>> [Seminar] [puolustaminen takana Device: Mobile Application Security]
[Chris Wysopal] [Harvardin yliopisto]
[Tämä on CS50.] [CS50.TV]
>> Hyvää iltapäivää. Nimeni on Chris Wysopal.
Olen CTO ja yhteistyötä perustaja Veracode.
Veracode on sovellus turvallisuusalan yritys.
Me testata kaikenlaisia ​​erilaisia ​​sovelluksia,
ja mitä aion puhua tänään on mobiilisovellus turvallisuus.
Oma taustani on olen tehnyt turvallisuustutkimuksen
hyvin pitkän aikaa, luultavasti noin niin kauan kuin kukaan.
Aloitin 90-luvun puolivälissä,
ja se oli aika, että oli aika mielenkiintoinen, koska
meillä oli paradigman muutos puolivälissä 90-luvulla.
Yhtäkkiä kaikkien tietokone oli koukussa internetiin,
ja sitten meillä oli alkua web-sovelluksia,
ja se mitä olen keskittynyt paljon sitten.
Se on mielenkiintoista.
Nyt meillä on toinen paradigman muutos tapahtuu computing,
joka on siirtyminen mobiilisovelluksia.
>> Minusta se on tavallaan samanlainen aikaa sitten se oli 90-luvun lopulla
kun olimme tutkivat web-sovelluksia ja löytää vikoja, kuten
istunnon hallinta virheitä ja SQL-injektio
joka ei todellakaan ole aikaisemmin esiintynyt, ja yhtäkkiä he olivat kaikkialla
web-sovelluksia, ja nyt paljon aikaa vietän
etsii mobiilisovelluksia ja katsot mitä tapahtuu siellä luonnossa.
Mobiilisovellukset ovat todella olemaan hallitseva Computing Platform,
joten meidän on todella viettää paljon aikaa, jos olet turva-alan
keskittyy web-sovelluksia.
Oli 29 miljardia mobiilisovellukset ladata 2011.
Se on ennustettu olevan 76 miljardia apps vuoteen 2014 mennessä.
On 686000000 laitteita, joita aiotaan ostaa tänä vuonna,
joten tämä on, jos ihmiset aikovat tehdä
Suurin osa asiakkaan computing eteenpäin.
>> Puhuin johtajana Fidelity Investments
pari kuukautta sitten, ja hän sanoi, että he vain näkivät enemmän liikennettä
teet liiketoimia niiden asiakaskunta
niiden mobiilisovellus kuin niiden verkkosivuilla,
joten yhteiseen käyttöön Web on aikaisemmin ollut
tarkkailun pörssikurssit, toimitusjohtaja oman salkun,
ja olemme todella nähdä, että vuonna 2012 kytkin yli
olla hallitsevampi mobiilialusta.
Varmasti, jos siellä tulee olla rikollista toimintaa,
haittaohjelmat toimintaa, se tulee aloittaa keskitytään mobiilialusta
ajan myötä ihmiset siirtyä siihen.
Jos tarkastellaan mobiilialusta,
tarkastella riskejä alustan on hyödyllistä murtaa se alas eri kerroksia,
aivan kuten te tekisitte sen pöytätietokoneen,
ja ajattelee eri kerroksiin, ohjelmistot, käyttöjärjestelmä,
verkkokerroksella, laitteisto kerros, ja tietysti siellä on haavoittuvuuksien kaikki kerrokset.
>> Sama tapahtuu mobiili.
Mutta mobiili, näyttää siltä, ​​että jotkut näistä kerrokset ovat huonommin.
Yhden, verkkokerroksen on ongelmallisempaa liikkuvilla
koska monet ihmiset ovat heidän toimistossa tai kotona
langallisten yhteyksien tai heillä on turvallinen Wi-Fi-yhteydet,
ja paljon mobiililaitteita olet ilmeisesti kodin ulkopuolella
tai toimiston ulkopuolella paljon, ja jos käytät Wi-Fi on
saatat käyttää turvaton Wi-Fi-yhteys,
jotain, joka on julkinen Wi-Fi-yhteys,
joten kun ajattelemme mobiilisovellukset meidän on otettava huomioon
että verkkoympäristö on riskialttiimpia sovelluksille
kun Wi-Fi on käytössä.
Ja kun pääsen enemmän mobiilisovellus riskit
näet, miksi se on tärkeämpää.
On riskejä laitteisto tasolla mobiililaitteissa.
Tämä on alue jatkuvaa tutkimusta.
Ihmiset kutsuvat näitä laajakaista hyökkäyksiä tai baseband hyökkäyksiä
jos olet hyökkää firmware joka kuuntelee radiosta.
>> Nämä ovat todella pelottavaa iskujen vuoksi
Käyttäjän ei tarvitse tehdä mitään.
Voit lyödä paljon laitteita RF-alue
kerralla, ja se tuntuu, kun tämä tutkimus kuplia
se nopeasti saa luokitella jossa
ihmiset syöksyä ympäri ja sanoa: "Täällä, kerro meille siitä ja ota puhumatta siitä."
Siellä on joitakin käynnissä on laajakaista-aluettaan,
mutta se näyttää olevan hyvin hys hys.
Minusta se on enemmän kansallisvaltion tyyppistä tutkimusta joka on meneillään.
Aktiivisen tutkimuksen, vaikka on käyttöjärjestelmä kerros,
ja taas, tämä on erilainen kuin pöytätietokoneiden maailmaa
koska mobiililaitteille olet nämä joukkueet ihmisiä kutsutaan jailbreakers,
ja jailbreakers ovat erilaisia ​​kuin säännöllistä haavoittuvuutta tutkijoita.
He yrittävät löytää haavoittuvuuksia käyttöjärjestelmän,
mutta syy he yrittävät löytää haavoittuvuuksia ei ole
murtautua jonkun toisen koneen ja vaarantaa sen.
Se on murtautua oman tietokoneen.
>> He haluavat murtautua omia mobiili, muokata omaa mobiili käyttöjärjestelmä
jotta he voivat ajaa sovelluksia heidän valintansa
ja muuttaa asioita täysin järjestelmänvalvojan oikeuksia
ja he eivät halua kertoa myyjä tästä.
He eivät pidä turvallisuutta tutkija, joka on valkoinen hattu tietoturvatutkija
joka aikoo tehdä vastaavan julkistamista ja kertoa myyjä siitä.
He haluavat tehdä tätä tutkimusta, ja he haluavat todella julkaista sen
in hyödyntää tai rootkit tai Jailbreak koodia,
ja he haluavat tehdä sen strategisesti, kuten heti
myyjä alusten uuden käyttöjärjestelmän.
Sinulla on tämä kontradiktorisen suhde
OS-tason haavoittuvuuksien mobiili,
joka on mielestäni varsin mielenkiintoinen, ja yksi paikka näemme sen
se tekee niin, että siellä on hyviä julkaistu hyväksikäyttökoodi siellä
kernel-tason haavoittuvuuksia,
ja olemme nähneet todellisuudessa käyttää haittaohjelmien kirjoittajat.
Se on hieman erilainen kuin PC-maailmassa.
Ja sitten lopullinen kerros on yläkerros, sovellustasolla.
Se mitä aion puhua tänään.
