak begira izan diren albiste maltzur edo egiten zerbait erabiltzaile ez zuen nahi bezala salatu eta, ondoren, asko ikuskatzeko apps-dugu analisi bitar estatikoan asko egin apps mugikorrean, beraz, nik ikuskatu horiek dugu eta kodearen begiratu bera- sortu ginen zer gure top 10 aplikazioetan arriskutsua portaerak zerrenda deitzen diogu. Eta hautsi du behera 2 ataletan, kode mingarria sartu, beraz, horiek gauza txarrak aplikazioei egiten liteke direla litekeena zerbait Horrelakorik ez zuen eman da ditu berariaz jarri aplikazioan, baina pixka bat lausoak da. Garatzaile batek pentsatzen gauza ederra da zerbait izan zitekeen, baina amaitzen ari maltzurren gisa pentsatu Erabiltzaileak. Eta gero bigarren atala coding ahuleziak deitzen dugun da, eta horiei gauzak non sustatzailearen funtsean da akatsak egiten dira edo, besterik ez du ulertzen aplikazioa seguruan nola idatzi,  eta aplikazioa erabiltzailearen arriskuan jarriz. Ra hauen bidez joan xehetasun eta adibide batzuk eman noa. Erreferentzia gisa, gora jarri du OWASP mugikorren top 10 zerrenda nahi nuen. Hauek dira 10 gaiak duten OWASP at talde bat, Open Web Application Security Proiektua, lan-talde bat dute mugikorren top 10 zerrenda bat lantzen ari da. Oso ospetsua web top 10 zerrenda, diren 10 top dute Gauzak riskiest web aplikazio batean dezakezu. Mugikorren gauza bera egiten ari dira, eta horien zerrenda gurea baino apur bat desberdina da. 6 10 daudelarik berdinak dira. Ezberdinak dira 4 dute. Desberdinak take batean apur bat dute, uste dut mobile apps arrisku non beren gaiak asko benetan nola aplikazioa back-end zerbitzari bat da komunikatzeko edo zer gertatzen back-end zerbitzarian, ez hainbeste apps duten portaera arriskutsua dela besterik zuzenean bezero apps daudela. Gorriz Hemen 2 zerrenden arteko ezberdintasunak daude. Eta nire ikerketa-talde batzuk benetan proiektu honetan lagundu, ikusiko dugu, beraz, denboran zehar zer gertatzen den, baina uste dut takeaway hemen dugu, ez dakit top 10 zerrenda zein aplikazioa mugikorra delako benetan nik bakarrik inguruan izan da 2 edo 3 urte oraingoz, eta ez dago ez da benetan ikertzeko sistema eragile nahikoa denbora izan eta zer egiteko gai ari dira, eta ez da denbora nahikoa izan maltzurren Erkidegoko, izango bada, pasa den denbora nahikoa erabiltzaile eraso apps mugikorren bidez saiatzen, beraz, zerrenda horiek pixka bat aldatu behar izatea espero dut. Baina oraingoz, horiek Top 10 gauzak kezkatu daude. Albo mugikorrean dezakezun harritzekoa non ez maltzurren mugikorrak kode- nola ez, lortuko gailura? North Carolina State Mugikorra Malware Genome Project izeneko proiektu bat du non askoz mugikorra malware jasotzen ari dute ahal bezala eta aztertzeko, eta hautsita dut dute behera mugikorra malware erabiltzen duen injekzio bektoreak, eta% 86 repackaging izeneko teknika bat erabili, eta hau da, bakarrik Android plataforman daiteke benetan egin duzun repackaging hau. Arrazoia da Android kode eraiki da Java byte Dalvik izeneko kode bat hau da, erraz decompilable. Zer txarra lasaia egin ahal izango da Android aplikazio bat hartu, deskonpilatu, txertatzeko beren kode mingarria, konpilatu da, eta gero jarri up app dendan aplikazio horren bertsio berri bat izango purporting in, edo, besterik gabe, agian, aplikazioaren izena aldatuta. Joko moduko bat izan zen bada, aldatu izena, apur bat, eta beraz repackaging hau mobile malware% 86 lortzen nola banatzen da. Badira beste izeneko teknika eguneratzea eta hori da Oso repackaging antzekoa, baina benetan ez duzu jarri kode kaltegarria sartu Zer egin nahi duzu eguneratzea mekanismo txiki bat jarri duzu. Duzu deskonpilatzea, eguneratzea mekanismo bat jarri duzu, eta konpilatu duzu, eta orduan aplikazioa exekutatzen ari den behera tira malware gailua gainean. Urrun By gehiengoaren 2 teknika dutenak dira. Ez dago mugikorrean benetan askoz download disko-bys edo deskargak disko-, horrek phishing eraso bat bezalakoa izan daiteke. Hey, begiratu web benetan cool honetan, edo den web hau begiratu eta bete inprimaki hau behar duzun zerbait egiten jarraitu mantentzeko. Horiek dira erasoak phishing. Gauza bera plataforma mugikorra on gerta daiteke non dute Aplikazio mugikor bat deskargatu, esan seinalatu "Aupa, hau da, Bank of America." "Aplikazio hau erabiltzen ari zaren ikusiko dugu." "Beste aplikazio hori deskargatu beharko duzu." Teorian, hori izan litekeela. Agian besterik erabiltzen ez den denbora nahikoa arrakastatsua da edo ez zehazteko, baina aurkitu zuten garai teknika horren% 1 baino gutxiago erabiltzen dela. Garai gehienetan benetan da