>> [Seminārs] [Aizstāvot Aiz Device: Mobile Application Security]
[Chris Wysopal] [Harvard University]
[Tas ir CS50.] [CS50.TV]
>> Labdien. Mans vārds ir Chris Wysopal.
Es esmu CTO un līdzdibinātājs Veracode.
Veracode ir lietojumprogrammu drošības kompānija.
Mēs pārbaudīt visas dažādu lietojumu veidu,
un ko es esmu gatavojas runāt par šodien ir mobilo pieteikumu drošību.
Mana pieredze ir Esmu bijis darot drošības pētniecību
ļoti ilgu laiku, iespējams, ir apmēram tik ilgi, kamēr ikviens.
Man sākās vidus 90s,
un tas bija laiks, ka bija diezgan interesanti, jo
mums bija paradigmas maiņu vidū 90s.
Pēkšņi ikviena datora tika saliekts līdz ar internetu,
un tad mums bija iesākums tīmekļa lietojumprogrammas,
un tas, ko es vērsta uz daudz laika.
Tas ir interesanti.
Tagad mums ir vēl viens paradigmas izmaiņas notiek ar datoru,
kas ir pāreja uz mobilo lietojumu.
>> Man šķiet, tas ir sava veida līdzīgu laiku, tad tas bija vēlu 90s
kad mēs bijām izmeklējot tīmekļa lietojumprogrammas un atrast defektus, piemēram,
sesija vadības kļūdas un SQL injekcijas
kas patiešām nepastāvēja pirms, un pēkšņi viņi bija visur
tīmekļa lietojumprogrammas, un tagad daudz laika pavadu
meklē mobilo lietojumu, un meklē to, kas notiek, kas tur savvaļā.
Mobile pieteikumi ir patiešām gatavojas būt dominējošā skaitļošanas platformu,
tāpēc mums tiešām ir nepieciešams tērēt daudz laika, ja jūs šajā drošības nozarē
koncentrējoties uz tīmekļa lietojumprogrammas.
Tur bija 29 miljardi mobilo apps lejupielādētos 2011.
Tas ir paredzams, ka 76 miljardiem apps 2014.
Tur ir 686 miljoniem ierīču, kas gatavojas iegādāties šogad,
tāpēc šī ir vieta, kur cilvēki gatavojas darīt
lielākā daļa viņu klientu datoru, iet uz priekšu.
>> Es runāju ar viceprezidents Fidelity Investments
Pirms pāris mēnešiem, un viņš teica, ka viņi vienkārši redzēja vairāk satiksmi
veicot finanšu darījumus savu klientu bāzi
par savu mobilo pieteikumu nekā uz viņu mājas lapā,
tāpēc kopīga izmantošana Web pagātnē ir bijis
pārbaudīt savu akciju cenas, pārvaldīt savu portfeli,
un mēs patiešām redzam, ka 2012 pārslēgšanai
būt dominējošā uz mobilo platformu.
Protams, ja tur būs kāda noziedzīga darbība,
jebkādu ļaunprātīgu darbību, tas notiek, lai sāktu koncentrējas uz mobilo platformu
laika gaitā, jo cilvēki pārslēgties uz to.
Ja paskatās uz mobilo platformu,
apskatīt riskiem platformas tas ir lietderīgi sadalīt dažādos slāņos,
tāpat kā jūs varētu darīt to uz galda datoru,
un jūs domājat par dažādiem slāņiem, programmatūras, operētājsistēmas,
tīkla slānis, aparatūras slānis, un, protams, tur ir ievainojamības uz visiem šiem slāņiem.
>> Tas pats notiek ar mobilo.
Bet mobilo, šķiet, ka daži no šiem slāņiem ir sliktāk.
Attiecībā uz vienu, tīkla slānis ir sarežģītāka par mobilo
tāpēc, ka daudzi cilvēki ir viņu birojā vai mājās
vadu savienojumus, vai arī tie ir droša Wi-Fi savienojumu,
un ar daudz mobilo ierīču jūs acīmredzot ārpus mājas
vai ārpus biroja daudz, un, ja jūs izmantojat Wi-Fi ir
Jums varētu būt, izmantojot nedrošu Wi-Fi savienojumu,
kaut kas ir publiskā Wi-Fi savienojumu,
tad, kad mēs domājam par mobilo progr, mums ir jāņem vērā,
ka tīkla vide ir riskantāka par šiem pieteikumiem,
kad Wi-Fi tiek izmantots.