>> Muut kerrokset ovat olemassa, ja muut kerrokset pelata osaksi sitä,
mutta olen enimmäkseen aio puhua siitä, mitä tapahtuu sovellustasolla
jossa koodi on käynnissä hiekkalaatikko.
Se ei ole järjestelmänvalvojan oikeuksia.
Se on käyttää API laitteen,
mutta silti, paljon haitallisen toiminnan ja paljon riskejä voi tapahtua, että kerros
koska se on kerros, jossa kaikki tieto on.
Sovellukset voivat käyttää kaikkia laitteen tietoja
jos heillä on oikeus käyttöoikeudet,
ja he voivat käyttää erilaisia ​​antureita laitteeseen,
GPS-sensori, mikrofoni, kamera, mitä olet.
Vaikka emme vain puhu sovellustasolla
meillä on paljon riskejä siellä.
Toinen asia, joka on erilaista mobiiliin ympäristöön
on kaikki käyttöjärjestelmän pelaajia, olipa BlackBerry tai Android
tai iOS tai Windows Mobile, ne kaikki ovat hienorakeinen luvan malli,
ja tämä on yksi tapa, että he rakensivat käyttöjärjestelmään
ajatus, että se ei ole niin riskialtista kuin luulet.
Vaikka sinulla on kaikki yhteystiedot siellä, kaikki henkilökohtaiset tiedot,
sinulla on valokuvia, sinulla on paikalla siellä,
olet tallentamisen bank pin automaattinen kirjautuminen on olemassa, se on turvallista, koska
apps on oltava tiettyjä oikeuksia saada tietyissä osissa
tiedot laitteen ja käyttäjän on esitettävä
nämä luvat ja sano okei.
>> Ongelma on käyttäjän sanoo aina kunnossa.
Koska turvallisuus henkilö, tiedän voit pyytää käyttäjää,
sanoa jotain todella pahaa tulee tapahtumaan, sinä haluat sen tapahtua?
Ja jos he ovat kiire tai siinä on jotain todella houkutteleva toisella puolella, että
kuin peli aiotaan asentaa, että he ovat odottaneet,
he aikovat klikkaa kunnossa.
Siksi sanon minun slide täällä juuri minulle paiskata lintuja sikoja jo,
ja näet dian tässä siellä esimerkkejä BlackBerry lupaa ruutuun.
Se sanoo "Aseta BlackBerry Travel sovelluksen käyttöoikeudet
jälkeen klikkaamalla alla olevaa painiketta "ja pohjimmiltaan käyttäjä on juuri menossa sanoa
asettaa käyttöoikeudet ja tallenna.
Tässä Android ajallaan, jossa näkyy asioita,
ja se oikeasti jotain, joka melkein näyttää varoitus.
Se sai eräänlaisen varoituskolmio siellä sanomalla verkkoviestintää, puheluita
mutta käyttäjä on menossa valitse asentaa, eikö?
Ja sitten Apple yksi on täysin vaaraton.
Se ei anna minkäänlaista varoitusta.
Se on vain Apple haluaisi käyttää nykyistä sijaintia.
Tietenkin aiot klikata kunnossa.
>> On tämä hienojakoinen lupaa malli,
ja sovellukset on oltava manifestissä jossa he julistavat
käyttöoikeudet he tarvitsevat, ja että saavat näytetään käyttäjälle,
ja käyttäjän täytyy sanoa myöntää nämä oikeudet.
Mutta olkaamme rehellisiä.
Käyttäjät ovat juuri menossa aina sanoa kunnossa.
Otetaanpa vilkaista käyttöoikeudet nämä sovellukset pyytävät
ja joitakin käyttöoikeuksia, jotka ovat siellä.
Tämä yritys Praetorian teki kyselyn viime vuonna
53000 analysoitujen hakemusten Android markkinoilla ja 3rd party markkinoilla,
joten tämä on kaikki Android.
Ja keskimääräinen app pyydetty 3 käyttöoikeudet.
Jotkin sovellukset pyysi 117 käyttöoikeuksia,
joten ilmeisesti nämä ovat erittäin hienojakoisia ja aivan liian monimutkainen käyttäjä ymmärtää
jos ne siellä esitetään tämän sovelluksen, joka tarvitsee näitä 117 käyttöoikeuksia.
Se on kuin loppukäyttäjän lisenssisopimus, joka on 45 sivua pitkä.
Ehkä pian he ovat yksi vaihtoehto, jos se on kuin
tulostaa käyttöoikeudet ja lähetä minulle sähköpostia.
>> Mutta jos tarkastellaan joitakin alkuun mielenkiintoisia käyttöoikeudet
24% apps että ne ladataan ulos 53000
pyydetyt GPS-tietoja laitteen.
8% lukea yhteystiedot.
4% lähetetään tekstiviesti, ja 3% saapunut.
2% tallennettua ääntä.
1% jalostettu lähtevät puhelut.
En tiedä.
En usko, että 4% kaikista apps App Store todellakaan tarvitse lähettää tekstiviestejä,
joten uskon, että vihje, että jotain epätavallista on tekeillä.
8% apps täytyy lukea yhteystiedot.
Se ei todennäköisesti ole tarpeen.
Yksi muita mielenkiintoisia asioita käyttöoikeudet on
jos linkkiä jaetut kirjastot sovellukseen
nämä perivät käyttöoikeudet hakemuksen,
joten jos sovellus tarvitsee yhteystietoluettelo tai tarvitsee GPS-sijainnin toimiakseen
ja liität vuonna mainonnan kirjasto, esimerkiksi
että mainos kirjasto on myös mahdollisuus käyttää kontakteja
ja myös voi käyttää GPS-sijainti,
ja kehittäjä app tiedä mitään koodia, joka on käynnissä mainoksen kirjastossa.
He vain yhdistää, että koska he haluavat ansaita rahaa sovellus.
>> Tämä on, jos ja minä puhumme joitakin esimerkkejä tämän kanssa
sovellus nimeltä Pandora, jossa sovelluskehittäjä
ehkä tietämättään vuotaa tietoja
niiden käyttäjille, koska kirjastot he ovat sidoksissa sisään
Maanmittaus maiseman siellä, tarkastellaan kaikkia eri sovellukset
että on raportoitu uutiset ilkeä tai tekee jotain käyttäjät eivät halua
ja sitten tarkastaa paljon apps-teemme paljon häiriöitä binary analyysin mobiilisovellukset,
joten olemme tarkastaa ne ja katsoin koodin itse-
keksimme mitä me kutsumme meidän top 10 lista riskikäyttäytymistä sovelluksissa.
Ja se jakautuu 2 osaan, haitallisen koodin,
joten nämä ovat pahoja asioita, että sovellukset voidaan tehdä, että
ovat todennäköisesti jotain, että ilkeä yksittäisiä
on nimenomaan laittaa hakemuksen, mutta se on hieman sumea.
Se voisi olla jotain, että kehittäjä ajattelee on hieno,
mutta se päätyy ajatellut sen haitalliseksi käyttäjä.
>> Ja sitten toinen osa on se, mitä me kutsumme koodaus haavoittuvuuksia,
ja nämä ovat asioita, joissa kehittäjä pohjimmiltaan tekee virheitä
tai vain ei ymmärrä miten kirjoittaa app turvallisesti,
ja joka laittoi sovelluksen käyttäjä vaarassa.
