[Szeminárium] [Védekezés mögött Device: Mobile Application Security] [Chris Wysopal] [Harvard Egyetem] [Ez a CS50.] [CS50.TV] Jó napot. A nevem Chris Wysopal. Én vagyok a CTO és társ-alapítója Veracode. Veracode egy alkalmazás biztonsági cég. Teszteljük a legkülönbözőbb alkalmazások, és mit fogok beszélni ma a mobil alkalmazás biztonság. A háttér csináltam biztonsági kutatás egy nagyon hosszú idő, talán a mindaddig, amíg bárki. Úgy kezdődött a 90-es évek közepén, és volt egy alkalom, hogy elég érdekes, mert volt egy paradigmaváltás a 90-es évek közepén. Hirtelen mindenki számítógépet akasztott fel az internetre, és akkor már a kezdetektől a webes alkalmazások, és ez az, amit elsősorban a sokat akkor. Ez érdekes. Most van egy másik paradigmaváltás történik számítástechnikai, amely a váltás a mobil alkalmazásokat. Úgy érzem, hogy ez a fajta egy hasonló időben, akkor ez volt a késő 90-es évek amikor is vizsgálja a webes alkalmazások és a hibák megtalálása, mint a munkamenet-kezelési hibák és SQL injekció amely valójában nem létezett, és hirtelen voltak mindenütt A webes alkalmazások, és most sok időt töltök nézi a mobil alkalmazások, és néztem, mi folyik kint a vadonban. Mobil alkalmazások valóban lesz a domináns számítástechnikai platform, így igazán kell tölteni egy csomó időt, ha te vagy a biztonsági ipar összpontosító webes alkalmazások. Voltak 29 milliárd mobil alkalmazások letölthető 2011. Ez előrejelzések szerint 76 milliárd apps 2014-ig. Van 686 millió eszközöket fognak vásárolni az idén, így ez az, ahol az emberek mennek, hogy csinál  a legtöbb ügyfelük számítástechnikai jövőre. Én beszéltem egy alelnöke Fidelity Investments Pár hónappal ezelőtt, és azt mondta, hogy most láttam több forgalmat Ennek a pénzügyi tranzakciók a saját ügyfélkör a mobil alkalmazás, mint a honlapjukon, így a hétköznapi használatban a weben a múltban ellenőrzi a tőzsdei árfolyamokat, az irányító a portfólió, és mi valóban látta, hogy 2012-ben átkapcsolási hogy domináns a mobil platform. Természetesen, ha nem lesz minden olyan bűncselekmény, bármely gyanús tevékenységnek, ez fog kezdeni kell fordítani a mobil platform az idő múlásával az emberek kapcsol át ezt. Ha megnézzük a mobil platform, hogy nézd meg a kockázatokat a platform, hogy ez hasznos felosztása a különböző rétegek, ahogy te is csinálni egy asztali számítógép, és úgy gondolja, a különböző rétegek, szoftverek, operációs rendszer, hálózati réteg, hardver réteg, és persze ott van biztonsági rések mindazok réteg. Ugyanez történik a mobil. De a mobil, úgy tűnik, hogy néhány ilyen rétegek rosszabbul. Az egyik, a hálózati réteg inkább problematikus a mobil mert sok ember az irodában vagy otthon vezetékes kapcsolat, vagy azok biztonságos Wi-Fi kapcsolat, és sok mobil eszközök akkor nyilván nem a saját vagy az irodán kívül sokat, és ha a Wi-Fi is lehet, hogy a nem biztonságos Wi-Fi kapcsolat, valamit, ami a nyilvános Wi-Fi kapcsolat, így amikor azt gondoljuk, a mobil alkalmazások is kell figyelembe venni hogy a hálózati környezet kockázatosabb olyan alkalmazásokhoz ha a Wi-Fi van használatban. És mikor jutok be több mobil alkalmazás kockázatok látni fogja, hogy miért fontosabb. Vannak kockázatok a hardver szintű a mobileszközökön. Ez egy olyan terület a folyamatos kutatás. Az emberek hívja ezeket a szélessávú rohamok vagy baseband támadások hová támadja a firmware-t, ami hallgatja a rádiót. Ezek tényleg ijesztő támadások miatt a felhasználónak nem kell tennie semmit. Akkor nyomja meg sok eszköz a rádiófrekvenciás tartományban egyszerre, és úgy tűnik, mint ha ez a kutatás buborékok fel gyorsan lesz besorolva, ahol emberek lecsap körül, és azt mondja: "Itt, mesélj arról, és kérlek, ne beszélj róla." Van néhány kutatás folyik a szélessáv területén, de úgy tűnik, hogy nagyon Hush Hush. Azt hiszem, ez inkább egy nemzetállam típusú kutatás folyik. A terület aktív kutató, bár az operációs rendszer réteg, és újra, ez más, mint az asztali számítástechnika világában azért, mert a mobil hely van a csapatok az emberek úgynevezett Jailbreakers, és Jailbreakers különböznek, mint a hagyományos sebezhetőség kutatók. Ők keresik sebezhetőség az operációs rendszer, de azért ők próbálják megtalálni a biztonsági réseket, hogy ne betörni valaki másnak a gépet, és kompromisszumot. Ez törni a saját számítógépén. Azt akarják törni a saját mobil-, módosíthatja a saját mobil operációs rendszere annak érdekében, hogy képes futtatni az alkalmazásokat az általuk választott és változtatni a dolgokat, teljes rendszergazdai engedélyekkel, és nem akarják elmondani a gyártó erről. Nem olyanok, mint egy biztonsági kutató, amely a fehér kalapot biztonsági kutató amely a fog csinálni felelős tájékoztatás és mondd el a szállító róla. Azt akarják, hogy ezt a kutatást, és azt akarják, hogy valóban közzé Egy kihasználni, vagy a rootkit, vagy a jailbreak kódot, és azt akarják csinálni stratégiailag, mint a rögtön az eladó hajó az új operációs rendszer. Itt van ez ellenséges viszony Az OS-szintű sebezhetőség a mobil, ami szerintem elég érdekes, és az egyik helyen látjuk, hogy van, ezért is, hogy van jó publikált exploit kódjai ott a kernel-szintû támadások, és láttuk, a ténylegesen használt malware írók. Ez egy kicsit más, mint a PC-s világ. És akkor az utolsó réteg a felső réteg, az alkalmazási réteg. Ez az, amit én fogok beszélni ma. A másik réteg létezik, és a többi réteg játszani bele, de én leginkább fog beszélni arról, hogy mi folyik az alkalmazás réteg ahol