Un, kad es nokļūt vairāk par mobilo lietojumprogrammu riskiem
jūs redzēsiet, kāpēc tas ir vairāk svarīgi.
Pastāv risks pie aparatūras līmenī mobilajās ierīcēs.
Šī ir joma, par notiekošo izpēti.
Cilvēki zvana šie platjoslas uzbrukumiem vai baseband uzbrukumiem
kur jūs uzbrūk firmware, kas klausās radio.
>> Tie ir patiešām biedējošu uzbrukumiem, jo
lietotājs nav darīt jebko.
Jūs varat hit daudz ierīču robežās RF diapazonā
uzreiz, un šķiet, piemēram, ja šis pētījums burbuļi augšu
tas ātri kļūst sagrupētas
cilvēki sagrābt apkārt un saka: "Lūk, pastāstīt mums par to, un, lūdzu, pārtraukt runāt par to."
Ir daži pētījumi notiek platjoslas jomā,
bet tas, šķiet, ir ļoti kuš kuš.
Es domāju, ka tas ir vairāk par nacionālas valsts pētniecības veidiem, kas notiek tālāk.
Platība aktīva izpēte, lai gan, ir operētājsistēma slāni,
un atkal, tas ir atšķirīgs nekā desktop skaitļošanas pasaulē
jo mobilo telpā esat šo cilvēku sauc par jailbreakers komandas,
un jailbreakers ir savādāki nekā regulāri ievainojamību pētniekiem.
Viņi mēģina atrast vājās vietas operētājsistēmu,
bet iemesls, viņi cenšas atrast vājās nav
ielauzties kāds cits mašīnu un apdraudēt to.
Tas ir ielauzties savā datorā.
>> Viņi vēlas ielauzties savu mobilo, mainīt savu mobilā tālruņa operētājsistēma
lai tās varētu darbināt pieteikumus pēc savas izvēles
un mainīt lietas ar pilnu administratīvajām atļaujām,
un viņi nevēlas pateikt pārdevējam par to.
Viņi nav, piemēram, drošības pētnieks, kas ir balta cepure drošības pētnieks
kas gatavojas darīt atbildīgu atklāšanu un pateikt pārdevējam par to.
Viņi vēlas darīt šo pētījumu, un viņi vēlas, lai faktiski publicēt
in izmantot vai rootkit vai jailbreak kods,
un viņi vēlas to darīt stratēģiski, piemēram, uzreiz pēc
pārdevējs kuģi jauno operētājsistēmu.
Jums ir šī sacīkstes attiecības
ar OS-līmeņa ievainojamības uz mobilo,
kas, manuprāt, ir diezgan interesants, un viena vieta, mēs to redzam
tas ir tā, ka tur ir laba publicēts izmanto kodu, kas tur
par kodola līmeņa ievainojamības,
un mēs esam redzējuši, kas faktiski izmanto malware rakstniekiem.
Tas ir nedaudz atšķiras no PC pasaulē.
Un tad gala slānis ir augšējā slāņa, pieteikums slāni.
Tas ir tas, ko es esmu gatavojas runāt par šodien.
>> Citas slāņi pastāv, un citi slāņi spēlēt tajā,
bet es esmu galvenokārt gatavojas runāt par to, kas notiek pie lietojumslānis
ja kods darbojas sandbox.
Tas nav jābūt administratora tiesībām.
Tas ir izmantot API no ierīces,
bet tomēr, ļaunprātīgu darbību, daudz un daudz risku var notikt šajā slānī
jo tas ir slānis, kurā visa informācija.
Lietojumprogrammas var piekļūt visu informāciju par ierīci
ja viņiem ir vajadzīgās atļaujas,
un viņi var piekļūt dažādām sensorus ierīcē,
GPS sensors, mikrofons, kamera, ko jūs esat.
Pat ja mēs tikai runājam par aplikācijas slāņa
mums ir daudz risku tur.