Aion käydä läpi näitä yksityiskohtaisesti ja antaa esimerkkejä.
Ilmenee, halusin laittaa ylös OWASP mobiili top 10 lista.
Nämä ovat 10 numeroa, että ryhmä OWASP,
Open Web Application Security Project, heillä työryhmä
työstää mobiili top 10 lista.
Heillä on erittäin kuuluisa web top 10 lista, jotka ovat top 10
vaarallisinta, mitä voi olla web-sovellus.
He tekevät samaa mobiililaitteille,
ja niiden lista on hieman erilainen kuin omamme.
6 ulos 10 ovat samat.
He ovat 4, jotka ovat erilaisia.
Mielestäni heillä on hieman erilainen ottaa
riski mobiilisovellukset jossa paljon niiden kysymysten
ovat todella miten sovellus viestii back-end-palvelin
tai mitä tapahtuu back-end-palvelin,
ei niin paljon sovelluksia, joilla on riskikäyttäytymistä, jotka ovat aivan yksinkertaista asiakas apps.
>> Niistä punaisella tässä ovat erot 2 luetellaan.
Ja joitakin minun tutkimusryhmä on todella osoittanut tähän hankkeeseen,
niin näemme, mitä tapahtuu ajan myötä, mutta mielestäni takeaway tässä
emme oikeastaan ​​tiedä, mitä top 10 lista on mobiilisovellukset koska
He ovat todella ollut vain noin 2 tai 3 vuotta,
ja ei ole ollut tarpeeksi aikaa todella tutkia käyttöjärjestelmissä
ja mitä he pystyvät, ja ei ole ollut tarpeeksi aikaa
haittaohjelman yhteisölle, jos haluatte, on viettänyt tarpeeksi aikaa
yrittää hyökätä käyttäjille mobiilisovellukset, joten odotan näitä luetteloita muuttaa hieman.
Mutta nyt nämä ovat top 10 asioita murehtia.
Saatat ihmetellä mobiili puolella, jossa ei ilkeä mobiili koodi-
miten se päästä laitteeseen?
North Carolina State on projekti nimeltään Mobile Malware Genome Project
jos ne on kerätä niin paljon mobiililaitteiden haittaohjelmien kuin he voivat ja analysoida sitä,
ja he ovat eriteltyinä pistoksen vektorit että mobiililaitteiden haittaohjelmien käyttää,
ja 86% käyttää tekniikkaa kutsutaan uudelleen pakkaamisen,
ja tämä on vain Android-alustan
voit todella tehdä tämän uudelleen pakkaamisen.
>> Syy on Android-koodi on rakennettu
Java tavu koodi nimeltään Dalvik joka on helposti decompilable.
Mitä pahis voi tehdä, on
ottaa Android-sovellus, purkaa sen,
lisätä niiden haitallista koodia, kääntää sen,
ja sitten laittaa se esille App Store muka olla uusi versio, joka hakemuksen,
tai vain ehkä muuttamalla sovelluksen nimi.
Jos se oli jonkinlainen peli, muuttaa nimeä hieman,
ja niin tämä uudelleen pakkaaminen on, miten 86% mobiililaitteiden haittaohjelmien saa jakaa.
On toinenkin tekniikkaa kutsutaan päivitys, joka on
hyvin samankaltainen uudelleen pakkaamisen, mutta te itse ei laita haitallisen koodin sisään
Mitä tehdä, on laittaa pieni päivitys mekanismi.
Voit purkaa, laitat päivitysmekanismi, ja voit kääntää sen,
ja sitten kun sovellus on käynnissä se vetää alas haittaohjelmien kiinni laitteeseen.
>> Ylivoimaisesti suurin osa ovat ne 2 tekniikoita.
Ei ole oikeastaan ​​paljon download drive pysähdyspaikkoja tai drive-by download matkapuhelinten,
joka voisi olla kuin phishing-hyökkäys.
Hei, katsokaa tämä todella siistiä verkkosivuilla,
tai sinun täytyy mennä tälle sivustolle ja täytä tämä lomake
pitää jatkuvaa tehdä jotain.
Nämä ovat phishing-hyökkäykset.
Sama voi tapahtua mobiilialusta, jossa he
viittaavat Mobile App ladata, sanoa "Hei, tämä on Bank of America."
"Näemme käytät tätä sovellusta."
"Lataa tämä toinen sovellus."
Teoriassa, että voisi toimia.
Ehkä se vain ei käytetä tarpeeksi, onko se onnistunut vai ei,
mutta he havaitsivat, että alle 1% ajasta, joka tekniikkaa käytetään.
Suurimman osan ajasta se on todella uudelleenpakatun koodi.
>> On toinenkin luokasta itsenäisenä
jos joku vain rakentaa upouusi sovellus.
He rakentavat sovellus, joka väittää olevansa jotain.
Se ei ole uudelleen pakkaaminen jotain muuta, ja että on haitallista koodia.
Joka käyttää 14% ajasta.
Nyt haluan puhua siitä, mitä on haitallisen koodin teet?
Yksi ensimmäisistä haittaohjelmien siellä
voisitte harkita vakoiluohjelmia.
Se pohjimmiltaan vakoilee käyttäjää.
Se kerää sähköpostit, tekstiviestit.
Se syttyy mikrofonin.
Se sadot kontakti kirjan, ja se lähettää sen jollekin muulle.
Tämäntyyppinen spyware olemassa PC,
joten on erittäin järkevää, että ihmiset yrittävät tehdä tämän mobiililaitteissa.
>> Yksi ensimmäisiä esimerkkejä tästä oli ohjelma nimeltä Salainen SMS Replicator.
Se oli Android Marketplace pari vuotta sitten,
ja ajatus oli, jos oli pääsy jonkun Android-puhelinta
että olet halunnut vakoilla, joten ehkä se on sinun puolisosi
tai muita huomattavia ja haluat vakoilla tekstiviestit,
voit ladata tämän sovelluksen ja asentaa sen ja määrittää sen
lähettää tekstiviestin sinulle kopion
jokaisen tekstiviestin he saivat.
Tämä tietysti on rikkomuksiin App Store käyttöehdot,
ja tämä poistettiin Android Marketplace 18 tunnin kuluessa se on siellä,
joten hyvin pieni joukko ihmisiä oli vaarassa, koska tämän.
Nyt uskon, että jos ohjelmaa on jotain ehkä hieman vähemmän provosoiva
kuten Secret SMS Replicator se todennäköisesti olisi toiminut paljon paremmin.
Mutta se oli aika ilmeinen.
>> Yksi asioita, joita voimme tehdä, onko apps on tämä ongelma, että emme halua
on tarkastaa koodin.
Tämä on oikeastaan ​​todella helppo tehdä Android koska voimme purkaa apps.
IOS voit käyttää disassembler kuten IDA Pro
katsoa, ​​mitä Apis sovellus soittaa ja mitä se tekee.
Kirjoitimme oman binary staattinen analysaattori meidän koodi
ja teemme tämän, ja niin mitä voisit tehdä on voisi sanoa
ei laite tehdä mitään, on pohjimmiltaan vakoilee minua tai seuranta minua?
Ja minulla on joitakin esimerkkejä tästä iPhonessa.
Tämä ensimmäinen esimerkki on, miten voit käyttää UUID puhelimessa.