a kód fut a homokozóban. Nem rendelkezik rendszergazdai jogosultságokkal. Azt, hogy az API-kat használja a készülék, de még mindig, sok a rosszindulatú tevékenység, és sok a kockázat megtörténhet, hogy a réteg mert ez az a réteg, ahol az összes információ. Apps elérheti az összes információt a készülék ha megvan a megfelelő engedélyekkel, és ők is hozzáférhetnek a különböző érzékelők be az eszközt, GPS-szenzor, mikrofon, kamera, amit akarsz. Annak ellenére, hogy mi csak beszélünk az alkalmazás réteg van egy csomó a kockázat is. A másik dolog, ami különbözik a mobil környezetben az egész operációs rendszer játékosok, legyen az BlackBerry vagy az Android vagy iOS vagy Windows Mobile, mindannyian egy finomszemcsés engedélyt modell, és ez az egyik módja, hogy ők építették be az operációs rendszer a gondolat, hogy ez nem olyan kockázatos, mint gondolod. Annak ellenére, hogy az összes a kapcsolatok ott, az összes személyes információt, akkor a képeket, akkor a helyét ott, akkor tárolja a bank pin automatikus bejelentkezés ott, ez biztos, mert apps van, hogy bizonyos jogosultságok, hogy bizonyos részeket információk a készülék, és a felhasználónak be kell mutatni a ezeket az engedélyeket, és azt mondják, rendben van. A probléma az, hogy a felhasználó mindig azt mondja, rendben van. A biztonsági ember, tudom, hogy figyelmezteti a felhasználót, azt mondják, valami nagyon rossz fog történni, akarod, hogy megtörténjen? És ha ők a rohanás, vagy van valami igazán csábító a másik oldalán, mint egy játék lesz telepíteni, hogy már várnak, fognak kattintani rendben van. Ezért mondom én slide itt hadd vesse madarak sertések már, és láthatjuk a dián itt van példa a BlackBerry engedély dobozt. Azt mondja: "Kérjük, állítsa be a BlackBerry Travel alkalmazás engedélyeinek kattintás után alábbi gombra ", és alapvetően a felhasználó csak fog mondani állítsa be a jogosultságokat, és mentse. Itt van egy Android gyors, ahol megmutatja a dolgokat, és ez valóban olyan dolog, hogy majdnem úgy néz ki, mint egy figyelmeztetés. Van rajta egy egyfajta hozam jel ott azt a hálózati kommunikációt, telefonhívás, de a felhasználó fogja kattints telepíteni, igaz? És akkor az Apple egy teljesen ártalmatlan. Ez nem ad semmiféle figyelmeztetés. Ez csak az Apple szeretné használni az adott helyen. Természetesen fogsz kattintson rendben van. Van ez a finomszemcsés engedélyt modell, és apps van, hogy nyilvánvaló fájlt, amelyben kijelentik, a jogosultságokat, amelyekre szükségük van, és ez lesz látható a felhasználó számára, és a felhasználónak kell mondanom, megadja ezeket az engedélyeket. De legyünk őszinték. A felhasználók csak megy, mindig azt mondom, rendben van. Vessünk egy gyors pillantást a jogosultságokat, hogy ezek az alkalmazások kérnek és néhány a jogosultságokat, hogy ott vannak. Ez a cég Praetorian volt egy felmérés tavaly 53.000 alkalmazások elemezte az Android Market és a 3rd party piacok Szóval ez az egész Android. És az átlagos app kért 3. engedélyeket. Egyes alkalmazások kért 117 jogosultságokat, így természetesen ezek nagyon finom szemcséjű és túl bonyolult a felhasználó számára, hogy megértsék ha ők bemutatva ebben az alkalmazásban, hogy szüksége van ezekre a 117. jogosultságokat. Ez olyan, mint a végfelhasználói licencszerződés, ami 45 oldalas. Lehet, hogy hamarosan lesz egy lehetőség, ahol ez olyan, mint nyomtassa ki az engedélyeket, és küldj egy e-mailt. De ha megnézzük néhány felső érdekes engedélyek 24%-a apps, hogy letölthető ki a 53000 kért a GPS adatokat a készülékről. 8%-os, olvassa el a kapcsolatokat. 4%-os küldött SMS és 3%-a kapott SMS. 2%-os rögzített hang. 1%-os feldolgozott kimenő hívásokat. Nem tudom. Nem hiszem, hogy 4%-apps az App Store igazán szükség, hogy SMS-üzeneteket küldeni, ezért úgy gondolom, hogy ez egy tippet, hogy valami kellemetlen történik. 8%-a apps kell olvasni a névjegyzékben. Ez talán nem szükséges. Egy másik érdekes dolog a témáról, ha link megosztott könyvtárak alkalmazás azok öröklik a jogosultságokat az alkalmazás, így ha a app szüksége van a névjegyzék, vagy szüksége van a GPS helyen működik és összekapcsolni egy hirdetési könyvtárban, például, hogy ad könyvtár is képes elérni az érintkezők és az is képes elérni a GPS helyen, és a fejlesztő az alkalmazás nem tud semmit arról, hogy a kód fut a hirdetés könyvtárban. Ők csak a kapcsolatot, hogy azért, mert szeretne pénzt keresni, hogy kb. Itt és fogok beszélni néhány példa erre a nevű alkalmazás Pandora, ha egy alkalmazás fejlesztő Lehet, hogy akaratlanul is szivárog információ az a felhasználók, mert a könyvtárak ők már kapcsolódik be Felmérése a táj ott, néztem a különböző alkalmazások hogy számoltak be a hírek szerint a rosszindulatú, vagy csinál valamit a felhasználók nem akart majd ellenőrzésekor sok apps, mi a sok statikus bináris elemzés mobil alkalmazások, így már megvizsgálta, és megnézte a kódját, jöttünk fel, amit úgy hívunk a top 10 listát a kockázatos viselkedés alkalmazások. És ez bontva 2 rész, rosszindulatú kódot, így ezek a rossz dolgok, hogy az alkalmazásokat lehet ezzel, hogy valószínűleg valamit, ami a rosszindulatú személy kifejezetten fel az alkalmazás, de ez egy kicsit homályos. Ez lehet valami, hogy egy fejlesztő úgy gondolja, rendben van, de végül is gondolt, mint rosszindulatú a felhasználó. És akkor a második rész nevezzük kódolás réseket, és ezek azok a dolgok, ahol a fejlesztő alapvetően nem a hibákat vagy csak nem érti, hogyan kell írni az alkalmazás biztonságosan,  és ez üzembe az alkalmazás a felhasználó veszélyezteti. Én megyek át ezeket részletesen, és néhány példát. Referenciaként akartam feltenni a OWASP mobil top 10 listán. Ezek a 10 kérdés, hogy a csoport OWASP, Az Open Web Application Security Project, van egy munkacsoport a munka a mobil top 10 listán. Van egy nagyon híres web top 10 listát, amely a top 10 legkockázatosabb dolog, amit még egy webes alkalmazás. Ők ugyanazt a dolgot a mobil, és a lista egy kicsit más, mint a miénk. 