Otra lieta, kas ir atšķirīgs par mobilo sakaru vidē
ir visi operētājsistēmas spēlētāji, tas būtu BlackBerry vai Android
vai iOS un Windows Mobile, tie visi ir smalkgraudaina atļauju modeli,
un tas ir viens no veidiem, ka tās iebūvētas operētājsistēmu
ideja, ka tas nav tik riskanti kā jūs domājat.
Pat ja jums ir visas jūsu kontaktus tur, visi jūsu personisko informāciju,
Jums ir savas fotogrāfijas, jums ir jūsu atrašanās vietu tur,
jūs uzglabātu jūsu bankas pin auto login uz tur, tas ir droši, jo
progr ir jābūt noteiktas atļaujas nokļūt pie atsevišķām daļām
informāciju par ierīci, un lietotājs ir jāiesniedz ar
šīs atļaujas un teikt labi.
>> Problēma ar to, lietotājs vienmēr saka labi.
Kā drošības persona, es zinu, jūs varat nekavējoties lietotājam,
saka, kaut kas patiešām slikts notiks, jūs vēlaties, lai tas notiktu?
Un, ja viņi ir steigā, vai tur ir kaut kas ļoti vilinošs, no otras puses, ka,
piemēram, spēle būs jāuzstāda, ka tie esam gaidījuši,
viņi gatavojas klikšķiniet labi.
Tas ir iemesls, kāpēc es saku par manu slaidā šeit, tikai ļaujiet man mest putnus pa cūkām jau
un jūs varat redzēt slaidā šeit tur ir piemēri, BlackBerry atļauju kastē.
Tā saka: "Lūdzu noteikt BlackBerry Travel pieteikumu atļaujas
noklikšķinot pogu zemāk, "un būtībā lietotājs ir tikai gatavojas teikt
noteikt atļaujas un saglabāt.
Lūk Android ātri, ja tas rāda lietas,
un tas tiešām liek kaut ko, kas gandrīz izskatās kā brīdinājumu.
Tas ir got veida ienesīguma zīmi tur sakot tīkla komunikāciju, telefona zvanu,
bet lietotājs gatavojas klikšķi uzstādīt, vai ne?
Un tad Apple viens ir pilnīgi nekaitīgs.
Tas nedod nekādu brīdinājuma.
Tas ir tikai Apple vēlētos izmantot savu pašreizējo atrašanās vietu.
Protams, jūs gatavojas klikšķi labi.
>> Tur tas ir smalkgraudaina atļauja modelis,
un progr ir jābūt acīmredzamu failu, kurā tie pasludināt
atļaujas tie ir, un kas saņems rādīta lietotājiem,
un lietotājam būs jāsaka, es piešķirt šīs atļaujas.
Bet būsim godīgi.
Lietotājiem ir tikai gatavojas vienmēr saku labi.
Pieņemsim veikt ātri apskatīt atļaujām, ka šie progr ir lūdzot
un daži no atļaujām, kas ir tur.
Šis uzņēmums Praetorian darīja aptauju pagājušajā gadā
no 53000 pieteikumiem analizēto Android Market un 3rd Party tirgos,
tāpēc tas viss Android.
Un vidējo app pieprasīja 3 atļaujas.
Daži progr pieprasīja 117 atļaujas,
tāpēc, protams, tie ir ļoti smalkgraudaina un pārāk sarežģīta, lai lietotājs varētu saprast
ja viņi iepazīstināja ar šo app, kas vajadzīga šīs 117 atļaujas.
Tas ir tāpat kā gala lietotāja licences līgumu, kas ir 45 lappuses garš.
Varbūt drīz viņi būs iespēja, kur tas ir, piemēram,
drukāt atļaujas un sūtīt man e-pastu.
>> Bet, ja jūs apskatīt dažas no top interesantu atļaujas
24% no lietojumprogrammām, ka tie lejupielādēti no 53,000
pieprasītā GPS informāciju no ierīces.
8% lasīt kontaktus.
4% nosūta SMS un 3% saņemto īsziņu.
2% ierakstīti audio.
1% apstrādāti izejošos zvanus.
Es nezinu.