Tämä on todella jotain, että Apple on juuri kieltänyt uusien sovellusten,
mutta vanhojen sovellusten, että olet ehkä käynnissä puhelimessa voi vielä tehdä tämän,
ja niin, että yksilöllinen tunniste voidaan seurata sinua
monilla eri sovelluksissa.
>> On Android, minulla on esimerkiksi täältä saada laitteen sijainnin.
Voit nähdä, että jos API puhelu on olemassa, että sovellus on seurata,
ja voit nähdä, onko se alkaa hienolla paikalla tai karkea sijainti.
Ja sitten pohjassa täällä, minulla on esimerkki siitä, miten BlackBerry
ohjelma saattaa käyttää sähköpostiviestejä postilaatikossa.
Nämä ovat sellaisia ​​asioita, voit tarkastaa nähdä
jos sovellus tekee niitä asioita.
Toinen iso luokka haitallista toimintaa, ja tämä on luultavasti suurin luokka nyt
on luvaton numerot, luvaton palkkio tekstiviestejä
tai luvattomasta maksut.
Toinen asia, joka on ainutlaatuista puhelin
on laite koukussa laskutustili,
ja kun toiminta tapahtuu puhelimessa
se voi luoda maksuja.
Voit ostaa asioita puhelimitse,
ja kun lähetät palkkio tekstiviestin olet todella antaa rahaa
tilille haltijan puhelinnumero toisella puolella.
Nämä perustettiin saada pörssikurssit tai saada päivittäinen horoskooppi tai muita asioita,
mutta ne voidaan perustaa tilata tuotteen lähettämällä tekstiviestin.
Ihmiset antavat rahaa Punaisen Ristin lähettämällä tekstiviestin.
Voit antaa 10 dollaria niin.
>> Hyökkääjät, mitä he ovat tehneet on he perustavat
tilejä ulkomailla, ja ne upottaa haittaohjelmia
että puhelin lähettää palkkio tekstiviestillä
sanoa, muutaman kerran päivässä, ja lopussa kuukauden huomaat olet viettänyt
kymmeniä tai ehkä jopa satoja dollareita, ja he kävelevät pois rahaa.
Tämä meni niin pahaksi, että tämä oli aivan ensimmäinen asia, että Android
Marketplace tai Google paikkaan se oli Android Marketplace tuolloin,
ja se on nyt Google Play-Ensimmäinen asia, että Google aloitti tarkkailun.
Kun Google aloitti jakelemalla Android apps niiden App Store
he sanoivat he eivät aio tarkistaa mitään.
Me vedä apps, kun olemme ilmoittaneet he ovat rikkoneet meidän käyttöehdot,
mutta emme aio tarkistaa mitään.
No, noin vuosi sitten se meni niin pahaksi tämän laadukkaan tekstiviestillä haittaohjelmia
että tämä on aivan ensimmäinen asia, he alkoivat tarkistaa.
Jos sovellus voi lähettää tekstiviestejä
ne edelleen manuaalisesti tutkia tämä hakemus.
He etsivät API kutsuvat tätä,
ja nyt sen jälkeen Google on laajentunut,
mutta tämä oli ensimmäinen asia, että he alkoivat etsiä.
>> Jotkut muut sovellukset, jotka tekivät joitakin tekstiviestejä,
Tämän Android Qicsomos, kai sitä kutsutaan.
Oli tämä nykyinen tapahtuma mobiili missä tämä CarrierIQ tuli ulos
spyware laittaa laitteen harjoittajat,
joten ihmiset halusivat tietää, onko heidän puhelin oli Haavoittuvuus,
ja tämä oli ilmainen sovellus, joka testannut.
No, tietysti, mitä tämä app teki oli se lähetti Premium SMS tekstiviestejä,
joten testaamalla nähdä, jos olet saanut tartunnan vakoiluohjelmia
lisätyn haittaohjelmia laitteeseen.
Näimme sama asia tapahtuu viime Super Bowl.
Oli väärä versio Madden jalkapallo-ottelun
joka lähetti palkkio tekstiviestejä.
Se todella yrittänyt luoda bot verkon liian laitteeseen.
Täällä minulla on joitakin esimerkkejä.
Kiinnostavaa kyllä, Apple oli aika fiksu,
ja ne eivät salli sovellusten lähettää tekstiviestejä ollenkaan.
Ei app voi tehdä sitä.
Se on hyvä tapa päästä eroon koko luokan haavoittuvuus,
mutta Android voit tehdä sen, ja tietenkin, BlackBerry voit tehdä sen myös.
On mielenkiintoista, että BlackBerry-kaikki mitä tarvitset on Internet-käyttöoikeudet
lähettää tekstiviestin.
>> Toinen asia todella niin etsimme
kun olemme katsomatta, jos jotain on ilkeä on vain kaikenlaista
luvatonta verkon toimintaa, kuten tarkastella verkon toimintaa
App on tarkoitus täytyy olla sen toiminnallisuutta,
ja katsokaa tätä muut verkon toimintaa.
Ehkä app, tehdä työtä, on saada tietoa HTTP,
mutta jos se tekee asioita uudestaan ​​sähköpostitse tai tekstiviestillä tai Bluetooth tai jotain
nyt, että sovellus voisi mahdollisesti olla ilkeä, joten tämä on toinen asia, voit tarkastaa varten.
Ja tämän dian täällä minulla on joitakin esimerkkejä.
Toinen mielenkiintoinen asia näimme haittaohjelmia tapahtui jo vuonna 2009,
ja se tapahtui isossa tavalla.
En tiedä, jos se on tapahtunut niin paljon jälkeen, mutta se oli app
että matkivan toisen sovelluksen.
Oli joukko apps, ja se oli puhuttu 09Droid hyökkäys,
ja joku päätti, että siellä oli paljon pieniä, alueellisia, Keskisuuret pankit
että ei ollut verkkopankit sovelluksia,
niin mitä he tekivät oli he rakensivat noin 50 verkkopankkisovelluksia
että he vain toteuttaa käyttäjätunnus ja salasana
ja ohjaa sinut verkkosivuilla.
Ja niin ne laittaa nämä kaikki esille Google Marketplace,
Android Marketplace, ja kun joku etsinyt onko heidän pankki
oli sovellus he löytäisivät väärä sovellus,
joka keräsi heidän tietonsa ja sitten ohjataan heidät verkkosivuilla.
Siten, että tämä todella tuli-apps olivat siellä muutaman viikon,
ja oli tuhansia ja tuhansia latauksia.
>> Miten tämä tuli ilmi oli joku, jolla ongelma
yksi sovelluksia, ja he kutsuivat pankki,
ja he kutsuivat pankin asiakaspalveluun linja ja sanoi:
"Minulla on ongelma mobiili pankkitoiminta sovellus."
"Voitteko auttaa minua?"
Ja he sanoivat: "Meillä ei ole mobiili pankkitoiminta sovellus."
Että käynnistänyt tutkinnan.
Että pankki nimeltään Google, ja sitten Google näytti ja sanoi:
"Vau, sama tekijä on kirjoittanut 50 pankki sovelluksia", ja vei heidät kaikki alas.
Mutta varmasti tämä voisi toistua.
On luettelo kaikista eri pankkien täällä
, jotka olivat osa tätä huijaus.