6 a 10-ből azonos. Van, hogy a 4. különbözőek. Azt hiszem, hogy egy kicsit a másik veszi kockázat a mobil alkalmazások, ahol sok a kérdés valóban, hogy az alkalmazás kommunikál a back-end szerver vagy mi folyik a back-end szerver, nem annyira apps, amelyek a kockázatos viselkedés, hogy csak egyszerű kliens alkalmazások. Az is piros itt van a különbség a 2 listából. És az én kutatócsoport ténylegesen hozzájárult a projekt, így majd meglátjuk, mi történik az idő, de azt hiszem, az elvihető itt nem igazán tudom, mi a top 10 lista a mobil alkalmazások miatt ők már tényleg csak körül 2 vagy 3 éve, és ott nem volt elég ideje, hogy valóban kutatás operációs rendszerek és mire képesek, és nem volt elég idő A rosszindulatú közösség, ha úgy tetszik, hogy elég időt töltött próbálják támadni a felhasználók a mobil alkalmazások, ezért azt várom, ezeket a listákat, hogy változtatni egy kicsit. De most, ezek a top 10 dolgot kell aggódni. Lehet, hogy csoda a mobil oldalon, ahol nem a rosszindulatú mobil code- hogyan kap a készülékhez? Észak-Karolina államban egy projekt az úgynevezett Mobile Malware Genome Project ahol gyűjt annyi mobil malware, amennyit csak tudnak, és elemzése is, és már lebontva az injekciós vektorokat, amelyek a mobil malware használ és 86%-a használja a technika az úgynevezett újracsomagolás, és ez csak az Android platform lehet, hogy tényleg ezt újracsomagolás. Az ok Android kódot épül a Java byte-kód nevű Dalvik amely könnyen decompilable. Mi a rosszfiú tehetünk, hogy egy Android alkalmazás, visszafordítani azt, be a rosszindulatú kódot, fordítani, majd tedd fel az App Store állítják, hogy egy új változatát az alkalmazás, vagy csak talán nevének módosítása az alkalmazás. Ha ez valami játék, változtassa meg a nevét kissé, és így ez átcsomagolás, hogy 86%-a mobil malware lesz elosztva. Van egy másik technika, update, ami nagyon hasonló az újracsomagolásra, de valójában nem tesz a rosszindulatú kódot be Mit csinálsz te tesz egy kis frissítés mechanizmus. Azt visszafordítani, teszel egy frissítési mechanizmust, és fordítani, majd ha az alkalmazás fut, hogy húzza le a malware a készülékre. Messze a legtöbb azok, 2. technikák. Nincs igazán sok letöltés drive-bys vagy drive-by download a mobiltelefonokon, ami lehet, mint egy adathalász támadást. Hé, nézd meg ezt a nagyon jó honlap, vagy el kell menni ezen a honlapon, és töltse ki az alábbi űrlapot hogy továbbra is csinál valamit. Azok adathalász támadások. Ugyanez megtörténhet a mobil platform, ahol pont egy mobil alkalmazás letölthető, mondani, hogy "Szia, ez a Bank of America." "Úgy látom, használja ezt az alkalmazást." "Akkor töltse le ezt más alkalmazás." Elméletileg, ami működik. Talán csak nem használják elég annak megállapítására, hogy sikeres-e vagy sem, de úgy találták, hogy kevesebb, mint 1%-a az idő, hogy a technikát alkalmazunk. A legtöbb időt ez tényleg átcsomagolt kódot. Van egy másik kategória az úgynevezett önálló amikor valaki csak épít egy teljesen új alkalmazás. Építenek egy alkalmazás, amely sejteti, hogy valami. Ez nem újracsomagolt valami mást, és amely a rosszindulatú kódot. Ez használt 14%-át az időt. Most szeretnék beszélni arról, hogy mi az a rosszindulatú kódot csinálsz? Az egyik első malware ott akkor fontolja meg egy spyware. Ez alapvetően kémek a felhasználó. Összegyűjti e-mailek, SMS-üzeneteket. Ez bekapcsolja a mikrofont. A termés a kapcsolatot könyvet, és küld ki, hogy valaki másnak. Ez a fajta spyware van a PC-n, így teljesen érthető, hogy az emberek megpróbálják ezt a mobileszközökön. Az egyik első példája volt a program neve Secret SMS Replicator. Ez volt az Android Marketplace pár évvel ezelőtt, és az ötlet az volt, ha volt hozzáférése valaki Android telefon , amit akart kémkedni, így talán ez a házastárs vagy a más jelentős, és azt szeretné, hogy kémkedjen a szöveges üzenetek, akkor töltse le ezt app, és telepítse és állítsa be küldjön egy SMS Önnek egy példányt Minden SMS szöveges üzenet kaptak. Ez nyilvánvalóan a megsértése az App Store szolgáltatás feltételeit, és ez lekerült a Android Marketplace 18 órán belül azt, hogy ott, így nagyon kevés ember volt veszélyben, mert ezt. Nos, azt hiszem, ha a program neve ami talán egy kicsit kevésbé provokatív mint a Secret SMS Replicator valószínűleg működött volna sokkal jobb. De ez elég nyilvánvaló. Az egyik dolog, amit tehetünk, hogy megállapítsa, apps, hogy ez a magatartás, hogy mi nem akarjuk az, hogy ellenőrizze a kódot. Ez valójában nagyon könnyű csinálni az Android, mert tudjuk visszafordítani az alkalmazásokat. Az iOS használhatja a disassembler mint IDA Pro hogy nézd meg, mi az Apis az alkalmazás hív, és mit csinál. Azt írta saját bináris statikus analizátor kódunkat és mi ezt, és így mit tehet az, meg tudná mondani, ez a készülék semmit, ami alapvetően kémkedik nekem, vagy követés engem? És van néhány példa van az iPhone. Ez az első példa, hogyan lehet hozzáférni az UUID a telefon. Ez valójában valami, hogy az Apple nemrég betiltotta az új