Es nedomāju, ka 4% no progr, kas App Store tiešām ir nepieciešams, lai nosūtītu SMS īsziņas,
tāpēc es domāju, ka ir mājiens, ka kaut kas nevēlams notiek.
8% no progr ir nepieciešams, lai lasītu savu kontaktu sarakstu.
Tas ir iespējams, nav nepieciešams.
Viens no citas interesantas lietas par atļaujām ir
ja jūs saite koplietošanas bibliotēkās savā pieteikumā
tie pārmanto atļaujas pieteikumu,
Tātad, ja jūsu app vajadzībām kontaktpersonu sarakstu vai nepieciešama GPS atrašanās vietu, lai darbotos
un saiti uz reklāmas bibliotēkā, piemēram,
ka reklāma bibliotēka būs iespēja piekļūt kontaktus
un arī varēs piekļūt GPS atrašanās vietu,
un attīstītājs app nezina neko par to kodu, kas ir kas darbojas reklāmas bibliotēkā.
Viņi vienkārši savieno ka tāpēc, ka viņi vēlas, lai monetize savu app.
>> Tas ir, ja, un es ņemšu runāt par dažiem piemēriem, to ar
pieteikumu sauc Pandora, ja pieteikumu attīstītājs
var negribot tikt informācijas noplūdi
no saviem lietotājiem, jo ​​bibliotēku tie esam saistīti collas
Mērniecības ainavas, kas tur, apskatot visas dažādās progr
kas ir ziņots ziņās kā ļaunprātīgu vai darot kaut ko lietotāji nevēlējās
un pēc tam pārbaudot daudz progr, mēs daudz statisko bināro analīzi par mobilo progr,
tāpēc mēs esam pārbauda tos un paskatījās kodā-
mēs nāca klajā ar to, ko mēs saucam par mūsu top 10 sarakstu ar riskantu uzvedību pieteikumos.
Un tas ir sadalīts 2 sekcijas, ļaunprātīgu kodu,
tāpēc tās ir sliktas lietas, ka progr varētu darīt, ka
varētu būt kaut kas ļaunprātīgs individuālu
ir īpaši iekļauti pieteikumā, bet tas ir mazliet izplūdušas.
Tas varētu būt kaut kas attīstītājs domā ir labi,
bet tas beidzas ar to domāja, kā ļaunprātīgs lietotājs.
>> Un tad otrā sadaļa ir tas, ko mēs saucam par kodēšanas neaizsargātību,
un tās ir lietas, kur attīstītājs pamatā tiek kļūdām
vai vienkārši nesaprot, kā rakstīt app droši,
un kas ir liekot app lietotājs riskam.
Es iešu cauri šiem detalizēti un sniegt dažus piemērus.
Par prejudiciālā jautājuma uzdošanu, es gribēju, lai safasēti OWASP mobilo top 10 sarakstā.
Tie ir 10 jautājumi, grupa pie OWASP,
Open Web Application Security Project, tie ir darba grupu
strādā pie mobilā top 10 sarakstā.
Viņi ir ļoti slavens web top 10 sarakstā, kas ir top 10
riskantākie lietas, jūs varat būt tīmekļa lietojumprogrammu.
Viņi dara to pašu mobilo,
un to saraksts ir nedaudz savādāka nekā mūsējā.
6 no 10 ir vienādi.
Viņi ir 4, kas ir atšķirīgs.
Es domāju, ka viņi ir mazliet atšķirīgu uzņemties
risks mobilo progr, kur daudz viņu jautājumiem
tiešām, kā pieteikums ir sazināties ar back-end servera
vai to, kas notiek uz back-end serveri,
ne tik daudz progr, kas ir riskantu uzvedību, kas ir tikai vienkāršas klientu progr.
>> Ar sarkanu tie šeit ir atšķirības starp 2 sarakstiem.