Toinen asia sovellus voi tehdä, on esittää UI toisen hakemuksen.
Vaikka se on käynnissä se voisi ponnahtaa Facebook UI.
Se sanoo, sinun täytyy laittaa käyttäjätunnus ja salasana jatkaaksesi
tai sietää mitään käyttäjänimi ja salasana UI verkkosivuilla
että ehkä käyttäjä käyttää vain yrittää huijata käyttäjä
ottamiseksi käyttöön heidän tietonsa sisään
Tämä on todella suora leveyspiirin email phishing-hyökkäyksiltä
jos joku lähettää sinulle sähköpostiviestin
ja antaa sinulle pohjimmiltaan fake UI verkkosivuilla
että sinulla on pääsy.
>> Toinen asia etsimme haitallista koodia on järjestelmän muutos.
Voit etsiä kaikki API-kutsuja, jotka vaativat root etuoikeus
suorittaa oikein.
Muuttaminen laitteen web proxy olisi jotain, että hakemus
ei pitäisi pystyä tekemään.
Mutta jos sovellus on koodia siellä tehdä, että
tiedät, että se on luultavasti haittaohjelma
tai erittäin hyvin todennäköisesti haittaohjelma,
ja niin mitä tapahtuisi on, että sovellus olisi jokin tapa Kasvavat etuoikeus.
Se olisi joitakin eskalaatiohyökkäykset hyödyntää
hakemuksessa, ja sitten kun se laajeni etuoikeuksia
se tekisi näitä järjestelmän muutoksia.
Voit löytää haittaohjelmia, jotka on eskalaatiohyökkäykset
siinä edes tietämättä, miten eskalaatiohyökkäykset
hyödyntää tulee tapahtumaan, ja se on mukava, helppo tapa
etsiä haittaohjelmia.
DroidDream oli luultavasti tunnetuin pala Android haittaohjelmia.
Minusta se vaikuttaa noin 250000 käyttäjää yli muutaman päivän
ennen kuin se havaittiin.
He uudelleenpakatun 50 tekaistuja sovelluksia,
laita ne Android App Store,
ja lähinnä se käyttää Android jailbreak-koodin kärjistyä etuoikeuksia
ja sitten asentaa Command and Control ja käännä kaikkien uhrien
osaksi bot net, mutta olisit voinut havaita tämän
jos olisit skannaus sovellus ja vain etsivät
API vaatii, että tarvitaan root oikeuksia suorittaa oikein.
>> Ja siellä esim. täällä minulla on joka muuttuu proxy,
ja tämä todella on käytettävissä vain Android.
Näet Minä annan sinulle paljon esimerkkejä Android
koska tämä on aktiivisin haittaohjelma ekosysteemi on
koska se on todella helppo hyökkääjän saada haittaohjelmia
osaksi Android Marketplace.
Se ei ole niin helppo tehdä, että Applen App Store
koska Apple vaatii kehittäjiä samaistua
ja allekirjoittaa koodin.
He itse tarkistaa, kuka olet, ja Apple on todella tarkastelemalla sovelluksia.
Emme näe paljon todellista haittaohjelmia, jossa laite on tulossa vaarantuu.
Aion puhua joitakin esimerkkejä, joissa se on todella yksityisyyttä, joka on tulossa vaarantunut,
ja se mitä todella tapahtuu Applen laite.
Toinen asia etsiä haitallisen koodin, riskialtista koodi laitteissa
on logiikkaa tai aikapommeja, ja aika pommit ovat luultavasti
paljon helpompi etsiä kuin loogiset pommit.
Mutta aikapommeja, mitä voit tehdä on, voit etsiä
paikkoja koodia, jos aika on testattu tai absoluuttista aikaa on etsinyt
ennen tiettyjä toimintoja App tapahtuu.
Ja tämä voitaisiin tehdä piilottaa aktiivisuutta käyttäjä,
niin se tapahtuu myöhään illalla.
DroidDream teki kaiken sen toiminnan välillä kaksikymmentäkolme ja 8 AM paikallista aikaa
yrittää tehdä sen, kun käyttäjä ei ehkä käyttävät laitetta.
>> Toinen syy tähän on, jos ihmiset käyttävät käyttäytymisen analyysi hakemuksen,
käynnissä app hiekkalaatikossa mitä käyttäytymistä sovellus on,
he voivat käyttää aikaa logiikkaa tehdä toiminnan
kun sovellus ei ole hiekkalaatikko.
Esimerkiksi App Store, kuten Apple
ajaa sovellusta, mutta se ei luultavasti ole ajaa jokaista hakemusta, vaikkapa 30 päivää
ennen sen hyväksymistä, niin voit laittaa
logiikka hakemuksesi joka sanoi, okei, vain tehdä huono asia
30 päivän kuluttua on kulunut tai 30 päivän kuluttua julkaisupäivä hakemuksen,
ja jotka voivat auttaa haitallisen koodin piilottaa ihmisiltä tarkastaessa sitä.
Jos anti-virus yritykset ovat käynnissä asioita hiekkalaatikot
tai App Kaupat ovat itse tämä voi auttaa
piilottaa että kyseisestä tarkastus.
Nyt kääntöpuoli, että se on helppo löytää staattisen analyysin,
joten tutkimasta tosiasiallisesti koodin voit etsiä kaikki paikat
jos hakemus testaa aikaa ja tarkasta, että tavalla.
Ja tässä minulla on joitakin esimerkkejä näistä 3 eri alustoilla
miten aika voidaan tarkistaa, jotka sovelluksen maker
niin tiedät mitä etsiä, jos olet tarkastaa App staattisesti.
>> Minä vain meni läpi koko joukko eri vihamielisiin toimiin
että olemme nähneet luonnossa, mutta mitkä ovat yleisimpiä?
Samassa tutkimuksessa North Carolina State Mobile Genome Project
julkaistu joitakin tietoja, ja siellä oli periaatteessa 4 alueet
että he näkivät, jossa oli paljon toimintaa.
37% apps teki eskalaatiohyökkäykset,
joten heillä oli jonkinlaista jailbreak-koodin siellä
jossa he yrittivät kärjistyä etuoikeuksia, jotta he voisivat
älä API komennot toimivat kuten käyttöjärjestelmä.
45% apps siellä teki Premium SMS,
niin, että on valtava osuus, joka yrittää suoraan ansaita rahaa.
93% teki kaukosäädin, joten he yrittivät perustaa bot net, mobiili bot net.
Ja 45% korjattu tunnistetietoja
kuten puhelinnumeroita, UUID, GPS-sijainnin, käyttäjätilejä,
ja tämä lisää jopa yli 100, koska useimmat haittaohjelmat yrittävät tehdä muutamia näistä asioista.
>> Aion siirtyä jälkipuoliskolla ja puhua koodin haavoittuvuuksia.
Tämä on toinen puoli riskialtista toimintaa.
Tämä on silloin lähinnä kehittäjä tekee virheitä.
Oikeutettua kehittäjä kirjallisesti laillinen app
tekee virheitä tai on tietämätön riskeistä mobiilialustan.
He eivät vain tiedä, miten tehdä Secure Mobile app,
tai joskus kehittäjä ei välitä laskemisesta käyttäjä vaarassa.