alkalmazások, de a régi alkalmazások, lehet, hogy fut a telefonon is megteheti ezt, és így, hogy az egyedi azonosító lehet használni, hogy nyomon követni az Ön számos különböző alkalmazásokat. Az Android, van egy példa erre a szerzés a készülék helyét. Láthatjuk, hogy ha az API hívás van, hogy az app követés, és láthatjuk, hogy ez egyre szép helyen, vagy durva helyre. És akkor az alsó itt van egy példa arra, hogy a BlackBerry egy alkalmazás is hozzáférhet az e-mail üzeneteket az Ön postaládájába. Ezek a fajta dolog, amit lehet ellenőrizni, hogy ha az alkalmazás csinál ezeket a dolgokat. A másik nagy kategóriája rosszindulatú, és ez talán a legnagyobb kategória most, jogosulatlan tárcsázás, jogosulatlan emelt díjas SMS szöveges üzenetek vagy jogosulatlan kifizetéseket. A másik dolog, ami egyedi a telefon van a készülék akasztott a számlázási számla, és ha a tevékenység történik, a telefon akkor létre díjakat. Megvásárolhatja a dolgokat telefonon keresztül, és ha küld egy emelt díjas SMS szöveges üzenet, hogy tényleg ad pénzt A számlatulajdonos a telefonszám a másik oldalon. Ezek hozták létre, hogy a tőzsdei árfolyamokat, vagy kap a napi horoszkóp, vagy más dolog, de be lehet állítani, hogy megrendelni a terméket küldött SMS. Az emberek pénzt adni a Vöröskereszt által küldött szöveges üzenetet. Adhat 10 $ így. A támadók, hogy mit csináltak az, hogy hozzanak létre számlák külföldön, és ágyazza a malware hogy a telefon küld egy emelt díjas SMS szöveges üzenet, azt mondják, a néhány alkalommal egy nap, és a végén a hónap rájössz töltöttem több tíz vagy akár több száz dollárt, és járnak el a pénzt. Ez annyira rossz, hogy ez volt az első dolog, ami az Android Marketplace vagy a Google helyen, ez volt az Android Marketplace abban az időben, és ez most a Google Play az első dolog, hogy a Google elkezdett ellenőrzése. Amikor a Google megkezdte terjesztése Android apps az App Store-ban azt mondták, hogy nem fogják ellenőrizni semmit. Majd húzza apps ha egyszer már bejelentették, hogy már megtört a szolgáltatás feltételeit, de nem fogunk, hogy ellenőrizze a semmit. Nos, körülbelül egy évvel ezelőtt lett olyan rossz ezzel a prémium SMS malware hogy ez a legelső dolog, amit elkezdett ellenőrzése. Ha egy alkalmazás tud SMS-üzeneteket küldeni ők is kézzel vizsgálják a kérelmet. Úgy néznek ki, az API-kat, hogy hívják ezt, és most, mivel akkor a Google bővült, de ez volt az első dolog, hogy nekilátott a. Néhány más apps, hogy volt néhány SMS szöveges üzenetek, Android Qicsomos, azt hiszem, ez a neve. Ott volt ez a jelenlegi esemény, a mobil, ahol ez CarrierIQ jött ki spyware fel a készüléket a fuvarozók, így az emberek tudni akarta, ha a telefon ki volt téve, hogy ezt, és ez egy ingyenes app, hogy leteszteltük, hogy. Hát persze, hogy mi ez az app tett, küldött emelt díjas SMS szöveges üzenetek, így teszteli, hogy ha fertőzött spyware betöltött malware a készülékre. Láttuk, hogy ugyanaz a dolog történik az utolsó Super Bowl. Volt egy hamis változata a Madden focimeccsen hogy a küldött emelt díjas SMS szöveges üzenetek. Valójában megpróbált létrehozni egy bot hálózatot is a készüléken. Itt van néhány példa. Érdekes módon, az Apple volt elég okos, és nem teszi lehetővé az alkalmazások SMS-üzeneteket küldeni egyáltalán. Nem app tudja csinálni. Ez egy nagyszerű módja annak, hogy megszabaduljunk egy egész osztály, a sebezhetőség, de az Android meg tudod csinálni, és persze, a BlackBerry meg tudod csinálni is. Érdekes, hogy a BlackBerry minden amire szüksége van internet jogosultságok küldjön SMS-üzenet. A másik dolog, tényleg, hogy mi keressük amikor mi keresünk, hogy ha valami rosszindulatú is akármilyen jogosulatlan hálózati tevékenységet, mint nézd meg a hálózati tevékenység Az app állítólag van, hogy a funkcionalitás, és nézd meg ezt a más hálózati tevékenységet. Talán egy app, a munka, van, hogy az adatokat HTTP-n keresztül, de ha ez a dolgokat e-mailben vagy SMS-ben vagy Bluetooth-on, vagy valami ilyesmi most, hogy app potenciálisan rosszindulatú, így ez a másik dolog, amit vizsgálja. És ezen a dia itt van néhány példa erre. Egy másik érdekes dolog, amit láttam a malware történt vissza 2009-ben, és ez történt egy nagy út. Nem tudom, ha ez történt, annyira azóta, de ez egy app hogy a megszemélyesített másik alkalmazás. Volt egy sor apps, és nevezték a 09Droid támadás, és valaki úgy döntött, hogy volt egy csomó kis, regionális, közepes méretű bankok hogy nem volt online banki alkalmazások így amit tett, ők építették a 50 online banki alkalmazások hogy minden, amit tett, hogy a felhasználónév és a jelszó és átirányítja a honlapon. És így, hogy ezeket mind fel a Google Marketplace, az Android Marketplace, és ha valaki keresni, hogy ha a bank Volt egy alkalmazás meg fogják találni a hamis alkalmazás, amely gyűjtött az adatait, majd átirányítják őket a honlapon. Az út, hogy ez valójában lett-apps volt ott egy pár hétig, és nem volt több ezer letöltések. Az, hogy ez napvilágra valaki volt, miután a probléma az egyik az alkalmazások és hívták a bank, és hívják a bank ügyfélszolgálati vonal és azt mondta: "Én magam a probléma a mobil banki alkalmazás." "Tudna segíteni?" És azt mondták: "Mi nem egy mobil banki alkalmazás." Hogy megkezdte a vizsgálatot. Ez a bank úgynevezett Google, majd a Google nézett, és azt mondta: "Wow, ugyanaz a szerző írta 50 banki alkalmazások", és mindnyájukat le. De természetesen ez megtörténhet újra. Itt a lista a különböző bankok itt , amelyek részei voltak