Un daži no manas pētnieku komanda ir faktiski veicināja šo projektu,
lai mēs redzētu, kas notiek laika gaitā, bet es domāju, ka takeaway šeit ir
mēs īsti nezinām, ko top 10 saraksts ir mobilo progr, jo
viņi tiešām ir tikai aptuveni 2 vai 3 gadus,
un tur nav bijis pietiekami daudz laika, lai tiešām pētījumu operētājsistēmas
un ko viņi spēj, un tur nav bijis pietiekami daudz laika
par ļaunprātīgu sabiedrībai, ja vēlaties, lai ir pavadījuši pietiekami daudz laika
mēģina uzbrukt lietotājiem, izmantojot mobilo progr, tāpēc es ceru, ka šie saraksti mainīt mazliet.
Bet tagad, šie ir top 10 lietas, kas jāuztraucas.
Jūs varētu brīnīties par mobilo pusē, kur nav ļaunprātīgu mobilo kodu
kā tas nokļūt uz ierīci?
North Carolina State ir projekts ar nosaukumu Mobile Malware genoma projekts
ja tie ir savākt tik daudz mobilo malware, kā viņi var un analizējot to,
un tie esam sadalīti injekcijas vektori, ka mobilo ļaunprātīgas izmantošanas,
un 86% izmanto metodi, ko sauc par atkārtotu iepakošanu,
un tas ir tikai uz Android platformas
jūs varat patiešām darīt pārsaiņošanu.
>> Iemesls ir Android kods ir veidota ar
Java baitu kodu sauc Dalvik, kas ir viegli decompilable.
Kas slikts puisis var darīt, ir
veikt Android pieteikumu, dekompilēt to,
ievietot savu ļaunprātīgu kodu, recompile to,
un tad ielieciet to uz augšu App Store, kas apliecina, ka jaunā versija, šo pieteikumu,
vai vienkārši varbūt mainot nosaukumu pieteikumu.
Ja tas bija sava veida spēli, nedaudz mainīt nosaukumu,
un tāpēc šī pārsaiņošana kā 86% no mobilo ļaundabīgo programmu izpaužas izplatīts.
Ir vēl viens paņēmiens, ko sauc par update, kas ir
ļoti līdzīgs pārsaiņošanu, bet jūs faktiski nelieciet ļaunprātīgu kodu iekšā
Kas jums jādara, ir jūs nodot nelielu atjaunināšanas mehānismu.
Jums dekompilēt, jūs ievieš atjaunināšanas mehānismu, un jūs recompile to,
un tad, kad app darbojas tas velk uz leju ļaunprātīgu programmatūru uz ierīci.
>> Līdz šim lielākā daļa ir tie 2 metodes.
Tur nav īsti daudz lejupielāde drive-bys vai drive-by downloads par mobilajiem telefoniem,
kas varētu būt, piemēram, pikšķerēšanas uzbrukumu.
Hei, pārbaudiet šo ļoti atdzist mājas lapā,
vai jums ir nepieciešams doties uz šo mājas lapā un aizpildīt šo formu
saglabāt turpināt darīt kaut ko.
Tie ir pikšķerēšanas uzbrukumiem.
Tas pats var notikt uz mobilo platformu, kur viņi
norāda uz mobilo app, lai lejupielādētu, saka: "Sveiki, šis ir Bank of America".
"Mēs redzam jūs, izmantojot šo programmu."
"Jums vajadzētu lejupielādēt šo citu pieteikumu."
Teorētiski, tas varētu strādāt.
Varbūt tas vienkārši netiek izmantots pietiekami, lai noteiktu, vai tas ir veiksmīgs vai nē,
bet tie konstatēja, ka tiek izmantots mazāk nekā 1% no laika, ka paņēmiens.
Laika vairākums, tas ir patiešām pārpako kodu.
>> Ir vēl viena kategorija sauc standalone
ja kāds tikai būvē pavisam jaunu pieteikumu.
Viņi veidot programmu, kas liecinātu par kaut ko.
Tas nav pārdalot kaut kas cits, un tas ir ļaunprātīgu kodu.
, Kas ir izmantoti 14% no laika.
Tagad es vēlos runāt par to, kas ir ļaunprātīgs kods dara?
Viens no pirmajiem ļaunprātīgu programmatūru, kas tur
Jūs varētu apsvērt spiegprogrammatūru.
Tā būtībā spiegu par lietotāju.
Tas savāc e-pastus, īsziņas.
Izrādās mikrofonu.
