>> [Seminario] [Defendo Malantaŭ la Device: Poŝ-komputilo/telefono Apliko Sekureco]
[Chris Wysopal] [Universitato Harvard]
[Ĉi tiu estas CS50.] [CS50.TV]
>> Bonan posttagmezon. Mia nomo estas Chris Wysopal.
Mi estas la CTO kaj kunfondinto de Veracode.
Veracode estas apliko sekureco kompanio.
Ni testi ĉiajn malsamajn aplikojn,
kaj kion Mi iras paroli hodiaŭ estas mobile apliko sekureco.
Mia fono estas mi estis farante sekureco esploro
dum tre longa tempo, probable ĉirkaŭ tiom longe kiom iu ajn.
Mi komencis meze de la 90,
kaj estis tempo ke estis sufiĉe interesa ĉar
ni havis paradigma ŝanĝo en la mezaj 90.
Subite ĉies komputilo estis enganchó al la interreto,
kaj tiam ni havis la komencoj de ttt-aplikaĵojn,
kaj tio, kion mi koncentris sur tereno tiam.
Ĝi estas interesa.
Nun ni havas alian paradigmo ŝanĝo okazas kun komputado,
kiu estas la ŝanĝo al mobile aplikoj.
>> Mi sentas estas speco de simila tempo poste ĝi estis en la malfrua 90
kiam ni enketis ttt aplikaĵoj kaj trovinte difektojn kiel
seancadministran eraroj kaj SQL injekto
kiuj vere ne ekzistas antaŭe, kaj subite ili ĉie
en aplikoj retejo, kaj nun multe da tempo mi pasigas
rigardas mobile aplikaĵoj kaj rigardante kio okazas tie ekstere en naturo.
Mobile aplikaĵoj estas vere tuj estos la reganta komputado kajo,
do ni vere bezonas elspezi multe da tempo, se vi estas en la sekureco industrio
enfokusigante ttt aplikoj.
Esas 29 miliardoj mobile apps elŝutis en 2011.
Oni antaŭdiris estu 76 miliardoj apps 2014.
Tie estas 686 milionoj da aparatoj kiuj tuj povas aĉeti ĉi tiun jaron,
tial cxi tiu estas kie la homo tuj faros
la plimulto de sia kliento komputado iri antaŭen.
>> Mi parolis al vicprezidanto Fideleco Investments
paro monatoj, kaj li diris, ke ili nur vidis pli trafiko
faranta financaj transakcioj de siaj klientoj bazo
sur iliaj telefonoj apliko ol sur ilia retpaĝaro,
tiom komunan uzon por la retejo en la pasinteco estis
kontrolanta via stock quotes, administri viajn biletujo,
kaj ni efektive vidis, ke en 2012 ŝaltilo super
esti pli dominantaj je la telefono kajo.
Certe se oni tuj estos ajn kriminala aktiveco,
neniu malica aktiveco, ĝi tuj komencus enfokusigita sur la telefono kajo
tra la tempo, kiel homoj ŝanĝi super tio.
Se vi rigardas la mobile kajo,
rigardi la riskojn de la platformo estas utila por rompi gxin malsupren, en la diversaj tavoloj,
ĝuste kiel vi farus gxin sur labortablo komputilo,
kaj vi pensas pri la diversaj tavoloj, programaro, mastrumaj sistemo,
reto tavolo, aparataro mantelo, kaj kompreneble, ekzistas vulnerabilidades sur ĉiuj tiuj tavoloj.
>> La samo okazas en telefonoj.
Sed mobile, ŝajnas ke iuj el tiuj tavoloj estas plej malbona situacio.
Por unu, la reto tavolo estas pli problema on Mobile
ĉar multe da homoj havas en sia ofico aŭ hejme
telegramis rilatoj aŭ ili havas sekuran Wi-Fi rilatoj,
kaj kun amaso da telefonoj aparatoj vi estas evidente ekster la hejmo
aŭ ekster la oficejo multe, kaj se vi uzas Wi-Fi tie
vi eble povas uzi necerta Wi-Fi,
io tio estas publika Wi-Fi,
do kiam ni pensas pri mobile apps ni devas enkalkuli
ke la reto medio estas riskier por tiuj aplikoj
kiam Wi-Fi estas uzata.
Kaj kiam mi eniros en pli de la telefono apliko riskoj
vi vidos, kial tio estas pli grava.
Esas riskoj je la nivelo de aparataro en porteblaj aparatoj.
Tiu estas areo de progresanta esploro.
Homoj nomas tiujn larĝa bando atakoj aŭ bando bazu atakoj
kie vi atakas la firmware kiu'S aŭskultante en la radio.
>> Tio estas vere timiga atakoj ĉar
la uzanto ne devas ion ajn fari.
Vi povas kolizii multaj aparatoj ene RF gamo
samtempe, kaj ŝajnas kiel kiam ajn tiu esploro bobelas
gxi rapide gets klasifikita kie
homoj plonĝo en ĉirkaŭ kaj diri: "Jen, diru al ni pri tio, kaj bonvolu ĉesi paroli pri tio."
Ekzistas iu esploro okazas en la larĝa bando areo,
sed ĝi ŝajnas esti tre Hush silentu.
Mi kredas ke estas pli de nacio ŝtata tipo de esplorado, ke okazas.
Areo de aktivaj esploroj, tamen, estas la mastruma sistemo tavolo,
kaj denove, ĉi tiu estas malsama ol en la labortablo komputado mondo
ĉar en la telefono spaco vi havas tiuj teamoj de homoj nomitaj jailbreakers,
kaj jailbreakers estas malsama ol regulan vundebleco esploristoj.
Ili penas trovi vulnerabilidades en la mastruma sistemo,
sed la kialo oni provas trovi la vulnerabilidades estas ne
rompi en aliulaj maŝino kaj kompromisi ĝin.
Ĝi estas por rompi en lia propra komputilo.
>> Ili volas rompi en siajn proprajn mobile, modifi sian propran mobile mastruma sistemo
tiel ke ili povas kuri la aplikoj de ilia elekto
kaj ŝanĝi tion kun plena administra permesoj,
kaj ili ne volas diri al la vendisto pri ĉi tio.
Ili ne estas kiel sekureca esploristo kiu estas blanka ĉapelo sekureco esploristo
kion tuj faros respondeca malkaŝo kaj diri al la vendisto pri ĝi.
Ili volas fari ĉi esploron, kaj oni volas reale publikigas
en ekspluati aux rootkit aux jailbreak kodo,
kaj ili volas fari ĝin strategie, kiel tuj post
La vendisto ŝipoj la novan mastruman sistemon.
Vi havas ĉi adversarial interrilato
kun OS-nivelo vulnerabilidades je la telefono,
kion mi pensas estas tre interesa, kaj unu loko ni vidos
Estas ĝi faras tiel, ke ne estas bona eldonita ekspluati kodo tie
por kerno-nivelo vulnerabilidades,
kaj ni vidis tiujn reale esti uzita por malware verkistoj.
Ĝi estas iom malsamaj ol la PC mondo.