az átverés. A másik dolog, amit egy app tehet jelen van a UI egy másik alkalmazás. Bár ez fut lehetett felbukkan a Facebook UI. Azt mondja, van, hogy a felhasználó nevét és jelszavát, hogy továbbra is vagy kiszerelt olyan felhasználói nevet és jelszót UI egy website hogy talán a felhasználó használja, csak hogy megpróbálja becsapni a felhasználót kialakításának, az adatait be Ez tényleg egy egyenes párhuzamos az e-mail adathalász támadások amikor valaki küld egy e-mail üzenetet és adja meg alapvetően egy hamis UI egy honlapon hogy van hozzáférése. A másik dolog, amit keres rosszindulatú kód rendszer módosítása. Akkor nézd az összes API hívások, amelyek root jogosultsággal hogy végre helyesen. Módosítása az eszköz web proxy lenne valami, ami egy alkalmazás nem lesz képes megtenni. De ha az alkalmazás kódját ott csinálni tudod, hogy ez valószínűleg egy rosszindulatú alkalmazás vagy nagyon nagyon valószínű, hogy egy rosszindulatú alkalmazás, és akkor mi fog történni, hogy az app volna valamilyen módon a növekvő kiváltság. Ez néhány privilégium eszkaláció kihasználni az alkalmazás, majd ha egyszer emelt szintű jogosultságot akkor ezek a rendszer módosítása. Itt található malware, amely privilégium eszkaláció A még nem tudjuk, hogyan privilégium eszkaláció kihasználni fog történni, és ez egy szép, egyszerű módja keresni a malware. DroidDream volt talán a leghíresebb darabja Android malware. Azt hiszem, ez az érintett mintegy 250.000 felhasználó néhány nap alatt mielőtt azt találtuk. Ezek újracsomagolt 50 hamis alkalmazások tedd az Android App Store, , és lényegében azt használják Android jailbreak kód megnőnek kiváltságokat majd telepítse a parancsot, és ellenőrzik, és kapcsolja be az összes áldozat egy bot net, de lehetett volna kimutatni ezt mintha szkennelés az alkalmazást, és csak keres API hívások, amelyek szükségesek a root engedélyt végre helyesen. És van egy példa van már, amely megváltoztatja a proxy, és ez valójában csak az Android. Láthatjuk adok sok példa az Android mert ez az, ahol a legaktívabb malware ökoszisztéma mert nagyon könnyű a támadó számára, hogy rosszindulatú kódot az Android Marketplace. Ez nem olyan könnyű megtenni, hogy az Apple App Store mert az Apple megköveteli a fejlesztők, hogy azonosítsák magukat és aláírja a kódot. Ezek valóban ellenőrizni, hogy ki vagy, és az Apple valójában kérelmeinek kivizsgálása. Nem látni a sok igazi malware, ahol az eszköz egyre romlik. Fogok beszélni néhány példát, ahol ez tényleg a magánélet, ami egyre veszélybe, és ez az, mi történik valójában az Apple készüléket. A másik dolog, hogy vizsgálja meg a rosszindulatú kódok, kockázatos kódot eszközök logika vagy időzített bombák, és az idő bombák valószínűleg sokkal könnyebb keresni, mint a logikai bombák. De időzített bombák, hogy mit tehetünk, lehet keresni helyek a kódot, ahol az idő tesztelni, vagy abszolút idő keresett előtt bizonyos funkciók az app történik. És ez lehetne tenni, hogy elrejtse ezt a tevékenységet a felhasználó, így történik késő este. DroidDream nem minden tevékenysége 11:00-08:00 helyi idő szerint hogy próbálja meg, amíg a felhasználó nem használja a készüléket. A másik ok, hogy ezt is, ha az emberek viselkedési elemzése egy alkalmazás, fut az alkalmazás a homokozóban, hogy mi a viselkedését az alkalmazás, tudják használni az idő-alapú logika, hogy ezt a tevékenységet ha az alkalmazás nem a homokozóban. Például egy app store, mint az Apple fut az alkalmazás, de valószínűleg nem fut minden alkalmazás, mondjuk, 30 nap jóváhagyását megelőzően, így nem tud logika az alkalmazás, hogy azt mondta, oké, csak ezt a rossz dolog után 30 nap telt el, és 30 nap után a közzététel dátuma után a kérelem és hogy segíthet a rosszindulatú kód elrejtése az emberek vizsgálatára is. Ha az anti-vírus cégek futnak a dolgok homokozók vagy az alkalmazás tárolja maguk ez segíthet elrejteni, hogy az adott vizsgálat. Nos, a másik oldala az, hogy ez könnyű megtalálni statikus elemzés, így valójában ellenőrző kódot meg lehet keresni az összes helyen ahol az alkalmazás ellenőrzi az időt, és vizsgálja meg, hogy az út. És itt van néhány példa a következő 3 különböző platformokon hogyan időt lehet ellenőrizni az App Maker hogy tudd, mit kell keresni, ha szemügyre app statikusan. Én csak ment keresztül egy csomó különböző kártékony tevékenységek hogy láttuk a vadonban, de melyek a legelterjedtebb? Ugyanezen vizsgálat a North Carolina State Mobile Genome Project közzétett néhány adatot, és voltak alapvetően 4 terület hogy látták, amikor sok volt a tevékenység. 37%-a apps nem privilégium eszkaláció, így volt valamilyen jailbreak kód van ahol megpróbálták bővítik kiváltságokat, hogy azok is ne API parancsok fut az operációs rendszer. 45%-a apps ott nem emelt díjas SMS, Szóval ez egy nagy százalékban, hogy megpróbálja közvetlenül pénzt. 