Tā ražu kontaktu grāmatu, un tā nosūta to off kādam citam.
Pastāv uz datora Šis spyware veids,
tāpēc tas padara perfektu sajūtu, lai cilvēki varētu mēģināt to darīt, uz mobilajām ierīcēm.
>> Viens no pirmajiem piemēriem tas bija programma, ko sauc Secret SMS Replicator.
Tas bija Android Marketplace pāris gadus atpakaļ,
un doma bija, ja jums bija pieeja uz kādu Android tālruni
ka jūs vēlētos, lai spiegot, tāpēc varbūt tas ir jūsu laulātais
vai jūsu citi nozīmīgi, un jūs vēlaties, lai spiegot par savu teksta ziņojumu,
Jūs varētu lejupielādēt šo app un instalējiet to un konfigurēt tā,
nosūtīt SMS īsziņu, lai jūs ar kopiju
par katru SMS īsziņu viņi dabūja.
Tas, protams, ir par App Store pakalpojumu noteikumiem pārkāpumiem,
un tas tika izņemts no Android Marketplace 18 stundu laikā tas ir tur laikā,
tāpēc ļoti neliels skaits iedzīvotāju bija pakļauti riskam sakarā ar to.
Tagad, es domāju, ja programma sauca kaut varbūt mazliet mazāk provokatīva
piemēram Secret SMS Replicator tas droši vien būtu strādājuši daudz labāk.
Bet tas bija sava veida acīmredzama.
>> Viena no lietām, ko mēs varam darīt, lai noteiktu, vai progr ir šo problēmu, ka mēs negribam
ir pārbaudīt kodu.
Tas ir tiešām ļoti viegli darīt uz Android, jo mēs varam dekompilēt progr.
IOS varat izmantot disassembler, piemēram, IDA Pro
aplūkot to, ko Apis app zvana, un ko tā dara.
Mēs wrote mūsu pašu bināro statisko analizatoru mūsu kodu
, un mēs to darām, un lai to, ko jūs varētu darīt, ir, jūs varētu teikt,
nav ierīce, darīt kaut ko, kas būtībā ir spying par mani vai izsekošanas mani?
Un man ir daži piemēri šeit uz iPhone.
Šis pirmais piemērs ir, kā piekļūt UUID pa tālruni.
Tas ir tiešām kaut kas Apple tikko aizliegta jauniem pieteikumiem,
bet vecās programmas, kas, iespējams, esat darbojas jūsu tālrunī vēl var darīt,
un tā, ka unikālo identifikatoru var izmantot, lai izsekotu jums
starp daudziem dažādiem lietojumiem.
>> Par Android, man ir piemērs šeit iegūt ierīces atrašanās vietu.
Jūs varat redzēt, ka, ja šī API zvans ir tur, ka app ir sekošanas,
un jūs varat redzēt, vai tas kļūst smalku vietu vai rupju vietu.
Un pēc tam apakšā šeit, man ir piemērs tam, kā uz BlackBerry
pieteikums var piekļūt e-pasta ziņojumus iesūtnē.
Tie ir sava veida lietām, jūs varat pārbaudīt, lai redzētu
ja app dara šīs lietas.
Otra lielākā kategorija ļaunprātīga rīcība, un tas ir iespējams, lielākais kategoriju tagad,
ir neatļautu zvanu, neatļautu piemaksu SMS īsziņas
vai nesankcionētu maksājumu.
Vēl viena lieta, kas ir unikāls par tālruni
ir ierīce ir saliekts uz norēķinu kontu,
un tad, kad darbība notiek uz tālruni
tas var radīt izmaksas.
Jūs varat iegādāties lietas pa telefonu,
un, kad jūs sūtīt premium SMS īsziņu jūs faktiski dodot naudu
uz konta turētāja telefona numuru, no otras puses.
Tās tika izveidotas, lai iegūtu akciju cenas vai jūsu ikdienas horoskops, vai citas lietas,
bet tās var izveidot, lai pasūtītu preci, nosūtot īsziņu.
Cilvēki dod naudu Sarkanajam Krustam, nosūtot īsziņu.
Jūs varat dot 10 $, ka veidā.