birpaketatutako kode bat. Badira beste izeneko kategoria standalone da non norbait besterik marka berria aplikazio bat eraikitzen. Zerbait izan gura duten aplikazio bat eraiki dute. Ez da beste zerbait repackaging bat, eta hori kode kaltegarria dauka. Duten denbora% 14 erabiltzen da. Orain zer da kode kaltegarria ari buruz hitz egin nahi dut? Lehen malware han bat spyware bat kontuan hartu ahal izango duzu. Erabiltzaileari buruzko Funtsean da espiatzen. Mezu elektronikoak, SMS mezuak biltzen ditu. Mikrofono on bihurtzen da. Kontaktua liburuan biltzen du, eta bidaltzen du off norbaitek. Spyware mota hau ordenagailuan existitzen, beraz perfektua zentzuzkoa da pertsona hau egiteko gailu mugikorrean saiatzeko. Horren lehen adibide bat Secret SMS Replicator izeneko programa bat izan zen. Duela urte pare bat izan zen Android Marketplace mantentzen da, eta ideia zen norbaiten Android telefono sarbidea izan ezkero Spy nahi duzula, beraz, agian zure ezkontidea da edo zure esanguratsua beste eta beren testu mezularitza Spy nahi baduzu, Aplikazio hau deskargatu ahal izango duzu, eta instalatu eta konfiguratu SMS testu mezu bat bidaltzea nahi duzun kopia batekin SMS testu mezu bakoitzaren dute lortu. Hau, jakina, app store zerbitzuaren baldintzen urraketa dago, eta hau zen Android Marketplace kendu 18 han egotea da orduko epean, beraz, jende kopurua oso txikia arriskuan izan ziren horregatik. Orain, uste dut programa izeneko zerbait, agian, apur bat gutxiago probokatzailea zen bada Secret SMS Replicator bezala seguruenik aritu zen asko hobeto. Baina mota begi-bistakoa zen. Gauzak Aplikazio portaera hori ez dugu nahi izanez zehaztu egin dezakegu bat da kode ikuskatzeko. Hau da, benetan oso erraza da Android on egiten dugu aplikazio banatu daitekeelako. IOS IDA Pro bezalakoak disassembler bat erabil dezakezu zer Apis aplikazioa deituz eta zer egiten ari den begiratu. Gurea bitar analizatzaile estatikoan idatzi dugu gure kodea lortzeko eta hau egin dugu, eta, beraz, zer egin ahal izango duzu, esan, da telefonotik ezer hori funtsean me zelatatzen edo niri segimendua egin? Eta adibide batzuk hemen iPhone buruzko daukat. Lehen adibidea hau da telefonoz UUID nola sartzeko. Hau da, benetan duten Apple besterik ez du aplikazio berriak debekatu zerbait, baina aplikazio zaharrek duten telefonoan dezakezu exekutatzen dute oraindik ere egin daiteke hau, eta beraz, identifikatzaile bakarra duzula jarraitzeko erabil daitezke aplikazio desberdinak askotan zehar. Android On, adibide bat daukat gailu kokapen lortzean hemen. Ikusten duzun API dei hori bada ez dagoela aplikazioa duten segimendua egiten da, eta ikusi ahal izango duzu nik kokapena fina edo lodia kokapena eskuratzerakoan ala ez. Eta gero beheko hemen on, nola adibide bat BlackBerry on daukat aplikazio bat zure sarrera erretiluko mezu elektronikoetara sartzeko liteke. Horiek gauza-mota ikuskatu ahal izango duzu ikusteko aplikazioa da gauza horiek egiten bada. Jokabide maltzurren bigarren kategoria handi, eta hau da, ziurrenik kategoria handiena orain, da baimenik gabe markartzea, baimenik gabe premium SMS testu mezu edo baimendu gabeko ordainketak. Hori telefonoz buruzko berezia, beste gauza telefonora da fakturazio-kontu bat egiteko zaletasuna, eta jarduera telefonoz gertatuko denean karguak sortu ahal izango da. Telefonoz gauzak erosi ahal izango duzu, eta noiz premium SMS testu mezu bat bidaltzea benetan ari zaren dirua emanez Kontu telefonoaren beste aldean zenbakiaren titularra izateko. Horiek sortu ziren akzioen kotizazioak lortzeko edo zure eguneroko horoskopoa edo beste gauza batzuk eskuratzeko, baina dute ezar daiteke produktu bat eskatzeko SMS testu bat bidaliz. Jendeak dirua eman Gurutze Gorriak testu-mezu bat bidaliz. Eman dezakezu $ 10 modu horretan. Erasotzaileek, zer egin dute sortu dute atzerriko herrialdeetan kontuak, eta txertatzeko malware dute telefonoz duten premium SMS testu mezu bat bidaliko du, esateko, egunean hainbat aldiz, eta hilaren konturatzen zara amaieran gastatu duzun at hamarnaka edo agian ehunka dolar, eta jaramonik ez dirua. Hau lortu hain txarra hori izan zen oso lehen gauza Android du Marketplace edo Google place-it Android Marketplace izan zen garai hartan, eta orain da Google Play-the Googleren hasi egiaztapena lehenengo gauza. Google Android apps banatzeko hasi denean bere app dendan ez zuten ezer egiaztatu da, esan dute. Apps tira dugu behin izan dugu jakinaraziko gure zerbitzu-baldintzak hautsi dut dute, baina ez gabiltza ezer egiaztatu da. Beno, buruz urte bat orain dela hain txarra lortu premium SMS testu