Kaj tiam la fina tavolo estas la supera tavolo, la apliko tavolo.
Tio estas kion mi tuj paroli hodiaŭ.
>> La alia tavoloj ekzistas, kaj la alia tavoloj ludi en ĝin,
sed mi plejparte tuj paroli pri tio, kio okazas en la apliko tavolo
kie kodo estas kurante en la testejo.
Ĝi ne havas administraj privilegioj.
Ĝi devas uzi la API de la mekanismo,
sed tamen, multe da malicaj aktiveco kaj multajn risko povas okazi en tiu tavolo
ĉar tio estas la mantelo kie ĉiuj informoj estas.
Apps povas aliri ĉiujn informojn pri la mekanismo
se ili havas la rajton permesoj,
kaj ili povas aliri la malsamaj sensores sur la aparaton,
GPS sentilo, mikrofono, ĉambro, kion vi havas.
Eĉ se ni nur parolas pri la apliko tavolo
Ni havas multe da risko tie.
La alia afero ke io alia pri telefonoj medio
estas ĉiuj la mastruma sistemo ludantoj, estu BlackBerry aŭ Android
aŭ IOS aŭ Vindozo mobile, ili ĉiuj havas fajnan akno permeson modelo,
kaj ĉi tiu estas unu el la manieroj, kiam oni konstruis en la mastruma sistemo
la ideo ke gxi ne estas tiom riska kiel vi pensas.
Eĉ se vi havas ĉiujn viajn kontaktojn je tie, ĉiuj viaj personaj informoj,
vi havas viajn fotojn, vi havas vian lokon en tie,
vi stokante via banko pinglo por aŭtomata ensaluto en tie, ĝi estas sekura, ĉar
apps devas havi iujn permesojn por ricevi, je certaj partoj
de la informo sur la aparato, kaj la uzanto devas esti prezentita kun
tiujn permesojn kaj diru bonfartas.
>> La problemo kun tio estas la uzanto ĉiam diras bonfartas.
Kiel sekureco persono, mi scias ke vi povas suflori la uzanton,
diru ion vere malbona okazos, vi volas, ke ĝi okazos?
Kaj se ili estas en junko aŭ ekzistas io vere forlogante sur la alia flanko de tiu,
kiel ludo tuj estos instalita por ke ili jam atendis,
ili tuj klaku bonfartas.
Tial mi diras en mia slide tie nur lasu min Fling birdoj ĉe porkoj jam,
kaj vi povas vidi sur la glito ĉi tie estas ekzemploj de BlackBerry permeson skatolo.
Ĝi diras: "Bonvolu agordi la BlackBerry Vojaĝoj apliko permesojn
post klako la butono sube, "kaj esence la uzanto estas nur volis diri
agordi la permesojn kaj helpos.
Jen Android prompto kie pruvas tion,
kaj tio efektive metas ion ke preskaŭ aspektas kiel averton.
Ĝi havas ian rendimento signo tie dirante reto komunikado, telefonvoko,
sed la uzanto tuj klaku instali, ĉu ne?
Kaj tiam la Apple estas tute senefika.
Ĝi ne donas ian ajn averto.
Estas nur Apple ŝatus uzi vian nunan situon.
Kompreneble vi tuj klaku bonfartas.
>> Estas ĉi fajna akno permeson modelo,
kaj apps devas havi evidentigxos dosiero kie oni deklarus
la permesojn ili bezonas, kaj kiu alvenos montrata al la uzanto,
kaj la uzanto devos diri mi koncedas tiujn permesojn.
Sed ni estu honestaj.
Uzantoj estas ĝuste tuj diras ĉiam bonfartas.
Ni prenu rapidan rigardon al la permesojn ke tiuj aplikoj estas petataj
kaj iuj el la permesojn, kiuj estas tie.
Tiu entrepreno Pretoriana faris enketon pasintjare
de 53.000 aplikoj analizitaj en la Android merkato kaj 3 partio merkatoj,
tia ĉi estas la tuta Android.
Kaj la averaĝa app petis 3 permesojn.
Kelkaj apps petis 117 permesoj,
do evidente tiuj estas tre belaj akno kaj maniero tro kompleksa por uzanto kompreni
se ili estas prezentitaj kun ĉi app kiuj bezonas tiujn 117 permesojn.
Estas kiel la fina uzanto permesilo tio estas 45 paĝojn longa.
Eble baldaŭ ili havos eblon kie estas kiel
presi la permesojn kaj sendi al mi retmesaĝon.
>> Sed, se vi rigardas iujn el la supro interesa permesojn
24% de la apps ke ili elŝutis el la 53.000
petis GPS informoj el la artefakto.
8% legas la kontaktojn.
4% sendita SMS, kaj 3% ricevis SMS.
2% registrita audio.
1% procesis eksiĝinta alvokoj.
Mi ne scias.
Mi ne kredas 4% de la apps en la App Store vere bezonas sendi SMS mesaĝojn de teksto,
do mi kredas ke tio estas aludo ke io perversa okazas.
8% de la apps bezonas legi viajn kontaktojn listo.
Estas probable ne necesa.
Unu el la aliaj interesaj aferoj pri permesoj estas
se vi ligas en bibliotekoj dividitaj en via kandidatiĝo
tiuj heredi la permesojn de la apliko,
do se via app bezonas la kontakton listo aŭ precizigas la GPS situo funkcii
kaj vi ligas en reklam biblioteko, ekzemple,
ke ad biblioteko ankaŭ povos aliri la kontaktoj
kaj ankaŭ povos aliri la GPS situo,
kaj la programulo de la app scias nenion pri la kodo kiu kuras en la anonco biblioteko.
Ili estas simple kunligi ke ĉar ili volas monetizar siajn programon.
>> Tiu estas kie-kaj mi parolos pri iuj ekzemploj de tio kun
apliko nomis Pandora kie apliko developer
eble senintence povas filtri informojn
el iliaj uzantoj pro bibliotekoj jam ligita in
Esplorantaj la pejzaĝo tie ekstere, rigardante ĉiujn malsamajn apps
kiu estis raportitaj en la novaĵoj kiel malicaj aŭ faras ion uzantoj ne volas
kaj do inspektis multajn apps-ni faru multe da statika duuma analitiko sur mobile apps,
tial ni inspektis ilin kaj rigardis la kodo mem-
ni venis supren kun kion ni nomas nian supro 10 listo de riskaj kondutoj en aplikoj.
Kaj ĝi estas rompita malsupren en 2 sekcioj, malica kodo,
do tiuj estas malbonaj aferoj ke la apps povus fari tion
versxajne estas io ke malica individua
tio specife metis en la apliko, sed ĝi estas iom nebula.
Ĝi povus esti io, kion developer pensas estas fajnaj,
sed finas esti penso de kiel malicaj de la uzulo.
>> Kaj tiam la dua alineo estas kion ni nomas kodigo vulnerabilidades,
kaj cxi tiuj estas aferoj, kie la developer esence faras erarojn
aŭ simple ne komprenas kiel skribi la app sekure,
kaj tio metante la app uzanto ĉe risko.
Mi tuj iros tra tiuj detale kaj doni kelkajn ekzemplojn.