93%-os volt a távirányítón, így igyekeztek létrehozni egy bot net, mobil bot net. És 45% betakarított azonosító információkat mint a telefonszámok, UUID, GPS helyen, a felhasználói fiókok, és ez teszi ki a több mint 100, mert a legtöbb rosszindulatú próbál csinálni egy pár ilyen dolog. Fogok váltani a második felében, és beszélni a kód réseket. Ez a második fele a kockázatos tevékenység. Ez az a pont, ahol lényegében a fejlesztő, hogy hibákat. A törvényes fejlesztő írásban jogos app teszi a hibák, vagy nem ismeri a kockázatokat a mobil platform. Ők egyszerűen nem tudják, hogyan kell egy biztonságos mobil app, vagy néha a fejlesztő nem törődik a felhasználó kezébe adja a kockázatot. Néha része az üzleti modell lehet betakarítás a felhasználó személyes adatait. Ez a fajta a másik kategóriába, és ezért néhány ilyen rosszindulatú szemben jogos kezd vérezni át, mert van különbség a vélemények között, amit a felhasználó akar, és amit a felhasználó úgy véli, kockázatos és mi az alkalmazás fejlesztője szerint kockázatos. Természetesen, ez nem az alkalmazás fejlesztő adatok a legtöbb esetben. És végül, egy másik módja ez megtörténik, a fejlesztő lehet összekapcsolni egy megosztott könyvtárat, amely biztonsági rések, illetve ez kockázatos viselkedés benne tudtán kívül őket. Az első kategória érzékeny adatszivárgás, és ez az, amikor az app gyűjt információkat mint a hely, címjegyzék adatait, a tulajdonos adatait és elküldi, hogy ki a készüléket. És ha ez ki a készüléket, nem tudjuk, mi történik, hogy az információ. Ez lehet tárolni bizonytalanul az alkalmazás fejlesztője. Láttuk alkalmazás-fejlesztők kap veszélybe, , és az adatok, hogy ők tárolására kerül sor. Ez történt néhány hónappal ezelőtt, hogy a fejlesztő Floridában ahol nagyszámú, volt iPad UUID és a készülék nevét kiszivárgott, mert valaki, azt hiszem, ez volt a névtelen, azt állította, hogy ezt, betört ez a fejlesztő szerverein és ellopta több millió iPad UUID és a számítógép nevét. Nem a legkockázatosabb információkat, de mi van, ha ez volt a tárolására felhasználói nevek és jelszavak és otthoni címét? Van sok apps, hogy tárolja ezt a fajta információt. A kockázat ott van. A másik dolog, ami történhet, ha a fejlesztő nem vigyáz hogy biztosítsa az adatok csatornát, és ez a másik nagy sebezhetőség fogok beszélni, hogy adatokat küld a tiszta. Ha a felhasználó a nyilvános Wi-Fi hálózathoz vagy valaki szippantás az interneten valahol az úton, hogy az adatok kitéve. Egy nagyon híres eset ezen információk szivárgás történt Pandora, és ez olyasmi, amit kutatott Veracode. Azt hallottam, hogy volt egy-Azt hiszem, ez volt a Szövetségi Kereskedelmi Bizottság nyomozás folyik a Pandora. Azt mondta: "Mi folyik itt? Kezdjük ásni a Pandora alkalmazás." És mi határozza meg az volt a Pandora alkalmazás összegyűjtött a nem és az életkor, és ez is elérhető a GPS-helyzet, és a Pandora alkalmazás tette ezt, amit mondtak volt jogos indokkal. A zene, hogy ők játszanak, Pandora egy zenei streaming app- A zenét játszottak csak engedéllyel az Egyesült Államokban, így ellenőriznie kellett ahhoz, hogy a licenc megállapodások voltak a zene volt, hogy a felhasználó az Egyesült Államokban. Azt is szerette volna, hogy megfeleljenek a szülői tanácsadó körül felnőtt nyelv a zene, és így ez egy önkéntes program, de azt akarták, hogy megfelelnek-e és nem játszik explicit lyrics gyermekek 13 és alatt. Nem volt jogos érdeke gyűjtésére az adatokat. A app volt jogosultságokat csinálni. A felhasználók hittem, hogy ez jogos. De mi történt? A kapcsolt 3 vagy 4 különböző hirdetési könyvtárak. Most hirtelen mindezek ad könyvtárak egyre hozzáférést ehhez ugyanazokat az információkat. A hirdetés könyvtárak, ha megnézi a kódot a hirdetésben könyvtárakban mit tennie, hogy minden hirdetésben könyvtár szerint "Nem az én app engedélye, hogy GPS helyen?" "Ó, ez? Oké, mondd meg a GPS helyen." Minden egyes hirdetés könyvtár csinálja, és ha az alkalmazás nincs GPS engedélye akkor nem fogja tudni, hogy ez, de ha mégis, akkor értem. Ez az a pont, ahol az üzleti modell a hirdetés könyvtárak ellenzi a magánéletét a felhasználó. És ott volt tanulmányok arra nézve, hogy azt mondják, ha tudod, hogy a kor egy személy, és tudja a helyét ahol aludni, mert akkor a GPS-koordináták miközben talán alszik, pontosan tudja, ki ez a személy mert akkor melyik tagja, hogy a háztartások az adott személy. Tényleg ez azonosítja a hirdetők Pontosan, hogy ki vagy, és úgy néz ki, mintha legitim. Csak azt akarom, hogy a streaming zene, és ez az egyetlen módja, hogy azt. Nos, ki vannak téve ennek. Azért írtuk ezt akár több blogbejegyzések, , és kiderült, hogy valaki a Rolling Stone magazin olvassa egyik blogbejegyzések, és azt írta a saját blog a Rolling Stone róla, és már másnap Pandora gondoltam, hogy ez egy jó ötlet hogy távolítsa el a hirdetés könyvtárak azok alkalmazását. Amennyire én tudom, hogy te vagy az egyetlen, ők dicséretet érdemel. Azt hiszem, ők az egyetlenek freemium típusú app, hogy megtette ezt. Az összes többi freemium apps van ez ugyanaz a viselkedés, így neked kell gondolni, hogy milyen adatokat adsz Ezek freemium alkalmazások, mert ez minden megy a hirdetők. Praetorian is volt egy tanulmányt a megosztott könyvtárakat, és azt mondta, "Nézzük meg, milyen osztott könyvtárak a legnépszerűbb megosztott könyvtárakat", és ez volt az adatokat. Elemezték 53,000 alkalmazások, és az 1-es szám osztott könyvtár Admob. Ez valójában 38%-a pályázatok odakinn, így 38%-a az alkalmazások, amit használ valószínűleg betakarítás a személyes adatok és azt eljuttatja a hirdetési hálózatok. Apache és az Android volt, 8%, 6%, és akkor ezek más is aljára, a Google Ads, Flurry, Mob City és a Millenniumi Média, ezek mind ad a vállalatok, majd érdekes módon, 4% kapcsolódik a Facebook könyvtárban Valószínűleg köze hitelesítés a Facebook így az app is hitelesíti a Facebook. De ez azt is jelenti, a vállalat Facebook vezérli kód hogy fut a 4%-a Android mobil alkalmazások odakint, és hozzáférhet az összes adatot, hogy ez app engedéllyel eljutni. Facebook alapvetően megpróbálja eladni hirdetési helyet. Ez az üzleti modell. Ha megnézzük