mezu malware honekin ezazu hori egiaztapena hasi ziren oso lehen gauza da. Aplikazio bat bada SMS testu mezuak bidali ahal gehiago eskuz aztertuko dute aplikazio hori. Deitu duten hau APIak bilatzen dute, eta, orain, orduz geroztik, Google zabaldu du, baina hori bilatzen hasi ziren lehenengo gauza izan zen. SMS testu mezu batzuk egin duten beste batzuk apps, Android Qicsomos honetan, uste dut deitzen da. Ez zegoen mugikorra non CarrierIQ hau atera zen uneko gertaera hau gisa spyware gailua jarri eramaile by, beraz, pertsona bere telefono honetara zaurgarria zen bada jakin nahi, eta honen aplikazioa falta hori probatu zela. Beno, jakina, zer aplikazio hau egin zen premium SMS testu mezuak bidaltzen ditu, beraz spyware zurekin kutsatuta bazabiltza ikusteko probatzen malware kargatu telefonoaren gainean. Ikusi genuen gauza bera gertatuko da azken Super Bowl at. Ez zen akastunak du Madden futbol joko bertsio bat premium SMS testu mezuak bidaltzen duten. Benetan saiatu gailua on gehiegi bot sare bat sortzeko. Hemen adibide batzuk daukat. Interesgarria da nahikoa, Apple nahiko smart zen, eta ez dute ahalbidetzen aplikazioetan SMS testu mezuak bidaltzeko guztietan. No app egin dezake. Duten ohitu ahultasun klase oso bat kentzeko modu handi bat da, baina Android on egin dezakezu, eta, jakina, BlackBerry on Zuk ere egin dezakezu. Interesgarria da BlackBerry buruzko behar duzun guztia interneteko baimenak SMS testu mezu bat bidaltzeko. Bilatzeko benetan dugun beste gauza zerbait maltzurren bada ikusteko bilatzen ari gara besterik ez edozein motatako da baimendu gabeko sarearen jarduera, bezalako sare jarduera begiratu aplikazioa suposatzen da bere funtzionalitatea izan behar dute, eta beste sare jarduera hau begiratu. Agian aplikazio bat, lan egiteko, datuak HTTP baino gehiago eskuratu behar ditu, baina posta elektronikoz edo SMS edo Bluetooth edo horrelako zerbait baino gehiago gauzak egiten ari bada orain, aplikazioa izan potentzialki maltzurren izan, beraz, hau beste gauza bat zuretzat ikuskatu ahal izango da. Eta diapositiba honetan hemen horren adibide batzuk daukat. Beste gauza interesgarri ikusi malware dugu gertatu atzera 2009an, eta gertatutakoa modu handi bat da. Ez dakit hainbeste da gertatu bada, harrezkero, baina aplikazio bat izan zen duten beste aplikazio bat ordezkatzen. Ez zegoen apps multzo bat, eta 09Droid erasoa bikoiztutako zen, eta norbaitek erabaki du ez dagoela, eskualdeko, Mid banku txiki asko zeuden hori ez da banku online aplikazioak izan, beraz, zer egin zuten zen 50 bat online banka aplikazioei eraiki dute egin zuten guztiek utzi du, erabiltzaile izena eta pasahitza hartu eta redirect webgunera duzu. Eta horrela jarri dute horiek guztiek sortu Google Marketplace barruan, Android Marketplace, eta ikusi norbait bilatuko denean bada beren banku aplikazio bat akastunak aplikazio aurkitu zuten izan, eta horrek beren kredentzialak bildu eta gero birbideratutako euren webgunean. Bide batez, benetan hau izan zen-Aplikazio gora egon ziren aste batzuk, han eta milaka eta milaka deskarga ziren. Modu honetan argi etorri zen norbaitek arazoren bat izatea izan zen Aplikazio horietako, eta beren banku deitu dute, honekin eta beren banku bezero-laguntza lerro deitu zioten eta esan zion: "Zure mugikorra banka aplikazio batekin arazo bat dut." "Ezin me lagunduko duzu?" Eta, esan dute "ez dugu mugikorra banka aplikazio bat." Hasi zen ikerketa. Izeneko banku Googleren, eta, ondoren, Google begiratu eta esan zion: "Wow, egilearen beraren 50 banku aplikazioetan idatzi du," eta horiek hartu zuten guztiak behera. Baina zalantzarik gabe, hau berriro gerta liteke. Hainbat banku guztien zerrenda hemen duten iruzur horren parte ziren. Beste gauza aplikazio bat egin ahal izango da gaur egungo beste aplikazio of UI. Exekutatzen ari den bitartean pop zitekeela Facebook UI. Zure erabiltzaile izena eta pasahitza jarri jarraituko duzu esaten du edo jarri edozein erabiltzaile-izena eta pasahitza UI webgune bat agian erabiltzaileari besterik erabiltzen erabiltzailea engainatu saiatzeko beren kredentzialak jarriz sartu sartu Hau da, benetan email phishing erasoak paralelo zuzen bat non norbaitek mezu elektroniko bat bidaltzen dizu eta, funtsean webgune batean UI faltsu bat ematen dizu sarbidea baduzula. Bilatzen dugu kode mingarria in Beste gauza sistema aldatzea da. Duzu erro pribilegioa behar dutena API dei guztiak begiratu ahal behar bezala exekutatu. Gailuak web proxy aldatzen zerbait aplikazio bat izango litzateke ez luke egin ahal. Baina aplikazioa ez da egin behar han kode badu badakizu