Por referenco, mi volis meti la OWASP mobile supro 10 listo.
Jen estas la 10 temoj ke grupo ĉe OWASP,
la Open Web Apliko Sekureco Projekto, oni havas funkciantan grupon
laborante en mobile supro 10 listo.
Ili havas tre fama ttt supro 10 listo, kiuj estas la unuaj 10
riskiest aferoj kiujn vi povas havi en TTT-apliko.
Ili faras la samon por telefonoj,
kaj ilia listo estas iom malsama ol niaj.
6 el la 10 estas la sama.
Ili havas 4 kiu estas malsama.
Mi pensas ke ili havas iom da malsama take on
risko en mobile apps kie amaso de iliaj temoj
estas vere ke la apliko estas komunikanta al back-end server
aŭ kio okazas sur la dorso-end server,
Ne tiom apps kiu havas riskaj kondutoj, kiuj estas nur simpla kliento apps.
>> La bonaj en ruĝa tie estas la diferencoj inter la 2-listoj.
Kaj kelkaj el miaj esploroj teamo vere kontribuis al tiu projekto,
do ni vidos kio okazas en la tempo, sed mi kredas ke la takeaway tie estas
ni ne vere scias kion la supron 10 listo estas en telefonoj apps ĉar
ili jam vere nur estis ĉirkaŭe por 2 aŭ 3 jarojn nun,
kaj tie ne estis sufiĉe da tempo por vere esplori la operaciumoj
kaj kio ili estas kapablaj, kaj tie ne estis suficxe tempon
por la malica komunumo, se vi volas, ke pasis sufiĉe da tempo
provas ataki uzantoj tra mobile apps, do mi atendas tiujn listojn ŝanĝi iom.
Sed nuntempe, tiuj estas la 10 ĉefaj aferoj zorgi pri.
Vi povus demandi sur la telefono flanko kie faras la malican mobile kodo-
Kiel tio eniri la aparato?
Norda Karolino ŝtato havas projekton nomitan la Mobile Malware Genoma Projekto
kie kolekti tiel mobile malware kiel ili povas kaj analizi ĝin,
kaj ili jam detruis la injekto vektoroj ke la mobile malware uzas,
kaj 86% uzas tekniko nomata repackaging,
kaj ĉi tiu estas nur sur la platformo Android
vi povas vere fari tion repackaging.
>> La kialo estas Android kodo estas konstruita kun
Java bajto kodo nomata Dalvik kiu estas facile decompilable.
Kion la malbona ulo povas fari estas
preni Android apliko, decompile ĝi,
enŝovu sian malican kodo, rekompili ĝin,
kaj tiam metis ĝin en la App Store pretendante esti nova versio de tiu apliko,
aŭ nur eble ŝanĝi la nomon de la aplikaĵo.
Se tio estas ia ludo, ŝanĝu la nomon iomete,
kaj tiel ĉi repackaging estas kiel 86% de mobile malware gets disdonitaj.
Tie estas alia tekniko nomita ĝisdatigo kiu estas
tre simila al repackaging, sed vi vere ne metas la malica kodo in
Kion vi faras estas vi metis en malgranda ĝisdatigo meĥanismo.
Vi decompile, vi metis en ĝisdatigo mekanismo, kaj vi rekompili ĝin,
kaj tiam, kiam la app kuras ĝi tiras suben la malware sur la aparato.
>> Por for la plimulto estas tiuj 2 teknikojn.
Tie ne estas vere multe download drive-bys aŭ drive-by malŝarĝoj en celulares,
kiu povus esti kiel phishing atako.
Hej, kontrolu ĉi vere malvarmeta retpaĝaro,
aŭ vi devas iri al tiu retejo kaj plenigu tiun formularon
teni daŭre fari ion.
Tiuj estas phishing atakoj.
La samo povas okazi en la telefono platformo, kie ili
atentigi al mobile app elŝuti, diri "Saluton, tio estas Banko de Ameriko."
"Ni vidas ke vi uzas tiun aplikaĵon."
"Vi devus elŝuti tiun alian aplikaĵon."
Teorie, kiu povus funkcii.
Eble ŝi apenaŭ ne uzas sufiĉas por decidi ĉu ĝi estas sukcesa aux ne,
sed oni trovis, ke malpli ol 1% de la tempo, ke tekniko estas uzata.
La plimulto de la tempo ĝi estas vere jam prezentita kodo.
>> Jen plia kategorio nomata standalone
kie al iu nur konstruas tute novan aplikon.
Ili konstruas apliko kiu pretendas esti io.
Tio ne estas repackaging de io alia, kaj kiu havas la malican kodo.
Tio estas uzata 14% de la tempo.
Nun mi volas paroli pri tio, kio estas la malica kodo faras?
Unu el la unuaj malware tie
vi povus konsideri spyware.
Ĝi esence spionoj sur la uzanto.
Ĝi kolektas retmesaĝoj, SMS mesaĝojn.
Ĝi temas pri la mikrofono.
Siega la kontakton libro, kaj ĝi sendas ĝin al iu alia.
Tiu tipo de spyware ekzistas sur la komputilo,
do ĝi tute sencas por homoj provos fari tion en porteblaj aparatoj.
>> Unu el la unuaj ekzemploj de tio estis programo nomata Sekreta SMS replicador.
Ĝi estis en la Android Marketplace paro da jaroj,
kaj la ideo estis, se vi havis aliron al ies Android telefono
ke vi volis spioni, do eble ĝi estas via edzino
aŭ via signifa alia kaj vi volas spioni iliaj tekstoj mesaĝilon,
vi povus elŝuti tiun programon kaj instalu ĝin kaj agordi gxin
por sendi SMS tekstmesaĝo al vi kun kopio
de ĉiu SMS tekstmesaĝo ili akiris.
Tiu evidente estas en malobservoj de la App Store terminoj de servo,
kaj tio estis forigita de la Android Marketplace ene 18 horoj de ĝi esti tie,
tiel tre malgranda nombro da homoj estis en danĝero pro tio.
Nun, mi pensas, se la programo nomis ion eble iom malpli provoka
kiel Sekreta SMS replicador ĝi probable estus laborinta multajn pli bonajn.
Sed estis speco de evidentaj.
>> Unu el la aferoj ni povas fari por determini se apps havas ĉi konduto ke ni ne volas
estas inspekti la kodon.
Ĉi tiu estas efektive vere facila fari en Android ĉar ni povas decompile la apps.
On IOS vi povas uzi desensamblador kiel Aid Avantaĝo
rigardi kion apis la app vokas kaj kion ĝi faras.
Ni verkis nia propra duuma statika analizilo por nia kodo
kaj ni faru tion, kaj do kion vi povis fari estas vi povus diri
signifas la aparato faras ion, kio estas esence spioni min aŭ spuras min?
Kaj mi havas kelkajn ekzemplojn ĉi tie en la iPhone.
Tiu unua ekzemplo estas kiel aliri la UUID telefone.