Joskus osa niiden liiketoimintaa malli voisi olla
korjuu käyttäjän henkilökohtaisia ​​tietoja.
Se on tavallaan muusta alasta, ja siksi osa tästä ilkeä
vs. oikeutettua alkaa vuotamaan yli, koska siellä on näkemyserot
välillä, mitä käyttäjä haluaa ja mitä käyttäjä katsoo riskialtista
ja mitä sovelluskehittäjä katsoo riskialtista.
Tietenkään se ei ole sovelluskehittäjä tietoihin useimmissa tapauksissa.
>> Ja sitten lopulta, toinen tapa tämä tapahtuu, on kehittäjä voisi linkkiä
jaettu kirjasto, jossa on haavoittuvuuksia tai tämän riskikäyttäytyminen se
Tietämättä niitä.
Ensimmäinen luokka on herkkä tietovuodot,
ja tämä on, kun sovellus kerää tietoa
kuten sijainti, osoitekirjan tiedot, omistajan tiedot
ja lähettää nämä pois laitteesta.
Ja kun se on pois laitteesta, emme tiedä mitä tapahtuu tämän tiedon.
Se voitaisiin tallentaa salaamattomana jonka sovelluskehittäjä.
Olemme nähneet sovelluksen kehittäjät saavat vaarantunut,
ja tiedot, jotka he tallentamiseen saa ottaa.
Tämä tapahtui muutama kuukausi sitten kehittäjä alas Floridassa
jossa valtava määrä-se oli iPad UUID ja laitteiden nimet
oli vuotanut koska joku, mielestäni se oli nimetön,
väitti tehdä tämän murtautui tämän kehittäjän palvelimet
ja varasti miljoonia iPad UUID
ja tietokoneen nimet.
Ei kaikkein vaarallisimpia tiedot,
mutta mitä jos se oli varastointi käyttäjätunnuksia ja salasanoja
ja kotiosoite?
On paljon apps, jotka tallentaa tällaiset tiedot.
Riski on olemassa.
>> Toinen asia, joka voi tapahtua on, jos kehittäjä ei hoida
suojaaminen on kanava, ja se on toinen iso haavoittuvuus aion puhua,
että dataa lähetetään selkeä.
Jos käyttäjä on julkinen Wi-Fi-verkon
tai joku haistaa internet jonnekin
tiellä, että tietoja on alttiina.
Yksi erittäin kuuluisa tapaus näiden tietojen vuoto tapahtui Pandora,
ja tämä on meidän tutkittu klo Veracode.
Olemme kuulleet, että siellä oli-Minusta se oli Federal Trade Commission
Tutkimus meneillään kanssa Pandora.
Me sanoimme, "Mitä siellä tapahtuu? Aloitetaan kaivaa Pandora sovellus."
Ja mitä me ratkaistavana oli Pandora sovellus kerätty
sukupuolesi ja ikäsi,
ja se myös käyttää GPS-sijainnin ja Pandora sovellus
teki tämän, mitä he sanoivat oli laillista syytä.
Musiikkia, että he olivat pelaamassa-Pandora on musiikin suoratoisto app-
musiikki soitettiin oli ainoa toimiluvan Yhdysvalloissa,
joten ne täytyi tarkistaa noudattamaan lisenssisopimuksia, että heillä oli
musiikin, että käyttäjä oli Yhdysvalloissa.
He halusivat myös noudattaa Parental Advisory
noin aikuisten kieltä musiikin,
ja niin se on vapaaehtoinen ohjelma, mutta he halusivat noudattaa kyseistä
ja ei pelata nimenomaista lyrics lapsille 13 ja alle.
>> Heillä oli perusteltu syy kerätä näitä tietoja.
Heidän app oli oikeudet tehdä se.
Käyttäjät mielestä tämä oli laillista. Mutta mitä tapahtui?
Ne liittyvät 3 tai 4 eri mainoksen kirjastot.
Nyt yhtäkkiä kaikki nämä ad kirjastot
saavat käyttää samoja tietoja.
Mainos kirjastot, jos tarkastellaan koodin mainoksen kirjastojen
mitä he tekevät on jokaisen mainoksen kirjasto sanoo
"Onko minun app lupaa saada GPS-sijainnin?"
"Voi, se ei? Okei, kerro minulle GPS-sijainnin."
Jokainen mainos kirjasto tekee sen,
ja jos sovellus ei ole GPS-lupaa
se ei voi saada sitä, mutta jos niin käy, se saa sen.
Tämä on, jos liiketoimintamalli mainoksen kirjastojen
vastustaa käyttäjän yksityisyyden.
Ja siellä on ollut tutkimuksia siellä, että sanoa, jos tiedät ikä
henkilön ja tiedät niiden sijainnin
jos he nukkuvat yöllä, koska sinulla on GPS-koordinaatit
kun he ehkä nukkuvat, tiedät tarkalleen, kuka tämä henkilö on
koska voit määrittää, mitä jäsen, että kotitalouksien on, että henkilö.
Oikeasti tämä on tunnistaa mainostajille
tarkalleen, kuka olet, ja se näyttää se oli laillista.
Haluan vain musiikin, ja tämä on ainoa tapa saada se.
>> No, me paljastanut tämän.
Kirjoitimme tämän käyttöön monilla blogikirjoituksia,
ja kävi ilmi, että joku Rolling Stone-lehden
lukea jokin meidän blogikirjoituksia ja kirjoitti oman blogin Rolling Stone siitä,
ja jo seuraavana päivänä Pandora mielestä se oli hyvä idea
poistaa mainoksen kirjastojen niiden soveltamisesta.
Sikäli kuin tiedän, he vain-ne on kiitettävä.
Minusta he vain freemium tyyppinen sovellus, joka on tehnyt tämän.
Kaikki muut freemium apps on tämä sama ongelma,
joten sinun täytyy miettiä, millaisia ​​tietoja annat
Näiden freemium sovelluksissa, koska se kaikki tulee mainostajille.
Praetorian myös teki tutkimuksen noin jaetut kirjastot ja sanoi:
"Katsotaan, mitä jaetut kirjastot ovat alkuun jaetut kirjastot", ja tämä oli tietoja.
>> He analysoivat 53000 apps,
ja numero 1 jaettu kirjasto oli Admob.
Se oli itse asiassa 38% hakemuksista siellä,
joten 38% hakemuksista käytät
todennäköisesti korjuu henkilökohtaisia ​​tietoja
ja lähettämällä se mainosverkostot.
Apache ja Android olivat 8% ja 6%,
ja sitten nämä toisilla alas alareunassa, Google Ads, Flurry,
Mob Kaupunki ja tuhatvuotisen Media,
nämä ovat kaikki mainosten yrityksiä, ja sitten, mielenkiintoista kyllä,
4% linkitetty Facebook kirjastossa
luultavasti tekemään todennus Facebookin kautta
niin app voi todentaa Facebook.
Se tarkoittaa kuitenkin myös yhtiö Facebook ohjaa koodi
joka on käynnissä 4% Android mobiilisovellukset siellä,
ja heillä on pääsy kaikkiin tietoihin, että sovellus on lupa saada aikaa.
Facebook olennaisesti yrittää myydä mainostilaa.
Se on heidän liiketoimintamalli.