az egész ökoszisztéma ezeket az engedélyeket és a megosztott könyvtárakat elkezdi látni, hogy van sok a kockázat egy állítólag legitim alkalmazás. Ugyanaz hasonló dolog, ami történt Pandora történt nevű alkalmazás Path, és az elérési út azt hitték, hogy segítőkész, barátságos a fejlesztők. Ők csak próbál adni a kiváló felhasználói élményt, , és kiderült, hogy a felhasználó megkérdezése nélkül, vagy mondja a felhasználó bármit és ez történt, az iPhone és az Android, A Pandora app iPhone és Android hogy az Ösvény kérelmet megragadta a teljes címjegyzék és feltölti azt a elérési út, csak ha telepítve van, és futott az alkalmazás, és nem mondom ezt. Azt hittem, hogy nagyon hasznos az Ön számára hogy képes megosztani az embereket a címjegyzékben hogy te vagy az Út alkalmazás. Nos, nyilvánvalóan ösvény gondoltam, hogy ez nagyon jó volt a társaság. Nem olyan nagy, hogy a felhasználó számára. Meg kell gondolni, hogy ez az egyik dolog, ha talán egy tinédzser használja az alkalmazás, és a több tucat barátai vannak ott, de mi van, ha a vezérigazgató a cég, amely telepíti elérési út majd hirtelen az egész címjegyzék ott? Fogsz kapni egy csomó potenciálisan értékes elérhetőségét egy csomó ember. A riporter a New York Times, akkor lehet, hogy a telefonszám ex elnökök a saját címjegyzék, így nyilván sok érzékeny információk kerül át valami, mint ez. Volt olyan nagy fedél erről az Ösvény bocsánatot kért. Megváltoztatták az app, és még hatással Apple. Az Apple azt mondta: "Meg fogunk kényszeríteni app gyártók, hogy azonnal a felhasználók ha ők fognak gyűjteni a teljes címjegyzék. " Úgy néz ki, hogy mi történik itt, ha van egy nagy a magánélet megsértése, és ez teszi a sajtó látunk változást odakint. De persze vannak más dolgok odakint. A LinkedIn alkalmazás termés a naptár bejegyzéseket, de az Apple nem teszi a felhasználót kérni róla. Naptárbejegyzések lehet érzékeny információkat is rajta vagyok. Hova mész meghúzni a határt? Ez tényleg ilyen fejlődő helyen ahol már tényleg nincs jó színvonalú ott a felhasználók számára, hogy megértsék, ha az információ lesz veszélyben és mikor fognak tudom, hogy kell venni. Írtunk egy app Veracode nevű Adios, , és lényegében lehetővé tette, hogy pont az app az iTunes könyvtár és nézd meg az összes alkalmazás, amelyeket betakarítás a teljes címjegyzéket. És mint látható a listán van, Angry Birds, AIM, AroundMe. Miért Angry Birds kell a címjegyzékben? Nem tudom, de ez valahogy. Ez olyan dolog, hogy sok-sok alkalmazás van. Tudod ellenőrizni a kód. Van jól definiált API iPhone, Android és a BlackBerry hogy a címjegyzék. Akkor tényleg egyszerűen ellenőrizni ezt, és ez az, amit tett a Adios alkalmazás. A következő kategória, biztonságos Érzékeny Adattárolás, van valami, ahol a fejlesztők, hogy olyasmi, mint a csap, vagy egy számlaszámot vagy a jelszót, és tárolja a tiszta a készülék. Még rosszabb, lehet, hogy tárolja olyan területen, a telefon amely globálisan elérhető, mint az SD-kártyát. Látod ezt gyakrabban, az Android, mert Android lehetővé teszi, hogy egy SD kártya. IPhone készülékek nem. De azt is látta, hogy ez megtörténjen a Citigroup alkalmazás. Az online banki alkalmazás tárolja a számlaszámok bizonytalanul, csak az világos, hogy ha elveszett a készülék, lényegében elvesztette a bankszámláját. Ez az, amiért én személy szerint nem nem banki az én iPhone. Azt hiszem, túl kockázatos most, hogy ezek a fajta tevékenység. Skype tette ugyanezt. Skype, természetesen van egy fizetési mérleg, a felhasználói nevet és jelszót hozzáférő egyensúlyt. Ők voltak tárolja az összes információt az egyértelmű a mobil eszközön. Van néhány példa van a fájlok létrehozását , amelyek nem rendelkeznek a megfelelő engedélyekkel, vagy írásban a lemezre és nem rendelkezik titkosítást megtörténhet, hogy az. A következő terület, biztonságos Érzékeny Adatátvitel, Már utaltam, hogy ezt egy párszor, és mivel a nyilvános Wi-Fi ez olyan dolog, hogy apps feltétlenül kell csinálni, és valószínűleg ez, amit látunk baj a legjobban. Azt mondanám, tényleg, azt hiszem, hogy a tényleges adatok, de ez közel fele a mobil alkalmazások csavart ki csinál SSL. Csak nem használja az API helyesen. Úgy értem, csak annyit kell tenned, hogy kövesse az utasításokat, és használja az API-k, de ezek a dolgok, mint nem ellenőrzi, hogy van-e érvénytelen tanúsítványt a másik végén, ne ellenőrizze, hogy a másik végén is próbál tenni a protokoll leminősítés támadás. A fejlesztők, azt szeretnénk, hogy a négyzetet, nem igaz? A követelmény az, hogy használja ezt eladni. Ők már használják ezt eladni. Az a követelmény, hogy ne használja ezt eladni biztonságosan, , és így ez az, amiért minden alkalmazást, amely arra használható, hogy az adatok biztonságos mivel ez átvitt ki a készüléket tényleg kell vizsgálni annak biztosítása, hogy megvalósult-e. És itt van néhány példa, ahol látható egy alkalmazás Lehet, hogy a HTTP helyett HTTPS. Egyes esetekben apps esik vissza a HTTP Ha a HTTPS nem működik. Van egy másik hívásom van az Android, ahol már le van tiltva a tanúsítvány ellenőrzése, így a man-in-the-middle támadás megtörténhet. Érvénytelen tanúsítvány fogadható el. Ezek mind olyan esetben, amikor a támadók lesz képes, hogy a ugyanazon a Wi-Fi kapcsolat, mint a felhasználó és a hozzáférés az összes adat ami küldött az interneten keresztül. És végül, az utolsó kategória már itt van kódolva, jelszó és a kulcsokat. Igazából egy csomó fejlesztő használja ugyanazt a kódolási stílus hogy ők, amikor építették