Tio estas vere io ke Apple ĵus malpermesis por novaj aplikoj,
sed malnova aplikoj ke vi povus esti kurante sur via telefono povas ankoraŭ fari tion,
kaj tial unika ensalutilo povas esti uzata por spuri vin
trans multaj diversaj aplikoj.
>> On Android, mi havas ekzemplon ĉi tie de iĝi la mekanismo situo.
Vi povas vidi ke se tiu API alvoko estas tie ke app estas sekvado,
kaj vi povas vidi, ĉu ĝi Fariĝas fajna situo aŭ kruda situo.
Kaj poste sur la fundon ĉi tie, mi havas ekzemplon de kiel en la BlackBerry
apliko povus aliri la retmesaghoj en via leterkesto.
Tiuj estas la speco de aferoj kiujn vi povas inspekti vidi
se la app faras tiujn aferojn.
La dua granda kategorio de malicaj konduto, kaj ĉi tiu estas verŝajne la plej granda kategorio nun,
estas senpermesa markante, senpermesa premio SMS mesaĝojn de teksto
aŭ nerajtigitan pagoj.
Alia afero, ke estas solaj pri la telefono
estas la aparato estas enganchada al billing konton,
kaj kiam agadoj okazos en la telefono
ĝi povas krei akuzojn.
Vi povas aĉeti aĵojn super la telefono,
kaj kiam vi sendos premio SMS tekstmesaĝo vi vere donante monon
al la konto-posedanto de la telefona numero de la dua flanko.
Tiuj estis starigita por akiri stock quotes aŭ akiri vian ĉiutagan horoskopo aŭ aliaj aĵoj,
sed ili povas starigi ordigi produkto sendante SMS tekston.
Homoj doni monon al la Rugxa Kruco sendante SMS-mesaĝo.
Vi povas doni 10 dolaroj tiu vojo.
>> La atakantoj, kion ili jam faris estas ili starigis
kontoj en fremdaj landoj, kaj ili enkorpigi en la malware
ke la telefono sendos premio SMS tekstmesaĝo,
diri, kelkajn fojojn tage, kaj je la fino de la monato oni rimarkas vi jam pasis
dekoj aŭ eble eĉ centoj da dolaroj kaj ili iru for kun la mono.
Tiu ricevis tiel malbona, ke tiu estis la unua afero, kiun la Android
Marketplace aŭ la Google loko-estis la Android Marketplace en la momento,
kaj ĝi estas nun Google Ludi-la unua afero, kiun Google komencis kontroli por.
Kiam Google komencis disdoni Android apps en ilia app vendejo
Ili diris, ke ili ne tuj kontroli por nenion.
Ni devos tiri apps unufoje ni estis sciigitaj ili jam rompis niajn terminojn de servo,
sed ni ne tuj kontroli por nenion.
Nu, pri unu jaro ĝi akiris tiel malbone kun tiu premio SMS tekstmesaĝo malware
ke cxi tiu estas la unua aĵo kiun ili komencis kontroli por.
Se app povas sendi SMS mesaĝojn de teksto
ili plui permane skrutinias tiu apliko.
Ili serĉas la API, kiu nomas tiun,
kaj nun de tiam Google pligrandigita,
sed ĉi tiu estis la unua aĵo kiun ili komencis serĉi.
>> Iuj aliaj apps kiu faris kelkajn sms teksto mesaĝoj,
ĉi Android Qicsomos, mi supozas estas nomata.
Okazis ĉi aktualan eventon sur la telefono kie ĉi CarrierIQ eliris
kiel spyware surmetis la mekanismon de la portantoj,
tial homoj volis scii se ilia telefono estis vundebla al ĉi tio,
kaj cxi tio estis libera app kiu provis tion.
Nu, kompreneble, kio estas tiu app faris estis sendis premio SMS mesaĝojn de teksto,
tiel per provi vidi se vi infektis per spyware
vi ŝarĝis malware sur via aparato.
Ni vidis la sama afero okazas en la lasta Super Bowl.
Tie estis blufa versio de la Madden futbalo ludo
Sendinto premio SMS teksto mesaĝoj.
Ĝi efektive provis krei bot reto tro en la artefakto.
Ĉi tie mi havas iom da ekzemploj.
Interese, Apple estis sufiĉe inteligenta,
kaj ili ne permesas aplikojn por sendi SMS teksto mesaĝojn tute.
Neniu app povas fari ĝin.
Tio estas granda vojo de liverante pri tuta klaso de vundebleco,
sed en Android povas fari gxin, kaj kompreneble, la BlackBerry vi povas fari tion ankaŭ.
Estas interese, ke en la BlackBerry oni nur bezonas interreto permesojn
por sendi SMS tekstmesaĝo.
>> La alia afero vere ke ni atendas
kiam oni serĉas por vidi, ĉu io estas malicaj estas nur iu speco de
senpermesa reto aktiveco, kiel rigardi la reto aktiveco
la app supozas havi lian funkcioj,
kaj rigardu tiun alian reto aktiveco.
Eble app, labori, devas akiri datumoj sur HTTP,
sed se ĝi estas faranta aferojn super retpoŝto aŭ SMS aŭ Bluetooth aŭ io simila
nun ke app potenciale povus esti malica, do tio estas alia afero vi povas inspekti por.
Kaj en ĉi tiu diapozitivo tie mi havas iom da ekzemploj de tio.
Alia interesa afero, kiun ni vidis kun malware okazis denove en 2009,
kaj tio okazis en granda vojo.
Mi ne scias se ĝi okazis tiel de tiam, sed ĝi estis app
ke impersonated alia apliko.
Okazis aro de apps, kaj ĝi estis nomita la 09Droid atakon,
kaj iu decidis ke estis multe da malgrandaj, regionaj, midsize bankoj
kiu ne havas interreta banko aplikoj,
do, kion ili faris, estis kiam oni konstruis cxirkaux 50 interreta banko aplikoj
ke ĉiuj ili faris estis preni la uzantan nomon kaj pasvorton
kaj redirekti vin al la retejo.
Kaj tiel ili metis tiujn ĉiuj supren en la Google Marketplace,
en la Android Marketplace, kaj kiam iu traserĉis por vidi se ilia bordo
havis apliko oni trovus la blufa apliko,
kiu kolektis siajn akrediton kaj tiam alidirektita al ili iliajn retejo.
La maniero, ke tiu fakte iĝis-la apps estis tie dum kelkaj semajnoj,
kaj tie estis miloj kaj miloj da elŝutoj.
>> La vojo ĉi venis al la lumo estis iu havis problemon
kun unu el la aplikoj, kaj ili nomis sian bankon,
kaj ili invitadis siajn datenbanko kliento subteno linio kaj diris:
"Mi havas problemon kun via mobile banka aplikaĵo."
"Ĉu vi povas helpi min?"
Kaj ili diris: "Ni ne havas mobile banka aplikaĵo."
Tio komenciĝis la esploro.
Tio bankon nomata Google, kaj poste Google ekrigardis kaj diris:
"Ho, la sama aŭtoro skribis 50 bankon aplikoj," kaj prenis ilin ĉiujn malsupren.
Sed certe tio povus okazi denove.
Jen la listo de ĉiuj malsamaj bankoj tie
, kiuj estis parto de tiu trompo.