>> Jos sinä katsot tätä koko ekosysteemin näitä oikeuksia
ja jaetut kirjastot alkaa nähdä, että
sinulla on paljon riskin muka sallittua soveltamista.
Sama samankaltainen asia, joka tapahtui Pandora
tapahtui sovellus nimeltä Path,
ja Polku luulivat olevan avulias ja ystävällinen kehittäjille.
He olivat vain yrittää antaa sinulle erinomainen käyttökokemus,
ja kävi ilmi, että kysymättä käyttäjältä tai kertoa käyttäjälle mitään-
ja tämä tapahtui iPhone ja Android,
Pandora app oli iPhone ja Android-
että Path hakemus tarttumalla koko osoitekirjan
ja lähettämällä sen Path juuri kun olet asentanut ja juoksi sovellus,
ja he eivät kerro teille tästä.
Heidän mielestään se oli todella hyödyllinen sinulle
pystyä jakamaan kaikkien ihmisten osoitekirjaasi
että käytät Path sovelluksen.
>> No, ilmeisesti Polku mielestä tämä oli hyvä yrityksestään.
Ei niin hienoa käyttäjälle.
Sinun täytyy ajatella, että se on yksi asia, jos ehkä teini
käyttää tätä sovellusta ja heidän kymmeniä ystävät ovat siellä,
mutta entä jos se toimitusjohtaja yritys, joka asentaa Path
ja sitten yhtäkkiä heidän koko osoitekirjan on tuolla?
Olet menossa saada paljon potentiaalisesti arvokasta yhteystiedot
ja paljon ihmisiä.
Reportteri New York Times, saatat pystyä saamaan puhelinnumeron
ex presidentit heidän osoitekirjan,
joten ilmeisesti paljon arkaluonteisia tietoja saa siirtää jotain tällaista.
Siellä oli niin iso läppä tästä, että Path anteeksi.
He muuttivat app, ja se jopa vaikutti Apple.
Apple sanoi, "Me aiomme pakottaa sovelluksen myyjiä että käyttäjät
jos he aikovat kerätä koko osoitekirjan. "
>> Se näyttää, mitä tapahtuu tässä
kun siellä on yksi iso tietosuojaloukkaus ja se tekee lehdistö
näemme muutoksen siellä.
Mutta tietenkin, on olemassa muita asioita siellä.
LinkedIn sovellus sadot kalenterimerkintöjä,
mutta Apple ei tee käyttäjä pyytää siitä.
Kalenterimerkintöjä voi olla arkaluontoisia tietoja niitä liikaa.
Minne olet menossa vetää rajan?
Tämä on todella sellainen kehittyvä paikka
jos siellä oikeastaan ​​mitään hyvää tasoa siellä
käyttäjät voivat ymmärtää, kun niiden tietoja tulee olemaan vaarassa
ja kun he tulevat tietämään se otetaan.
Kirjoitimme app Veracode nimeltään Adios,
ja lähinnä se saa sinut kohta app iTunes-hakemisto
ja katsoa kaikki ohjelmat, jotka oli korjuu täynnä osoitekirjan.
Ja kuten näette tässä luettelossa täällä, Angry Birds,
AIM, AroundMe.
Miksi Angry Birds tarvitse osoitekirjaasi?
En tiedä, mutta se jotenkin.
>> Tämä on jotain, että monet, monet sovellukset eivät.
Voit tarkastaa koodi tähän.
On hyvin määritelty API iPhone, Android ja BlackBerry
saada aikaa osoitekirjan.
Voit todella helposti tarkastaa tämän, ja tämä on mitä teimme Adios sovelluksen.
Seuraavan luokka, Unsafe Sensitive Data Storage,
on jotakin, jossa kehittäjät suhtautuvat jotain pin tai tilinumero
tai salasana ja säilytä sitä selvää laitteen.
Vielä pahempaa, he saattavat tallentaa sen alueella puhelimessa
joka on maailmanlaajuisesti käytettävissä, kuten SD-kortti.
Näet tämän useammin Android koska Android mahdollistaa SD-kortille.
IPhone laitteet eivät.
Mutta me edes nähnyt tämän tapahtua CitiGroup sovelluksen.
Heidän verkkopankit tallennettu sovellus tilinumerot turvattomasti,
vain selkeä, joten jos olet menettänyt laitteen,
pohjimmiltaan olet menettänyt pankkitilisi.
Siksi en henkilökohtaisesti tehdä pankki minun iPhone.
Mielestäni se on liian vaarallista juuri nyt tehdä tällaisen toiminnan.
>> Skype teki saman.
Skype tietenkin on tilin saldo, käyttäjätunnus ja salasana
käyttöön kyseistä tasapainoa.
He olivat tallentaa kaikki nämä tiedot selkeästi mobiililaitteella.
Minulla on joitakin esimerkkejä tästä luoda tiedostoja
joilla ei ole tarvittavia oikeuksia tai kirjoittaa levylle
ja joilla ei ole mitään salausta tapahtua siitä.
Tämä seuraava alue, Unsafe Sensitive tiedonsiirto,
Olen viittasi tähän muutaman kerran, ja koska julkisen Wi-Fi
tämä on jotain, apps ehdottomasti täytyy tehdä,
ja tämä on luultavasti mitä näemme mennä pieleen eniten.
Sanoisin-itse, olen mielestäni toteumatietojen
mutta se on lähes puolet mobiilisovelluksia
tyriä tekee SSL.
He vain eivät käytä API oikein.
Tarkoitan, kaikki sinun täytyy tehdä on seurata ohjeita ja käyttää API,
mutta ne eivät asioita, kuten ei tarkista, onko virheellinen todistus toisessa päässä,
ei tarkista jos toinen pää on yrittää tehdä protokollan downgrade hyökkäys.
>> Kehittäjät, he haluavat saada valintaruutu, eikö?
Niiden vaatimus on käyttää tätä myydä. He käyttivät tätä myydä.
Vaatimus ei ole käyttää tätä myydä turvallisesti,
ja joten siksi kaikki sovellukset, jotka käyttävät SSL Suojaa tiedot
koska se siirretään pois laitteesta todella on tarkastettava
varmistaa, että on toteutettu oikein.
Ja tässä minulla on joitakin esimerkkejä, joissa voit nähdä sovelluksen
saattaa käyttää HTTP sijaan HTTPS.
Joissakin tapauksissa apps putoaa takaisin HTTP
jos HTTPS ei toimi.
Minulla on toinen puhelu täällä Android missä he ovat poissa käytöstä todistuksen tarkistaa,
niin man-in-the-middle-hyökkäys voi tapahtua.
Virheellinen varmenne hyväksytään.
Nämä ovat kaikissa tapauksissa, joissa hyökkääjät ovat menossa pystyä päästä
samaan Wi-Fi-yhteyden käyttäjä ja pääsy kaikki tiedot
joka lähetetään internetin välityksellä.
>> Ja lopuksi, viimeinen luokka Minulla on tässä kovakoodattuihin salasanan ja avaimet.
Me itse asiassa nähdä paljon kehittäjät käyttävät samaa koodausta tyyli
että he tekivät, kun he olivat rakentamassa web-palvelin-sovelluksia,
joten he ovat rakentamassa Java server-sovellus, ja he hardcoding näppäintä.
No, kun olet rakentaa palvelin sovellus, joo,
hardcoding avain ei ole hyvä idea.