dela seguruenik aplikazioarekin bat kaltegarria edo oso oso litekeena aplikazio maltzurren bat izan nahi du, eta, beraz, zer gertatuko litzateke da aplikazioa duten pribilegioa escalating modu batzuk izango lituzke. Pribilegioa eskalatze batzuk ustiatzeko litzateke aplikazioan, eta, ondoren, behin pribilegioak areagotu da sistema horiek aldaketak egin litzateke. Duten pribilegioa eskalatze ditu malware aurkitu dezakezu bertan nahiz pribilegioa nola eskalatze jakin gabe ustiatzeko gertatuko da, eta hori, era erraz polit bat malware bilatzeko. DroidDream zen ziurrenik Android malware pieza ospetsuena. Nik uste dut egun batzuk baino gehiago erabiltzaile 250.000 inguru afectadas aurkitu aurretik zen. 50 akastunak aplikazioetan birpaketatutako dute, horiek jarri du Android app dendan, eta funtsean pribilegioak eskalatzea erabiltzen da Android jailbreak kodea eta ondoren instalatu komando bat eta biktima guztiak kontrolatu eta buelta bot garbiarekin sartu, baina ezin duzu hau detektatu dute Aplikazio eskaneatzen zinen bada eta besterik bila API deiak beharrezkoa root baimena behar bezala exekutatu. Eta badira adibide bat hemen bertan proxy aldatzen ditut, eta hau egia esan, bakarrik dago eskuragarri Android da. Ikusten duzun emanez dizut Android buruzko adibide asko hau da, non malwarea ekosistema aktiboena delako benetan erasotzaile bat erraza da kode mingarria lortu duelako Android Marketplace sartu. Ez da hain erraza hori egin Apple App Store Apple garatzaileek behar du bere burua identifikatu nahi duelako eta kodea sinatzeko. Benetan egiaztatu dute nor zaren, eta Apple benetan aplikazioen scrutinizing. Ez dugu benetako malware han gailua da ohitu arriskutsua asko ikusten. Egingo adibide batzuk non benetan da hori lortzean arriskutsua pribatutasuna buruz hitz egin dut, eta hori da benetan Apple gailu gertatzen. Beste gauza bat egiteko kode mingarria bilatzeko, arriskutsua gailuetan kode logika edo denbora bonba da, eta denbora bonbak dira ziurrenik askoz errazago bonbak logika baino bilatzeko. Baina denbora bonba batekin, zer egin dezakezu zuk begiratu ahal kodearen non garai probatu edo denbora absolutua lekuak dagoen begiratu Aplikazioa zenbait funtzionalitate aurretik gertatzen da. Eta hau egin ahal izango da jarduera horrek agerian erabiltzaileari, beraz, berandu gertatzen da gauez. DroidDream 11 PM eta 8 AM tokiko ordua artean egin zuen bere jarduera guztiak egin behar den erabiltzaileari agian ez da bere telefonoa erabiliz berriz saiatzeko. Gauza bera egiteko beste arrazoia jendea aplikazio baten analisia jokabidearen erabiltzen bada da, Aplikazioa exekutatzen sandbox batean aplikazioa portaera zein den jakiteko, denbora-oinarritutako logika erabili ahal izango dute, jarduera egin aplikazioa ez da sandbox batean. Adibidez, aplikazioa Apple bezalako denda bat aplikazioaren bidez, baina seguruenik ez aplikazio guztietan exekutatu, esan, 30 egun hura onartu baino lehen, beraz, jarri ahal izango duzu Zure aplikazioa dela esan zuen, ados, bakarrik gauza txarrak egin logika ondoren 30 egun ditu, edo ondoren 30 egun desagertu argitaratzen aplikazioaren data ondoren, eta horrek lagundu ahal izango du kode mingarria ezkutatzeko jendea horretarako ikuskatzeko from. Antibirus enpresek gauzak exekutatzen ari bazara sandboxes in edo app dendak beraiek dira honi lagun dezake ezkutatu duten ikuskaritza horretatik aurrera. Orain, hori alde flip da erraza da analisi estatiko aurkituko, beraz, benetan kodea zaren leku guztietan bila daiteke ikuskatzeko non aplikazioa denbora probak eta ikuskatu horrela. Eta hemen 3 plataforma ezberdin horiei buruzko adibide batzuk daukat zenbat denbora behar hautatuta daiteke aplikazioa egilearen arabera beraz, badakizu zer nahi duzun aplikazioa estatikoki ikuskatzeko bazabiltza bilatzeko. Asmo txarreko ekintza ezberdin sorta osoa bidez I paregabea eman ditudan dugu basatia ikusi, baina zein nagusiak dira? North Carolina State Mugikorra Genome Project azterketa horretan bertan datu batzuk argitaratu, eta han izan ziren, funtsean, 4 arlo han Jarduera asko izan zen ikusi dutela. Apps ia% 37 egin zuten pribilegioa eskalada, beraz jailbreak kode mota batzuk izan zuten han non pribilegio eskalatzea saiatu dira zalantzarik gabe, beraz, ez sistema eragilearen gisa exekutatzen API komandoak. Apps guztien% 45 han egin premium SMS, beraz, hori zuzenean dirua irabazteko nahian portzentaje handi bat da. % 93 egin zuen urruneko kontrola, beraz bot garbiarekin, sakelako bot garbiarekin saiatu konfiguratzeko dute. Eta% 45 biltzen identifikatzeko informazio telefono