La alia afero app povas fari, estas nuntempe la UI el alia apliko.
Kvankam ĝi estas kurante povus aperigi la Facebook UI.
Ĝi diras vi devas meti en vian uzantan nomon kaj pasvorton por daŭrigi
aŭ toleris neniun uzantan nomon kaj pasvorton UI di retejo
ke eble la uzanto uzas nur por provi trompi la uzanto
en metante siajn akreditaĵojn in
Tiu estas vere rekta paralela de la retpoŝta phishing atakoj
kie iu sendas al vi retmesaĝon mesaĝon
kaj donas al vi esence falsaj UI di retejo
ke vi havas aliron al.
>> La alia afero, ni serĉas en malican kodo estas sistemo modifo.
Vi povas serĉi ĉiujn API alvokoj kiuj postulas radiko privilegion
ekzekuti korekte.
Ŝanĝi la aparato la TTT-prokurilo estus iu kiu apliko
devus ne povos fari.
Sed se la apliko havas kodon en ne fari tion
vi scias ke ĝi estas probable malican apliko
aŭ tre alte versxajne estos malica apliko,
kaj do kio okazus estas ke app havus iun manieron de reciproka akrigo privilegio.
Ĝi havus iun privilegion grimpita eksplodi
en la apliko, kaj tiam iam ĝi eskaladis privilegiojn
farus ĉi sistemo modifoj.
Vi povas trovi malware kiu havas privilegion grimpita
en ĝi eĉ sen scii la privilegion grimpita
eksplodi tuj okazos, kaj tio estas agrabla, facila vojo
serĉi malware.
DroidDream estis probable la plej fama peco de Android malware.
Mi pensas ĝi tuŝis proksimume 250.000 uzantoj pri malmultaj tagoj
antaŭ ol ĝi troviĝis.
Ili jam prezentita 50 blufa aplikoj,
meti ilin en la Android app vendejo,
kaj esence uzis Android jailbreak kodo por gravigi privilegiojn
kaj tiam instali ordonon kaj kontroli kaj turni ĉiujn viktimojn
enen bot net, sed vi povus esti detektitaj ĉi
se vi skandante la apliko kaj ĝuste serĉi
API flamo kiu postulis radiko permeson por ekzekuti korekte.
>> Kaj tie estas ekzemplo tie mi havas kiu ŝanĝas la prokuro,
kaj tio efektive estas nur disponebla en la Android.
Vi povas vidi ke mi donas al vi multajn ekzemplojn en Android
ĉar ĉi tiu estas kie la plej aktivaj malware ekosistemo estas
ĉar ĝi estas vere facila por atakanto akiri malica kodo
en la Android Marketplace.
Ĝi ne estas tiel facile fari tion en la Apple App Store
ĉar Apple devigas programistoj identigi sin
kaj subskribu la kodon.
Ili efektive kontroli, kiu vi estas, kaj Apple estas fakte studis la aplikoj.
Ni ne vidas multe da veraj malware kie la aparato estas akiranta kompromitita.
Mi parolas pri kelkaj ekzemploj kie ĝi estas vere privateco kiuj iĝas kompromitita,
kaj tio kio vere okazas en la mekanismo de Apple.
Alia afero serĉi malica kodo, riska kodo en aparatoj
Estas logika aŭ tempo bomboj, kaj tempo bomboj estas probable
multe pli facile serĉi ol logiko bombojn.
Sed kun la tempo bomboj, kion vi povas fari estas vi povas serĉi
lokoj en la kodo, kie la tempo estas testita aŭ absoluta tempo estas serĉita
antaŭ kelkaj funcionalidad en la app okazas.
Kaj tio povus esti farita por kaŝi, ke aktiveco de la uzanto,
do ĝi okazas malfrua nokto.
DroidDream faris ĉiujn lian aktivecon inter 11 PM kaj 8a horo loka tempo
por provi fari tion dum la uzanto eble ne uzante siajn artefakto.
>> Alia kialo por fari ĉi tiu estas, se homoj uzas kondutaj analizo de apliko,
kurante la app en testejo por vidi, kion la konduto de la apliko,
oni povas uzi la tempo-bazita logiko fari la aktiveco
kiam la app ne estas en la testejo.
Ekzemple, app vendejo kiel Apple
kuras la apliko, sed ili probable ne kuras ĉiu apliko por, ni diru, 30 tagoj
antaŭ ol aprobi ĝin, do vi povas meti
logiko en vian kandidatiĝon, kiuj diris, bone, nur fari la malbonan aferon
post 30 tagoj iris per aŭ post 30 tagoj post la publikigas dato de la apliko,
kaj kiu povas helpi la malica kodo kasxus antaux homoj inspekti pri ĝi.
Se antivirus kompanioj kuras aĵojn en areneros
aŭ la app tendencas mem estas tio povas helpi
kaŝi, ke de tiu inspektado.
Nun, la turnon flanko de tio estas ĝi estas facile trovi kun statika analizo,
tiom reale inspekti la kodon, kiun vi povas serĉi ĉiujn lokojn
kie la apliko elprovas la tempo kaj inspekti tiu vojo.
Kaj ĉi tie mi havas iom da ekzemploj en tiuj 3 diversaj platformoj
kiom tempo povas esti kontrolata pri la app faristo
do vi scias kion serĉi, se vi inspekti la app statike.
>> Mi simple iris tra la tuta fasko da malsamaj malican aktivecoj
ke ni vidis en la naturo, sed kiujn tiuj estas la plej disvastiĝinta?
Tiu sama studo de Norda Karolino ŝtato Mobile Genoma Projekto
eldonita iuj datumoj, kaj tie estis esence 4 areoj
ke ili vidis, kie estis multe da aktiveco.
37% de la apps faris privilegio grimpita,
do ili havis iun tipon de jailbreak kodo tien
kie oni provis gravigi privilegiojn tiel ke ili povis
cxu API komandojn kurante kiel la mastruma sistemo.
45% de la apps tie faris premio SMS,
do tio estas grandega procento kiu provas rekte monetizar.
93% faris fora kontrolo, do ili provis starigi bot reto, telefono bot net.
Kaj 45% rikoltitaj identiganta informoj
kiel telefonnumerojn, UUIDs, GPS situo, uzanto kontoj,
kaj tio aldonas al pli ol 100, ĉar plej malware klopodas fari kelkajn el tiuj aĵoj.
>> Mi tuj sxangxas al la dua duono kaj paroli pri la kodo prospektivo.
Tiu estas la dua duono de la riska agado.
Tie estas kie esence la developer faras eraroj.
Legitima developer skribante legitima app
faras erarojn aŭ estas senscia pri la riskoj de la telefonoj kajo.
Ili simple ne scias kiel fari sekuran mobile app,
aŭ kelkfoje la developer ne zorgas pri meti la uzanto ĉe risko.
Foje parton de ilia negoco modelo povus esti
rikoltante la uzanto personaj informoj.