>> Uzbrucēji, ko viņi ir darījuši, ir tie, kas izveidota
kontiem ārvalstīs, un tie iegultu malware
ka tālrunis sūtīs premium SMS īsziņu,
saka, dažas reizes dienā, un beigās mēneša tu saproti, jūs esat pavadījis
desmitiem vai varbūt pat simtiem dolāru, un viņi iet prom ar naudu.
Tas ieguva tik slikti, ka tas bija ļoti pirmā lieta, ka Android
Tirgū vai Google vietas, tas bija Android Marketplace laikā,
un tas tagad ir Google Play-pirmā lieta, ka Google sāka pārbaudīt.
Kad Google sāka izplatīt Android progr savā App Store
viņi teica, ka viņi nav gatavojas, lai pārbaudītu kaut ko.
Mēs pull progr, kad mēs esam bijuši paziņots tie esam sadalīti mūsu pakalpojuma noteikumus,
bet mēs nebrauksim, lai pārbaudītu kaut ko.
Nu, apmēram pirms gada tā ieguva tik slikti ar šo piemaksu SMS īsziņu ļaunprātīgu programmatūru
ka šī ir pati pirmā lieta, ko viņi sāka pārbaudīt.
Ja app var sūtīt SMS īsziņas
viņi vēl manuāli izskata šo lūgumu.
Viņi meklēt API, kas prasa to,
un tagad kopš tā laika Google ir paplašinājies,
bet tas bija pirmā lieta, ka viņi sāka meklē.
>> Dažas citas progr, kas bija daži SMS īsziņas,
šis Android Qicsomos, es domāju, tas sauc.
Tur bija pašreizējais pasākums par mobilo ja tas CarrierIQ iznāca
kā spyware likts uz ierīci, pārvadātājiem,
lai cilvēki gribēja zināt, ja viņu telefons ir neaizsargāti pret to,
un tas bija bezmaksas app, kas pārbaudīts, ka.
Nu, protams, tas, ko šī app darīja tas bija nosūtīts Premium SMS īsziņas,
tāpēc, pārbaudot, lai redzētu, vai jūs esat inficēts ar spiegprogrammatūru
Jūs ielādes ļaunprātīgu programmatūru uz jūsu ierīci.
Mēs redzējām, tas pats notiek pēdējā Super Bowl.
Tur bija viltus versiju Madden futbola spēli
kas nosūtīts Premium SMS īsziņas.
Tas faktiski mēģināja izveidot bot tīklu too ierīcē.
Šeit man ir daži piemēri.
Interesanti, ka Apple bija diezgan gudrs,
un tie neļauj pieteikumus sūtīt SMS īsziņas vispār.
Neviens app var darīt to.
Tas ir lielisks veids, kā atbrīvoties no visa klase neaizsargātības,
bet Android jūs varat darīt, un, protams, par BlackBerry jūs varat darīt to too.
Tas ir interesanti, ka BlackBerry viss, kas jums nepieciešams, ir interneta atļaujas
nosūtīt SMS īsziņu.
>> Otra lieta tiešām, ko mēs meklējam
kad mēs meklējam, lai redzētu, ja kaut kas ir ļaunprātīga, ir vienkārši kaut kāda veida
neatļautu tīklu darbību, piemēram, apskatīt tīkla darbību
app ir paredzēts, ka ir jābūt tās funkcionalitāti,
un apskatīt šo citu tīkla darbību.
Varbūt app, lai strādātu, ir, lai saņemtu datus pa HTTP,
bet, ja tas ir darot lietas, pa e-pastu vai SMS vai Bluetooth vai kaut kas tamlīdzīgs
tagad, ka app, iespējams, varētu būt ļaunprātīga, tāpēc šī ir vēl viena lieta, jūs varat pārbaudīt, lai.
Un šajā slaidā šeit man ir daži piemēri, kas.
Vēl viena interesanta lieta, ko mēs redzējām ar ļaunprātīgu notika atpakaļ 2009,
un tas notika liels veidā.
Es nezinu, vai tas ir noticis tik daudz, kopš tā laika, bet tas bija app
, kas uzdodas par citu programmu.