zenbakiak, UUIDs, GPS kokapena, erabiltzaile-kontuak, bezalako eta honi gehitzen 100dik gora malware gehienak gauza horietako batzuk bat egiten saiatzen delako. Naiz hemen bigarren erdian aldatzeko eta kode ahuleziak buruz hitz egingo. Hau arriskutsua jardueraren bigarren erdian dago. Hau da, non funtsean sustatzailearen dago akatsak egiteko. Sustatzailearen legezko bidezkoa aplikazio bat idazten da akatsak eginez edo plataforma mugikorra arriskuak ezjakin da. Ez besterik ez dakite a mobile app seguruak nola egin, edo batzuetan sustatzailearen ez ditu erabiltzaileak arriskuan jarriko buruzko zaintzeko. Batzuetan, beren negozio ereduaren zati izan liteke erabiltzaileak duen informazio pertsonala uzta. Hori da beste kategoria moduko, eta horregatik asmo txarreko hau batzuk legezko hasten versus gorako mozketa delako iritzien aldea zer erabiltzaileari nahi duen eta zer erabiltzailearentzat arriskutsua kontsideratzen arteko eta zer aplikazio sustatzailearen iritziz arriskutsua. Jakina, ez da aplikazio sustatzailearen en datuak kasu gehienetan. Eta gero, azkenik, hau gertatzen da beste modu bat da sustatzailearen batean lotzen liteke liburutegi partekatu baten dituen ahuleziak edo arriskutsua portaera hori du in Horietako unbeknownst. Lehenengo kategorian sentikorra datuak isurketa da, eta hau da aplikazioa informazioa biltzen denean kokapena, helbide-liburuko informazioa, jabea informazio bezalako eta bidaltzen dituen telefonoa itzali. Eta behin da telefonoa itzali, ez dakigu zer ari den informazio hori gertatzen ari. Insecurely gordetzen litezke aplikazio sustatzailearen arabera. Ikusi dugu aplikazio garatzaileentzat ezagutu arriskutsua, eta hori gordetzeko ari dira datuak hartu lortzen. Duela hilabete batzuk gertatu developer behera Florida non dagoen-kopuru handi bat izan zen iPad UUIDs eta gailu izenak leaked ziren norbait, uste dut anonimo zelako, erreklamatu hori egin ahal izateko, sustatzailearen hau zerbitzarietan sartu hautsi eta iPad UUIDs milioika lapurtu eta ordenagailu izenak. Ez gehien arriskutsua informazio, baina zer esan bada izan da erabiltzaile-izenak eta pasahitzak biltegiratze eta helbideak? Ez da informazio-mota hori gordetzen duten apps asko. Arriskua dago. Beste gauza gerta litekeen bada garatzaileak ez du zaindu datuak kanal ziurtatzeko, eta hori beste ahultasun handira buruz hitz noa da, datu hori argi bidaltzen ari. Erabiltzaileari Wi-Fi sare publiko batean badago edo norbaitek interneten nonbait sniffing da bidetik datu horiek jasan du. Pandora bat informazio isurketa honen kasuan oso ezaguna gertatu zen, eta hau zerbait ikertu Veracode dugu da. Ez zela uste bat-I Merkataritzaren Batzorde Federalaren bat zela entzun genuen ikerketa gertatzen Pandora batera. , Esan genuen "Zer gertatzen Hara joan? Dezagun hasteko Pandora aplikazioa sartu Jaurlaritzak." Eta zer erabaki dugu Pandora aplikazioa bildu zen zure genero eta zure adina, eta zure GPS kokapena, eta Pandora aplikazioa erabiltzen du, gainera, egin hau zer ziren legezko arrazoi esan dute. Duten jolasten-Pandora ziren musikak bat musika streaming app-da jolasten ziren musikak bakarrik Estatu Batuetan Lizentziapean zen, beraz, beren lizentzia akordioak izan zuten betetzeko egiaztatu behar izan zuten musika, erabiltzaileak Estatu Batuetan izan zen. Hemen gurasoen aholkularitza betetzea ere nahi dute Inguruan musika hizkuntza, helduen, eta beraz, borondatezko programa bat da, baina hori betetzea nahi dute eta ez jokatu esplizitua lyrics haurrek 13 eta pean. Datu horiek biltzeko arrazoi zilegia izan zuten. Beren aplikazioa baimenak egin behar izan zuen. Erabiltzaile pentsatu izan da legitimoa. Baina zer gertatu da? Lotuta dauden 3 edo 4 ad liburutegiak desberdina dute. Orain bat-batean ad liburutegi hauek guztietako guztiak dira informazio hori bera sarbidea lortzean. Ad liburutegiak, ad liburutegietan begiratzen baduzu kodearen at zer egiten da ad liburutegi guztietan dio "Ez du nire app izan GPS kokapena lortzeko baimena?" "Oh, ez du? Ongi da, esan dit GPS kokapena." Behin ad liburutegi bakar egiten duten, eta aplikazioa ez badu GPS baimena ez da hura lortzeko gai, baina ez bada, lortuko da. Hau non enpresa ad liburutegiak eredua da ek erabiltzailearen intimitatea aurka. Eta ez da izan ikasketen dago out urtetik ezagutzen baduzu esan egingo pertsona baten eta bere kokapena ezagutzen duzun non lo egin gauez dute, beren GPS koordenadak duzulako dute beharbada lo dagoela, badakizu zehazki nor den pertsona hori zuk zehaztu daitekeelako eta horrek etxeko horretako kide pertsona dela. Benetan hau da iragarle