Tio estas speco de la alia kategorio, kaj tial iuj de ĉi malica
kontre legitima komencas bleed super ĉar tie estas diferenco de opinioj
inter kio la uzanto volas kaj kion la uzanto konsideras riska
kaj kia estas la apliko developer konsideras riska.
Kompreneble, ĝi ne estas la apliko developer la datumoj en la plimulto de kazoj.
>> Kaj poste fine, alia maniero ĉi tio okazas estas developer povus ligi en
dividatan biblioteko kiu havas vulnerabilidades aŭ tiu riska konduto en ĝi
dorsoj de ili.
La unua kategorio estas sentema datumoj fugo,
kaj tio estas kiam la app kolektas informojn
kiel situo, adreslibro informoj, mastro informoj
kaj ordonas ke ekstere la artefakto.
Kaj foje estas for de la mekanismo, ni ne scias kio okazas kun tiu informo.
Ĝi povis esti stokitaj insecurely per la apliko developer.
Ni jam vidis apliko programistoj get kompromitita,
kaj la datumoj kiujn ili estas stokante gets prenita.
Tio okazis antaŭ kelkaj monatoj al developer malsupren en Florido
kie grandega nombro de-estis iPad UUIDs kaj mekanismon nomoj
filtris ĉar iu, mi pensas ke estis anonima,
pledis por fari tion, ekkomencis ĉi developer la serviloj
kaj sxtele milionojn da iPad UUIDs
kaj komputilaj nomoj.
Ne la plej riska informoj,
sed kio se tiu estis la stokado de uzulnomoj kaj pasvortoj
kaj hejmo adresoj?
Ekzistas multaj aplikoj kiuj stokas tiu speco de informoj.
La risko estas tie.
>> La alia afero ke povas okazi estas se la programulo ne prizorgi
por sekurigi datumojn kanalo, kaj tio estas alia granda vundebleco Mi iras por paroli pri,
ke datenoj estas senditaj en la klara.
Se la uzanto estas en publika Wi-Fi
aŭ iu snufadon la interreto ie
laŭ la vojo, kiu datumoj estas elmontrita.
Unu tre fama kazo de tio informojn fugo okazis kun Pandora,
kaj tio estas io, kion ni enketis cxe Veracode.
Ni auxdis, ke tie estis-mi pensas gxi estis Federacia Komerca Komisiono
esploro okazas kun Pandora.
Ni diris, "Kio okazas tie? Komencu fosantaj sur la Pandora aplikaĵo."
Kaj kion ni determinas estis la Pandora apliko kolektita
vian sekson kaj via aĝo,
kaj tio ankaŭ Montrita via GPS situo, kaj la Pandora apliko
faris ĉi tion por kio ili diris estis leĝaj kialoj.
La muziko kiun ili ludis-Pandora estas muziko streaming app-
la muziko kiun ili ludis nur publikigita en Usono,
do ili devis kontroli konformiĝi al siaj permesilo interkonsentoj kiujn ili havis
por la muziko, ke la uzanto estis en Usono.
Ili ankaŭ volis obei la gepatra konsulta
ĉirkaŭ plenkreskulo lingvo en la muziko,
kaj tiel ĝi estas libervola programo, sed ili volis obei, ke
kaj ne ludi eksplicita literoj por infanoj 13 kaj sub.
>> Ili havis pravaj kialoj por kolekti tiun datumon.
Iliaj app havis la permesojn por fari ĝin.
Uzantoj opiniis tion legitima. Sed kio okazis?
Ili ligita en 3 aŭ 4 malsamaj ad bibliotekoj.
Nun subite ĉiuj tiuj ad bibliotekoj
ricevas aliron al tiu sama informo.
La anonco bibliotekoj, se vi rigardas la kodon en la anonco bibliotekoj
kion ili faras estas cxiu ad biblioteko diras
"Ĉu miaj app havas permeson por atingi GPS situo?"
"Ho, ĝi ne? Konsentite, diru al mi la GPS pozicio."
Ĉiu unuopa ad biblioteko faras tion,
kaj se la app ne havas GPS permeso
ĝi ne povos akiri ĝin, sed se ĝi faras, tio enretigos ĝin.
Tie estas kie la komerca modelo de la anonco bibliotekoj
estas kontraŭa al la intimeco de la uzanto.
Kaj tie ili pasis studojn tie, ke diros, se vi scias la aĝo
de persono kaj vi scias iliajn situo
kie ili dormas en la nokto, ĉar vi havas sian GPS koordinatoj
dum ili eble estas dormanta, vi scias precize kiun tiu persono estas
ĉar vi povas determini kiu membroj de tiu domo estas tiu persono.
Vere tiu estas identiganta al reklamantoj
akurate, kiu vi estas, kaj gxi rigardas kiel ĝi estis pravaj.
Mi nur volas mian streaming muziko, kaj ĉi tiu estas la sola metodo por akiri ĝin.
>> Nu, ni elmontris tion.
Ni skribis ĉi supre en pluraj posts,
kaj montriĝis, ke iu de Rolling Stone
legu unu el niaj posts kaj verkis siajn proprajn blogo en Rolling Stone pri tio,
kaj la tre proksima tago Pandora pensis ke estis bona ideo
forigi la anoncon bibliotekoj de ilia aplikado.
Kiom mi scias ke ili estas la solaj-devus esti lauxdis.
Mi pensas ke ili estas la solaj freemium tipon de app kiu faris tion.
Ĉiuj aliaj freemium apps havas tiun saman konduton,
tiel vi devas pensi pri kia datumoj vi donas
tiuj freemium aplikoj ĉar ĝi estas ĉiuj tuj reklamistoj.
Pretoriana ankaŭ faris studon pri dividitaj bibliotekoj kaj diris:
"Ni rigardu, kio dividis bibliotekoj estas la supro dividis bibliotekoj," kaj ĉi tiu estis la datumojn.
>> Ili analizis 53.000 apps,
kaj la numero 1 bindebla biblioteko estis AdMob.
Ĝi estis fakte en 38% de la aplikoj el tie,
do 38% de la aplikoj vi uzas
estas verŝajna rikoltante viajn personajn informojn
kaj sendante ĝin al la anonco retoj.
Apache kaj Android estis 8% kaj 6%,
kaj tiam tiuj aliaj ones malsupren ĉe la malsupro, Google ads, Flurry,
Mob Urbo kaj Jarmila Medujo,
jen estas ĉiuj ad kompanioj, kaj tiam, interese sufiĉe,
4% ligita en la Facebook biblioteko
probable fari aŭtentikigado per Facebook
tial la app povus aŭtentigi la Facebook.
Sed tio ankaŭ signifas, ke la korporacio Facebook kontrolas kodo
tio estas kurante en 4% de la Android mobile apps el tie,
kaj oni havas aliron al ĉiuj datumoj, ke tiu app havas permeson por atingi.
Facebook esence provas vendi publikeco spaco.
Tio estas ilia afero modelo.
>> Se vi rigardas al cxi tiu tuta ekosistemo kun tiuj permesojn
kaj dividis bibliotekoj vi komencas vidi, ke
Vi havas multe da risko en supozeble legitima apliko.