web szerver alkalmazások, így építünk a Java-szerver alkalmazás, és ők égetve a kulcsot. Nos, ha építünk egy szerver alkalmazás, igen, égetve a kulcs nem jó ötlet. Ez megnehezíti, hogy változik. De ez nem is olyan rossz a szerver oldalon, mert aki hozzáfér a szerver oldalon? Csak az adminisztrátorok. De ha ugyanazt a kódot, és öntötte át, hogy egy mobil alkalmazás most mindenki, aki, hogy a mobil alkalmazás hozzá tud férni, hogy bedrótozva kulcs, és valóban látni ezt a sok idő, és van néhány statisztikát milyen gyakran látjuk ezt megtörténni. Ez valójában volt példa kód, amely a MasterCard közzétett hogyan kell használni a szolgáltatást. A példa kód megmutatta, hogyan lenne csak hogy a jelszó és betette egy kódolt karakterlánc ott, és tudjuk, hogyan fejlesztők szeretnek másolja be itt előállított kód elkészítése amikor próbálunk tenni valamit, így másolja be a kódrészletet hogy adtak, mint pl kódot, és van egy biztonságos alkalmazás. És itt van néhány példa. Az első az egyik látunk egy csomó, ahol Bedrótozhatsz az adatokat jobbra egy URL-t, lesz küldeni. Néha látjuk string password = jelszó. Ez elég könnyű felismerni, vagy string jelszót BlackBerry és az Android. Ez valójában nagyon könnyű ellenőrizni, mert szinte mindig a fejlesztő neve változó, ami tartja a jelszó némi eltérés a jelszót. Már említettem, hogy mi a statikus elemzés Veracode, így már elemeztük több száz Android és iOS alkalmazások. Már épül a teljes modellek őket, és képesek vagyunk őket beolvasni a különböző biztonsági rések, főleg a sérülékenységek én beszélek, és van néhány adat itt. 68.5%-a az Android apps néztük tört titkosítási kódot, ami számunkra, nem tudjuk érzékelni, ha készül a saját crypto rutin, nem, hogy ez egy jó ötlet, de ez valójában a közzétett API-k , amelyek a platform, de ezzel őket oly módon, hogy a titkosító lesz sebezhető, 68.5. És ez az ember, hogy elküldi nekünk az alkalmazások valóban, mert úgy gondolom, hogy ez egy jó ötlet, hogy a biztonsági vizsgálatot. Ezek már az emberek, hogy valószínűleg gondolkodás biztonságosan, így talán még rosszabb. Én nem beszélni vezérlő soremelés injekciót. Ez olyasmi, amit ellenőrizni, de ez nem olyan kockázatos probléma. Information szivárgás, ez az, ahol érzékeny adatokat küldik ki a készüléket. Azt találtuk, hogy 40%-a az alkalmazások. Az idő és az állami, ezek versenyhelyzet típusú kérdések, általában elég nehéz kihasználni, így nem beszélhetünk, de néztük meg. 23%-os volt, SQL injection kérdéseket. Sokan nem tudják, hogy a sok alkalmazás egy kis apró SQL adatbázis a háttérben az adatok tárolására. Nos, ha az adatok, hogy te megragadta a hálózaton keresztül van SQL injekciós támadás húrok benne valaki veszélyezteti a készülék segítségével, hogy a és ezért úgy gondolom, találunk mintegy 40%-a webes alkalmazások is ez a probléma, amely egy hatalmas járvány probléma. Megtaláljuk 23%-ában a mobil alkalmazások és ez valószínűleg azért, mert még sok más webes alkalmazások SQL, mint a mobil. És akkor még mindig látni néhány cross-site scripting, engedélyezési kérdések, majd a megbízólevél menedzsment, ott van a kódolt jelszót. Az 5%-a pályázatok azt látjuk, hogy. Aztán van néhány adat iOS. 81%-uk hibakezelés kérdéseket. Ez inkább egy kód minőségi probléma, de 67%-uk kriptográfiai kérdések, így nem is olyan rossz, mint az Android. Lehet, hogy az API-k egy kicsit könnyebb, a példa kódokat egy kicsit jobban az iOS. De még mindig nagyon magas arány. Mi volt 54%-os információk szivárgást, körülbelül 30%-pufferrel kezelési hibákat. Ez az, ott, ahol esetlegesen a memória a korrupció kérdése. Kiderül, hogy ez nem olyan nagy probléma a kizsákmányolás iOS mert minden a kód alá kell írnia, így nehéz a támadó tetszőleges kódot futtathatnak iOS. Code minőség, könyvtár bejárás, de aztán hitelesítő menedzsment itt 14,6%, így rosszabb, mint az Android. Az emberek már nem kezeli a jelszavakat megfelelően. És akkor a numerikus hibák és puffer túlcsordulás, Ezek több lesz kód minőségét kérdések iOS. Ez volt az én bemutatót. Nem tudom, ha mi vagyunk az időből, vagy sem. Nem tudom, hogy van-e kérdés. [Férfi] Egy gyors kérdés körül töredezettség és az Android Market. Apple legalább birtokolja folt. Ők jó munkát kapok ott, míg kevesebb, így az Android térben. Majdnem kell jailbreak a telefont, hogy maradjon a jelenlegi A jelenlegi kiadás az Android. Igen, ez egy óriási probléma, és így ha jól meggondoljuk, [Férfi] Miért nem megismételni? Ó, igen, így a kérdés az volt, mi a fragmentáció Az operációs rendszer az Android platform? Hogyan hat ez a kockázatosságát ezek az eszközök? És ez valójában egy hatalmas probléma, mert mi történik, A régebbi eszközök, ha valaki jön fel a jailbreak az adott eszköz, lényegében ez privilégium eszkaláció, és amíg ez az operációs rendszer frissítése minden malware majd a biztonsági rést, hogy teljesen veszélyeztetik a készüléket, és amit látunk az Android annak érdekében, hogy az új operációs rendszer A Google, hogy ki az operációs rendszert, majd a hardver gyártója kell szabni, majd a fuvarozó, hogy testre, és elszállítja. Ön alapvetően 3 mozgó alkatrész van, és ez fordul meg, hogy a fuvarozók nem érdekel, és a hardvergyártók nem érdekel, és a Google nem prodding nekik elég semmit, így lényegében több mint a fele az eszközök ott Van operációs rendszerek, amelyek ezeket a privilégium eszkaláció sebezhetőség bennük, és így, ha kap malware az Android készülék ez sokkal nagyobb problémát. Rendben, köszönöm szépen. [Taps] [CS50.TV]