identifikatuz zehazki nor zaren, eta itxura zilegia zen bezala da. Nahi dut nire streaming musika, eta hori lortzeko modu bakarra da. Beno, hau jasan dugu. Hau idatzi dugu, hainbat blog mezu batean, eta horrexegatik da Rolling Stone aldizkariak norbait irakurri gure blog mezu bat eta bere blog propioa idatzi zuen Rolling Stone horri buruz, eta hurrengo egunetik aurrera Pandora pentsatu ideia ona izan zen ad liburutegiak kendu euren aplikazio batetik. Nik dakidala gisa ari dira bakarrik-dute Commended behar. Oraindik dute dela hori egin aplikazioa freemium mota bakarra dela uste dut. Beste freemium apps guztiek dute portaera hori bera, beraz, lortu duzun zer nolako datuen emanez zaren pentsatzen freemium aplikazio horietarako delako da, eta denak iragarle joan. Pretoriar ere partekatu liburutegiak buruzko azterketa bat egin zuen eta esan zion: "Dezagun zer partekatu liburutegiak goiko partekatutako liburutegien zaude", eta hau izan da datuetan. 53.000 apps aztertu dute, eta liburutegi partekatua zenbakia 1 da AdMob zen. Benetan izan da aplikazioen daude% 38 in, beraz erabiltzen ari zaren aplikazioen% 38 dira litekeena da zure informazio pertsonala uzta eta bidali ad-sareak ere. Apache eta Android% 8 eta% 6 izan ziren, eta, ondoren, beste hauek behera behean, Google iragarkiak, Flurry at, Mafia Herriaren eta milaka Media, horiek ad enpresa guztiak dira, eta, ondoren, interesgarriagoa da nahikoa, % 4 Facebook liburutegian lotuta Ziurrenik autentifikazio egin Facebook bidez beraz aplikazioa Facebook autentifikatzeko liteke. Baina hori korporazioak Facebook kontrolatzen kodea ere esan nahi duen Android mobile apps% 4 urtean han agortzen, eta datu guztiak sartzeko aplikazioa duten hori lortzeko baimena du dute. Facebook funtsean saiatzen publizitate espazioa saltzen. Beren negozio eredua da. Begiratuz gero baimenak hauekin ekosistema honetan guztian at eta partekatutako liburutegien duten ikusteko hasten zara arrisku asko duzu legitimo aplikazio batean. Duten Pandora gertatu bera antzeko gauza Path izeneko aplikazio batekin gertatu zen, eta Path pentsatu lagungarria errespetatzen sustatzaileei, izateaz ziren. Berri duzun erabiltzailearen esperientzia handia eman nahian ari zirela, eta horrexegatik da erabiltzaileari galdetu edo erabiltzailea esan gabe, ezer- eta hau iPhone eta Android gertatu zen, Pandora aplikazioa iPhone eta Android-entzat Path aplikazioa zure helbide liburu osoa grabbing zen eta igotzen Path besterik ez denean instalatu duzun eta aplikazioa zuena, eta ez dute esan honi buruz. Benetan lagungarria izan zen pentsatu dute zure helbide-liburuan pertsona guztiekin partekatu ahal izateko Path aplikazioa erabiltzen dituzula. Beno, jakina Path pentsatu izan da bere enpresako handia. Ez hain erabiltzaileari handia. Gauza bat nerabe bat dela, agian, bada pentsatu behar duzu Aplikazio hau erabiltzen ari da eta bere lagunak dozenaka han daude, baina zer esan Path instalatzen duen enpresa baten zuzendari nagusia bada eta, ondoren, bat-batean bere helbide liburu oso bat guztia da han? Baliotsua potentzialki kontaktua informazio asko lortu joan zaren jende asko da. New York Times erreportari A, telefono zenbakia lortzeko gai izatea Beren helbide liburutik ex presidenteek egiteko, beraz, jakina, informazio sentikorra asko honen antzeko zerbait batera transferitu lortzen. Ez dago honi buruzko esaterako flap handi bat Path duten barkamena eskatu zen. Beren aplikazioa aldatu dute, eta are gehiago eragin du Apple. Apple esan zuen, "app saltzaileen behartzeko erabiltzaile gonbita gara dute bada ari bere helbide-liburu osoa jasotzera "joan. Itxura zer ari da hemen gertatzen ari dena bezalakoa da da denean ez dago big one pribatutasuna urratzen da eta prentsan egiten du aldaketaren bat han ikusiko dugu. Baina noski, ez dago beste gauza batzuk daude. LinkedIn aplikazioa biltzen zure egutegiko sarrerak, baina Apple ez du erabiltzaileari behar duten galdetuko zaie. Egutegiko sarrerak sentikorra informazioa izan dezake haietan gehiegi. Nora marra marrazteko joan? Hau da, benetan motatako eboluzionatzen leku bat non da benetan han estandarra onak ez daude ko erabiltzaileak beren informazioa da arriskuan egon gertatzen ulertzeko eta noiz ari den jakiteko joan bere hartu zituen. Adios izeneko Veracode at Aplikazio bat idatzi dugu, eta, funtsean, zure iTunes directory at aplikazioa seinalatu duzu baimenik eta ziren zure helbide-liburu osoa uzta aplikazio guztien begiratu. Eta hemen, zerrenda honetan ikusi ahal izango duzu, haserre hegaztiak, AIM, AroundMe. Zergatik haserre hegaztiak zure