La sama simila afero, kiu okazis kun Pandora
okazis kun apliko nomata Pado,
kaj Path pensis ili esti helpema, amika programistoj.
Ili estis nur provas doni al vi grandan sperton de uzanto,
kaj tio rezultis, ke sen instigante la uzanto aŭ rakontanta al la uzanto io-
kaj tio okazis en la iPhone kaj Android,
La Pandora app estis sur iPhone kaj Android-
ke la Pado programo grabbing via tuta adreslibro
kaj alŝuti ĝin al Pado ĝuste kiam vi instalis kaj kuris al la apliko,
kaj ili ne diras al vi pri tio.
Ili pensis ke estis vere helpemaj por vi
por povi dividi kun ĉiuj homoj en via adreslibro
ke vi uzas la Pado apliko.
>> Nu, evidente Path pensis ĉi estis granda por sia kompanio.
Ne tiel granda al la uzanto.
Vi devas pensi ke ĝi estas unu afero, se eble adoleskanto
estas uzanta ĉi apliko kaj ilia dekojn da amikoj estas en tie,
sed kio se ĝi estas la ĝenerala direktoro de kompanio kiu instalas Pado
kaj tiam subite ilia tuta adreslibro estas tie supre?
Vi tuj ricevos amason da potenciale valora kontakto informoj
cxar multe da homoj.
Raportisto de la New York Times, eble vi povos akiri la telefonnumero
por eks prezidantoj de siaj adreslibro,
do evidente multaj sentemaj informoj gets kopiitaj kun iu kiel ĉi tio.
Tie estis tia granda frapeto sur ĉi tiu vojo pardonpetis.
Ili sxangxis sian app, kaj ĝi eĉ efikis al Apple.
Apple diris, "Ni tuj devigos app vendistoj suflori uzantoj
se ili iras por kolekti sian tutan adresaron. "
>> Ĝi aspektas kiel kio okazas ĉi tie estas
kiam ekzistas unu grandan intimecon seksperfortado kaj ĝi faras la gazetaro
ni vidas ŝanĝon tie.
Sed kompreneble ekzistas aliaj aferoj tie.
La LinkedIn apliko rikoltas vian kalendaron enskriboj,
sed Apple ne faras la uzanto estos pridemandata pri tio.
Kalendaro Aktualaĵoj povas havi sentema informojn en ili tro.
Kien vi iras por tiri la linio?
Ĉi tio estas vere afabla de evoluanta lokon
kie ne vere ekzistas bona normo tie
por la uzantoj por kompreni kiam iliaj informoj tuj estos en danĝero
kaj kiam ili tuj scios ĝi estas prenita.
Ni skribis app ĉe Veracode nomata Adios,
kaj esence ĝi permesis al vi notas la app ĉe via iTunes dosierujon
kaj rigardi la tutan aplikoj kiuj rikoltante vian kompletan adresaron.
Kaj kiel vi povas vidi sur tiu listo tie, Kolera Birdoj,
AIM, AroundMe.
Kial Kolera Birdoj bezonas vian adresaron?
Mi ne scias, sed ĝi faras iel.
>> Tio estas io, ke multaj, multaj aplikoj fari.
Vi povas inspekti la kodo por tio.
Estas bone-difinita API por iPhone, Android kaj BlackBerry
akiri ĉe la adreslibro.
Vi povas vere facile inspekti por tio kaj ĉi tio estas, kion ni faris en nia Adios apliko.
La sekvanta kategorio, necerta Sensitive Data Storage,
Estas io kie programistoj preni ion kiel pinglo aŭ konton nombro
aŭ pasvorto kaj konservas ĝin en la klara en la artefakto.
Eĉ pli malbone, ili povu gardi ĝin en areo en la telefono
kiu estas tutmonde alireblaj, same kiel la SD karto.
Komprenu tion pli ofte sur Android ĉar Android permesas por SD karto.
IPhone aparatoj ne.
Sed ni ankoraŭ vidis tion okazi en Citigroup apliko.
Ilia interreta banko apliko stokitaj la konto nombroj insecurely,
nur en la klara, do se vi perdis vian aparaton,
esence vi perdis vian bankokonton.
Jen kial mi persone ne faru bankan sur mia iPhone.
Mi kredas ke estas tro riska nun fari tiajn agadojn.
>> Skype faris la samon.
Skype, kompreneble, havas konton ekvilibro, uzanto nomon kaj pasvorton
kiuj konsentas ke ekvilibro.
Ili estis stoki tutan tiun informon en la klara sur la movebla aparato.
Mi havas kelkajn ekzemplojn ĉi tie por krei dosierojn
ke ili ne havas la rajton permesojn aux skribante al disko
kaj ne havante ajnan ĉifrado okazi por tio.
Tiu apud areo, necerta Sensitive Datumoj Transmission,
Mi aludis al ĉi kelkaj momentoj, kaj pro publika Wi-Fi
tio estas iu kiu apps absolute bezonas fari,
kaj tio estas probable, kion ni vidas iri malbone la plej.
Mi dirus-efektive, mi kredas ke mi havas la realan datumon,
sed ĝi estas proksime al la duono de la telefonoj aplikoj
screw farante SSL.
Ili simple ne uzi la API korekte.
Mi volas diri, ĉiuj vi devas fari estas sekvi la instrukciojn kaj uzu la API,
sed ili faras aferojn kiel ne kontrolu ĉu estas malvalida registrita ĉe la alia fino,
Ne kontrolu, se la alia fino provas fari protokolon downgrade atako.
>> La programistoj, ili volas preni iliajn checkbox, right?
Ilia kondiĉo estas uzi ĉi por vendi. Ili jam uzas ĉi por vendi.
La postulo estas ne uzi tiun vendi sekure,
kaj tiel ĉi tio estas kial ĉiuj aplikoj kiuj uzas SSL por sekurigi datumoj
kiel ĝi estos esti transdonita for de la aparato vere devas esti inspektis
por certiĝi, ke estis implementado korekte.
Kaj ĉi tie mi havas iom da ekzemploj, kie vi povas vidi apliko
eble uzante HTTP anstataŭ HTTPS.
En iuj kazoj apps falos reen al HTTP
se la HTTPS ne funkcias.
Mi havas alian alvokon tie sur Android kie jam malebligita la registrita ĉeko,
Kaj homon-en-la-mezo atenco povas okazi.
Nevalidan atestilo estos akceptita.
Tiuj estas ĉiuj kazoj kie atakantoj ili tuj povos pluiri
la sama Wi-Fi, kiel la uzanto kaj aliro ĉiuj datumoj
tio estas senditaj sur la interreto.
>> Kaj fine, la lasta kategorio Mi havas tie estas hardcoded pasvorton kaj ŝlosilojn.
Ni vere vidas multe da programistoj uzi la saman kodigon stilo
ke ili faris, kiam ili konstruas ttt-servilo aplikoj,
Do oni konstruas Ĝava servilo apliko, kaj ili estas hardcoding la ŝlosilo.
Nu, kiam vi estas konstruanta servilo apliko, jes,
hardcoding la ŝlosilo ne estas bona ideo.
Ĝi faras ĝin malfacile ŝanĝi.