Sen vuoksi on vaikea muuttaa.
Mutta se ei ole niin paha palvelimen puolella, koska kenellä on pääsy palvelimen puolella?
Vain ylläpitäjät.
Mutta jos otat sama koodi ja olet kaadetaan sen yli mobiilisovellus
Nyt jokainen, joka on, että mobiilisovellus on pääsy kyseiselle kovakoodattuihin avain,
ja me itse nähdä tätä paljon kertaa, ja minulla on joitakin tilastotietoja
kuinka usein näemme tämän tapahtua.
Se todella oli esimerkki koodin että MasterCard julkaistu
miten käyttää palvelua.
Esimerkiksi koodi osoitti, kuinka voisitte vain ottaa salasanan
ja laita se kovakoodattuihin string oikeassa,
ja tiedämme, miten kehittäjät rakastavat kopioida ja liittää koodinpätkiä
kun he yrittävät tehdä jotain, joten voit kopioida ja liittää koodinpätkä
että he antoivat kuten esimerkiksi koodin, ja sinulla on turvaton sovellus.
>> Ja tässä meillä on joitakin esimerkkejä.
Tämä ensimmäinen on yksi näemme paljon missä he hardcode
tiedot suoraan URL-osoitteeseen saa lähettää.
Joskus näemme merkkijono password = salasana.
Se on melko helppo havaita, tai merkkijono salasana BlackBerry ja Android.
Se on oikeastaan ​​aika helppo tarkistaa, koska lähes aina
kehittäjä nimet muuttuja, joka pitelee salasana
jonkin verran vaihtelua salasanan.
Mainitsin, että teemme staattinen analyysi Veracode,
joten olemme analysoitu useita satoja Android ja iOS sovelluksia.
Olemme rakentaneet täynnä malleja niistä, ja pystymme skannata ne
eri haavoittuvuuksia, varsinkin haavoittuvuuksia puhuin,
ja minulla on joitakin tietoja täällä.
68,5% Android apps me katsoimme
oli rikki salaus koodi,
joka meille, emme voi havaita, jos olet tehnyt oman Crypto rutiini,
ole, että se on hyvä idea, mutta tämä on todellisuudessa käyttävät julkaistu API
jotka ovat alustalla, mutta tekee niistä siten
että Crypto olisi haavoittuva, 68,5.
Ja tämä on tarkoitettu ihmisille, jotka lähettävät meille määriin tosiasiallisesti, koska
he ajattelevat se on hyvä idea tehdä tietoturvatestauksessa.
Nämä ovat jo ihmisiä, jotka luultavasti ajattelevat turvallisesti,
joten se on luultavasti vielä pahempi.
>> En puhu ohjaus siimansyöttö injektio.
Se on jotain, me tarkistaa, mutta se ei ole niin riskialtista asia.
Tietojen vuotaminen, tämä on, kun arkaluonteisia tietoja lähetetään pois laitteesta.
Huomasimme, että 40% hakemuksista.
Aika ja tila, ne ovat kilpailutilanteesta tyyppi kysymyksiä, tyypillisesti melko vaikea hyödyntää,
joten en puhu siitä, mutta me katsoimme sitä.
23% oli SQL-injektio kysymyksiä.
Monet ihmiset eivät tiedä, että paljon hakemuksia
käyttää pienen pieni SQL-tietokannan heidän loppupäätä tallentaa tietoja.
No, jos tiedot, jotka olet tarttumalla verkon yli
on SQL-injektio hyökkäys jousille se
joku voi vaarantaa laitteen läpi,
ja niin mielestäni löydämme noin 40% web-sovelluksia on tämä ongelma,
joka on valtava epidemia ongelma.
Löydämme sen 23% ajasta ja mobiilisovellukset
ja se on luultavasti koska monet enemmän web-sovellukset käyttävät SQL kuin mobiili.
>> Ja sitten me vielä nähdä joitakin cross-site scripting, valtuutuskysymykset,
ja sitten käyttäjätietojen hallinta, sinne sinulla on kovakoodattuihin salasanasi.
5% hakemuksista näemme, että.
Ja sitten meillä on joitakin tietoja iOS.
81% oli virheiden käsittelyä kysymyksiä.
Tämä on enemmän koodin laatua ongelma,
mutta 67% oli salauksen kysymyksiä, joten ei ole aivan niin paha kuin Android.
Ehkä API ovat hieman helpompaa, esimerkiksi koodeja hieman paremmin iOS.
Mutta silti hyvin suuri prosenttiosuus.
Meillä oli 54% tietoa vuoto,
noin 30% puskurilla hallinnolliset virheet.
Se on siellä, missä voisi mahdollisesti olla muistinvahingoittumisongelma.
On käynyt ilmi, että ei ole niin suuri ongelma hyväksikäytöstä
iOS koska kaikki koodi on allekirjoitettava,
joten on vaikea hyökkääjä voi suorittaa haluamaansa koodia iOS.
Koodin laatua, hakemistopolun, mutta sitten valtakirjojen hallinnan täällä 14,6%,
niin huonompi kuin Android.
Meillä on ihmisiä jotka eivät käsittele salasanoja oikein.
Ja sitten numeerinen virheitä ja puskurin ylivuodon,
nämä ovat enemmän olemaan koodin laatua kysymyksiä iOS.
>> Se oli se minun esitys. En tiedä, jos olemme liian myöhään tai ei.
En tiedä, onko siellä jotain kysyttävää.
[Mies] nopea kysymys ympäri hajanaisuus ja Android Market.
Apple ainakin omistaa kauneuspilkku.
Ne tekevät hyvää työtä saada se siellä taas niinkään Android tilaan.
Melkein täytyy karkaaminen puhelimen pysyä ajan tasalla
nykyisen vapauttamaan Android.
Joo, se on valtava ongelma, ja niin jos ajattelee-
[Mies] Miksi et voi toistaa sitä?
>> Ai niin, joten kysymys oli entä hajanaisuus
käyttöjärjestelmä Android-alustan?
Miten se vaikuttaa riskisyyttä näiden laitteiden?
Ja se todella on valtava ongelma, koska mitä tapahtuu on
vanhempia laitteita, kun joku keksii jailbreak tälle laitteelle,
lähinnä se eskalaatiohyökkäykset, eikä ennen kuin se käyttöjärjestelmä päivitetään
haittaohjelmia voi sitten käyttää haavoittuvuutta täysin vaarantaa laitteen
ja me näemme Android on saadakseen uuden käyttöjärjestelmän
Google on laittaa ulos käyttöjärjestelmä, ja sitten laitevalmistajan
on muokata sitä, ja sitten harjoittajalla on muokata sitä ja tuottaa sitä.
Sinulla on periaatteessa 3 liikkuvia osia täällä,
ja se on tulossa, että harjoittajat eivät välitä,
ja laitevalmistajat eivät välitä, ja Google ei prodding heitä tarpeeksi
tehdä mitään, niin lähinnä yli puolet laitteita siellä
ovat käyttöjärjestelmiä, jotka ovat nämä eskalaatiohyökkäykset haavoittuvuuksia niitä,
joten jos saat haittaohjelmia Android-laitteen se on paljon suurempi ongelma.
>> Okei, kiitos paljon.
[Suosionosoituksia]
[CS50.TV]