helbide-liburua behar du? Ez dakit, baina, nolabait, ez da. Hau, aplikazio asko asko egin da. Kodearen ikuskatu ahal izango duzu horretarako. Ez dago ongi definitutako iPhone, Android eta BlackBerry APIak helbide-liburua eskuratu. Benetan dezakezu erraz honetarako ikuskatu, eta hori da gure Adios aplikazioan genuen. Hurrengo kategoria, segurtasunik gabeko sentiberak Datuen Bilketa, zerbait non garatzaileek hartu zerbait pin bat bezala edo kontu-zenbakia da edo pasahitz bat eta gorde gailua on argia dira. Are okerrago, gordeko luke dute eremu batean telefonoz hau da, globalki eskuragarria, SD txartela bezala. Hau ikusten duzun maizago Android Android SD txartel bat egiteko aukera ematen duelako. IPhone gailuak ez. Baina, nahiz eta ikusi genuen hau Citigroup aplikazio batean gertatuko. Beren online banka aplikazio gordetako kontu zenbakiak insecurely, besterik gabe, argi eta garbi, eta, beraz, gailua galtzen baduzu, funtsean kontu korrontean galdu duzu. Horregatik, ez pertsonalki ez dut banka egin nire iPhone. Uste dut gehiegi arriskutsua da oraintxe jarduera mota horiek egin. Skype gauza bera egin zuten. Skype, noski, kontua oreka bat, erabiltzailearen izena eta pasahitza ditu oreka hori eskuratu duten. Informazio hori guztia argi du mugikorrean gordetzeko ziren. Adibide batzuk daukat hemen fitxategiak sortzeko ez duten baimen egokiak edo diskoa grabatzean eta ez izatea edozein enkriptatze gertatuko da. Hurrengo arlo honetan, segurtasunik gabeko sentiberak Datu Transmisioa, Honetarako ez dut aipatu, hainbat aldiz, eta baita publiko Wi-fi hori apps erabat behar den zerbait da, eta hau da, seguruenik, zer joan gehienak gaizki ikusten dugu. Esango dut-benetan, uste dut benetako datuak behar dut, baina mugikorra aplikazioetan erdi itxi da hondatzeko SSL egiten. Besterik ez APIak behar bezala erabiliko dute. Esan nahi dut, baina dituzun guztiak egin jarraitu argibideak eta APIak erabili, baina ez dute horrelako gauzak ez begiratu beste muturrean ziurtagiri baliogabe bat ez ote diren, Ez begiratu beste muturrean protokoloa downgrade eraso bat egiten saiatzen bada. Garatu, haien checkbox lortu nahi dute, ezta? Beren baldintza da hau erabili ahal izateko saltzeko. Saltzeko erabiltzen dut dute hau. Baldintza ez da hau erabili ahal izateko segurtasunez saltzeko, eta, beraz, hau da, zergatik SSL erabiltzen duten aplikazio guztien datuak ziurtatzeko helarazi gisa ari ari off gailua benetan behar ikuskatu beharreko ziurtatu behar bezala ezarri zen egiteko. Eta hemen adibide batzuk non aplikazio bat ikusi ahal izango duzu behar dut beharreko HTTP HTTPS ordez erabil ditzakete. Zenbait kasutan apps erori atzera egingo HTTP HTTPS ez bada lanean. Dei bat hemen Android non ezgaitua dut dute ziurtagiri txeke buruzko daukat, beraz, gizon-in-the-erdian eraso bat gerta daiteke. Ziurtagiri baliogabe bat onartuko dira. Hauek dira kasu guztietan non erasotzaileen dira on lortzeko gai izango da WIFI konexioa bereko erabiltzailea eta sarbide-datu guztiak bezala hori da internet bidez bidaltzen ari. Eta azkenik, hemen daukat azken mailaren Hardcoded pasahitz eta gako da. Benetan ikusi dugu garatzaileek asko erabili du Kodetze bera dezakezu web zerbitzari aplikazioei ziren eraikitzen zuten dutela, beraz, Java aplikazio zerbitzari bat eraikitzen ari dira, eta gakoa erreta ari dira. Beno, orduan zerbitzari-aplikazio bat eraikitzen ari zaren, bai, gakoa erreta ez da ideia ona. Aldatu zaila egiten du. Baina ez da hain txarra zerbitzari aldean duten zerbitzari aldean sarbidea duelako? Administratzaileak bakarrik. Baina kode bera hartu duzu eta bada bota baino gehiago duzu aplikazio mugikor batera orain guztioi du sakelako aplikazioa duten gako Hardcoded duen sarbidea dauka, eta benetan ikusten dugun hau asko aldiz, eta estatistika batzuk daukat nola askotan hau gertatuko ikusten duguna da. Benetan duten MasterCard argitaratu Adibidez kodea zegoen beren zerbitzua nola erabili behar den. Adibidez kodearen erakutsi nola ez zenuke besterik pasahitza hartu eta jarri Hardcoded kate batean bertan, eta badakigu garatzaileek nola maite adabaki kodeak kopiatu eta itsatsi zerbait egiten saiatzen ari dira, beraz, kopiatu eta itsatsi kode mozkina Adibidez kode gisa eman dutela, eta ez seguru aplikazio bat behar duzu. Eta hemen adibide batzuk ditugu. Ko hau lehenengoa asko non hardcode ikusiko dugu datuak lortzen bidalitako URL batean eskuinetik. Batzuetan katea password = Pasahitz ikusiko dugu. Hori nahiko erraza da antzematea, edo kate pasahitza BlackBerry eta Android on. Egia esan, nahiko erraza delako ia beti arakatuko sustatzailearen