Sed ne estas tiel malbona ĉe la servilo flanko ĉar kiu havas aliron al la servilo?
Nur la administrantoj.
Sed se vi prenos la sama kodo kaj vi surversxis al mobile apliko
Nun ĉiuj, kiuj havas tiun mobile apliko havas aliron al tiu hardcoded klavo,
kaj ni efektive vidas tiun multajn fojojn, kaj mi havas iom da statistiko
je kiom ofte oni vidas ĉi okazos.
Ĝi fakte estis en ekzemplo-kodon MasterCard eldonita
pri kiel uzi sian servon.
La ekzempla kodo montris kiom vi estus simple preni la pasvorton
kaj metis gxin en hardcoded kordo rajton tie,
kaj ni scias kiel programistoj amas kopii kaj almeti kodo kodaĵoj
Kiam ili provas fari ion, do vi kopiu kaj algluu la kodon fragmento
ke ili donis kiel ekzemplo de kodo, kaj vi havas necerta apliko.
>> Kaj tie ni havas iujn ekzemplojn.
Tiu unua estas unu ni vidas multajn kie hardcode
la datumojn rekte en URL ke gets sendis.
Foje oni vidas kordo pasvorto = la pasvorton.
Tio estas sufiĉe facila por detekti, aŭ kordo pasvorton sur BlackBerry kaj Android.
Ĝi estas fakte sufiĉe facila por kontroli, ĉar preskaŭ ĉiam
la developer nomoj la variablo tio estas tenante la pasvorton
iu variado de pasvorto.
Mi menciis, ke ni faru statika analizo ĉe Veracode,
tial ni analizis kelkcent Android kaj IOS aplikoj.
Ni konstruis plenan modeloj de ili, kaj ni povos skani ilin
por malsamaj vulnerabilidades, speciale la vulnerabilidades mi parolis,
kaj mi ne havas iujn datumojn tie.
68,5% de la Android apps ni rigardis
forrompis ĉifrikaj kodo,
kiu por ni, ni ne povas detekti se vi faris vian propran kripto rutino,
Ne ke tio estas bona ideo, sed ĉi tiu estas efektive uzante la publikigita API
kiu estas sur la platformo sed fari ilin en tia vojo
ke la kripto estus vundebla, 68.5.
Kaj jen estas por homoj, kiuj sendas al ni siajn aplikoj reale ĉar
Ili pensas ke estas bona ideo fari sekureco testado.
Tio estas jam homoj kiuj probable pensante sekure,
tial ĝi estas probable eĉ pli malbona.
>> Mi ne parolas pri kontrolo linio feed injekto.
Estas io kontroli, sed ne estas tiu riska afero.
Informo fugo, tiu estas kie sentema datenoj estas senditaj ekstere de la aparato.
Ni trovis ke en 40% de la aplikoj.
Tempo kaj ŝtataj, tiuj estas raso kondiĉo tipo temoj, tipe bela malfacile atakeblaj,
tial Mi ne parolas pri tio, sed ni rigardis ĝin.
23% havas SQL injekto temoj.
Multaj homoj ne scias ke multa aplikoj
uzi malgrandan iom SQL datumbazo sur lia dorso fino stoki datumojn.
Nu, se la datumoj kiujn vi grabbing super la reto
havas SQL injekto atako kordoj en ĝi
iu povas kompromisi la mekanismon per tio,
kaj tial mi pensas, ke ni trovos ĉirkaŭ 40% de aplikoj retejo havas ĉi tiun problemon,
kio estas grandega epidemio problemon.
Ni trovas ĝin 23% de la tempo en mobile apps
kaj tio verŝajne ĉar multaj pli ttt aplikoj uzas SQL ol telefonoj.
>> Kaj tiam ni ankoraŭ vidos iuj kruc-ejo skripta, rajtigo temoj,
kaj tiam credencial demarŝon, tio estas kie vi havas viajn hardcoded pasvorton.
En la 5% el la aplikoj oni vidas tion.
Kaj tiam ni havas iujn datumojn en IOS.
81% havis eraro uzado temoj.
Ĉi tio estas pli de kodo kvalito problemo,
sed 67% havis ĉifrikaj temoj, do ne tute tiel malbona kiel Android.
Eble la API estas iom pli simpla, la ekzemplo kodoj iom bona je IOS.
Sed ankoraŭ tre altan procenton.
Ni havis 54% kun informoj fugo,
ĉirkaŭ 30% kun bufro mastrumado eraroj.
Tio estas lokoj kie oni povus potenciale esti memoro korupto temo.
Rezultas, ke tiu ne estas tiom multe de problemo por ekspluatado
sur IOS ĉar ĉiuj kodo devas esti subskribita,
tial estas malfacile por atakanto ekzekuti arbitrajn kodo sur IOS.
Kodo kvalito, dosierujo trairado, sed tiam akreditaĵojn mastrumado tie je 14.6%,
tiom pli malbone ol sur la Android.
Ni havas la homo ne manipuli pasvortojn korekte.
Kaj tiam la nombran eraroj kaj buffer overflow,
tiuj estas pli tuj estos kodo kvalito temoj sur IOS.
>> Tio estis por mia prezento. Mi ne scias ĉu ni el tempo aŭ ne.
Mi ne scias se estas ia demandoj.
[Male] Rapida demandon ĉirkaŭ fragmentiĝo kaj la Android merkato.
Pomo almenaŭ posedas parchear.
Ili faras bonan laboron de iĝi ŝin tie dum malpli tiel en la Android spaco.
Vi preskaŭ bezonas jailbreak vian telefonon por resti aktuala
kun la nuna versio de Android.
Jes, tio estas grandega problemo kaj do se vi opinias pri-
[Male] Kial vi ne povas ripeti tion?
>> Ho, dekstra, do la demando estis kia pri fragmentiĝo
de la mastruma sistemo sur la platformo Android?
How does kiuj tuŝas la riskiness de tiuj aparatoj?
Kaj tio efektive estas grandega problemo ĉar kio okazas estas
la malnovaj aparatoj, kiam iu venas supren kun jailbreak por tiu aparato,
esence tio estas privilegio grimpita, kaj ĝis tiu mastruma sistemo estas ĝisdatigita
neniu malware povas tiam uzi tiun vundebleco plene kompromisi la mekanismo,
kaj kion ni vidas en la Android estas la celo akiri novan mastruman sistemon
Google havas estingi la mastruma sistemo, kaj poste la aparataro Fabrikejo
devas agordi ĝin, kaj tiam la portanto havas personigi ĝin kaj transdoni ĝin.
Vi havas esence 3 movante partoj tie,
kaj ĝin igante ke la portantoj ne gravas,
kaj la aparataro fabrikantoj ne gravas, kaj Google ne prodding ilin sufiĉe
fari ion, do esence ol duono de la mekanismoj por tie
havi mastrumaj sistemoj kiuj havas tiujn privilegio grimpita vulnerabilidades en ili,
kaj do se vi ricevas malware sur via Android mekanismo estas multe pli ol problemo.
>> Bone, dankon tre multa.
[Aplaŭdo]
[CS50.TV]