izen hori pasahitza eusten aldagaia pasahitz aldaketa batzuk. Analisi estatiko egiten dugun Veracode ean aipatu dut, beraz ehundaka Android eta iOS aplikazioetan aztertu dugu. Horietako modeloak osoa eraiki dugu, eta horiek eskaneatu gai gara ahuleziak ezberdinak, batez ere ahuleziak buruz ari zen, bost eta datu batzuk ditut hemen. Android apps begiratu dugu% 68,5 izan hautsi kriptografikoa kodea, horrek guretzat, ezin dugu atzeman propioak kripto errutina egin baduzu, hori ez zela ideia ona da, baina hau benetan da argitaratuko APIak erabiliz duten plataforman daude baina horiek egiteko modu bat, kripto hori zaurgarria izango litzateke, 68,5. Eta hori izan dira gurekin bidaliz beren aplikazio benetan pertsonentzat dagoelako uste dute ideia ona segurtasun-probak egin behar da. Aldaketa horiek dira ziurrenik segurtasunez pentsatzen pertsonak, beraz, are okerragoa izango da seguru asko. Ez nuen kontrol lerro jauzia injekzio buruz hitz egiteko. Zerbait egiaztatu dugu, baina ez da hori arriskutsua arazo bat. Informazio isurketa, hau da, non datu garrantzitsuak bidaltzen ari da off gailua. Aurkitu dugu eskaeren% 40 ere. Denbora eta egoera, horiek dira lasterketa baldintza mota gaiak, normalean nahiko gogorra ustiatu, beraz, ez dut horri buruz hitz egin, baina begiratu dugu. % 23 SQL injekzio gai izan. Jende asko ezagutzen ez duten aplikazio asko datuak gordetzeko bere atzeko amaieran SQL datu txiki txiki bat erabiltzea. Beno, bada saretik duzula grabbing ari datuen SQL injekzio erasoa kateak ditu urtean norbaitek bidez gailua hondatu dezake, eta, beraz, uste dut aurkituko dugu web aplikazioen% 40 inguru izan da arazo hau, horrek epidemia arazo handi bat da. Duen denboraren% 23 aurkituko dugu apps mugikorrean eta hori da, seguruenik, web aplikazioen askoz gehiago mobile baino SQL erabili duelako. Eta gero, oraindik ere, gurutze-site scripting batzuk, baimenaren gai, ikusten dugu eta, ondoren, kredentzial kudeaketa, hori non pasahitza Hardcoded duzu. Duten aplikazio guztien% 5 ikusten dugu. Eta gero iOS buruzko datu batzuk ditugu. 81% error manipulazioa gai izan. Hau da kodea kalitate arazo bat gehiago, baina% 67 gai kriptografikoa izan zuen, beraz, ez da nahiko Android bezala txarra. Agian APIak dira pixka bat errazagoa da, adibidez iOS kode apur bat hobeto. Baina oraindik portzentajea oso handia. % 54 izan genuen informazio isurketa batera, buffer kudeaketa erroreekin% 30 inguru. Duten tokietan izan potentzialki memoria ustelkeria gai bat izango da. Bihurtzen da hori ez da gisa ustiatzeko arazo bat askoz kodearen guztiak sinatu behar ditu IOS on delako, beraz, zaila da erasotzaile batek kode arbitrarioa exekutatu iOS da. Kodearen kalitatea, direktorioa eskuratzea, baina, ondoren, kredentzialak kudeaketa hemen% 14,6 izan da, beraz Android on baino okerrago. Jendeak ez pasahitzak behar bezala manipulatzea dugu. Eta ondoren zenbakizko akatsak eta bufferraren gainezkatzea, horiek gehiago kodearen kalitatea iOS buruzko gaiak izango. Hori izan da nire aurkezpena da. Ez dakit gara denbora edo ez bada. Ez dakit galderaren bat badago. [Ar] zatiketa eta Android merkatuan inguruan galdera azkar bat. Apple gutxienez adabakien jabea. Ona han berriz gutxiago beraz lortzean itzazu Android espazioan lan ona egiten dute. Ia zure telefonoa jailbreak behar duzu lo egungo Android oharra. Bai, hori arazo handi bat da eta beraz, inguru-uste baduzu [Ar] Zergatik ezin da errepikatu duzu? Galdera zer zatiketa buruz izan zen Oh, eskuinera, beraz, Android plataforman sistema eragilearen? Nola eragiten die horrek gailu horietako riskiness? Eta egia esan, arazo handi bat da, zer gertatzen da, zeren gailu zaharragoak, norbaitek ateratzen gailu horretarako jailbreak batekin, funtsean duten pribilegioa eskalada da, eta sistema eragilea eguneratu da arte edozein malware ondoren, erabili ahal ahultasun gailua erabat hondatu, eta zer Android on ikusten ari gara ordena sistema eragile berri bat eskuratu behar da Google sistema eragilea jarri ditu, eta, ondoren hardware fabrikatzaileak du pertsonalizatzeko, eta orduan garraiolari ditu pertsonalizatu eta entregatu. Dute funtsean duzu 3 zatiak mugitzen hemen, eta izarrekin inflexio da eramaile ez dutela zaintzeko, eta hardware fabrikatzaile ez zaintzeko, eta Google ez dago horiek prodding nahikoa ezer egin, beraz, funtsean, gailu guztien erdia baino gehiago daude duten pribilegioa eskalatze ahuleziak horiek dituzten sistema eragileak izan, eta beraz malware lortuko duzu zure Android gailu askoz arazo bat baino gehiago da. Ados, eskerrik asko. [Txaloak] [CS50.TV]