Tur bija kopumu progr, un tas tika nodēvēts 09Droid uzbrukums,
un kāds nolēma, ka tur bija daudz mazu, reģionālo, vidējiem bankām
ka nebija tiešsaistes banku pieteikumus,
tā, kādi viņi bija tie būvēti aptuveni 50 tiešsaistes banku pieteikumus
ka viss, ko viņi darīja, bija jāņem lietotāja vārdu un paroli
un novirzīt jūs uz tīmekļa vietni.
Un tā viņi nodot šos visus uz augšu Google Marketplace,
Android Marketplace, un, ja kāds meklēja, lai redzētu, ja viņu banka
bija pieteikums viņi varētu atrast viltus pieteikumu,
kas savākti savas pilnvaras, un pēc tam novirzīts tos savā mājas lapā.
Veidā, ka tas patiesībā kļuva-progr bija tur uz pāris nedēļām,
un tur bija tūkstošiem un tūkstošiem downloads.
>> Kā tas nāca gaismā, bija kāds bija, kam problēmas
ar vienu no šiem pieteikumiem, un viņi sauc savu banku,
un viņi sauc viņu bankas klientu atbalsta līniju un teica:
"Es esmu, kam problēmas ar savu mobilo banku pieteikumu."
"Vai jūs varat man palīdzēt?"
Un tie sacīja: "Mums nav mobilo banku pieteikumu."
, Kas sāka izmeklēšanu.
Ka banka sauc par Google, un tad Google paskatījās un teica:
"Wow, tas pats autors ir sarakstījis 50 bankas programmas," un ņēma tos visus uz leju.
Bet, protams, tas varētu notikt vēlreiz.
Tur ir saraksts ar visām dažādām bankām šeit
, kas bija daļa no šīs scam.
Otra lieta app var darīt, ir klāt UI cita pieteikuma.
Kamēr tas darbojas tas varētu pop up Facebook UI.
Tā saka, jums ir īstenot savu lietotāja vārdu un paroli, lai turpinātu
vai safasēti jebkuru lietotāja vārdu un paroli UI, lai mājas lapā
ka varbūt lietotājs izmanto tikai, lai mēģinātu triks lietotājs
par liekot savas pilnvaras collas
Tas ir patiešām taisni paralēli no e-pasta pikšķerēšanas uzbrukumiem
ja kāds jums nosūta e-pasta ziņojumu
un sniedz jums būtībā viltus UI mājas lapā
ka jums ir piekļuve.
>> Cita lieta, ko mēs meklējam, kas ļaunprātīgu kodu, ir sistēma modifikācija.
Jūs varat meklēt visu API zvanu, kas prasa root privilēģijas
izpildīt pareizi.
Mainot ierīces interneta proxy būtu kaut kas pieteikumu
nevajadzētu būt iespējai to darīt.
Bet, ja pieteikums ir kods, kas tur, lai to izdarītu
jūs zināt, ka tas ir iespējams, ļaunprātīgu pieteikumu
vai ļoti ļoti iespējams, ir ļaunprātīgs pieteikums,
un tā, kas varētu notikt, ir tas, ka app būtu kaut kādā veidā pieaugošās privilēģijas.
Tas ir dažas privilēģija eskalācija izmantot
pieteikumā, un tad, kad tā saasinājās privilēģijas
tas būtu jādara šīs sistēmas izmaiņas.
Jūs varat atrast ļaunprātīgu programmatūru, kas ir privilēģija eskalācija
tajā pat nezinot, kā privilēģiju eskalāciju
izmantot notiks, un tas ir jauki, viegls veids
meklēt ļaunprātīgu programmatūru.
DroidDream bija iespējams slavenākajiem gabals Android ļaunprātīgu programmatūru.
Es domāju, ka tas skar apmēram 250,000 lietotājiem dažu dienu laikā
Pirms tam tika konstatēts.
Viņi atkārtoti iesaiņot 50 viltus programmas,
viņus Android App Store,
un galvenokārt to izmanto Android jailbreak kodu izplatīties privilēģijas
un pēc tam instalēt komandu un kontrolēt, un pārvērst visu upurus
uz botu tīklu, bet jūs varētu būt atklāts šī
ja jūs skenēšanas pieteikumu un tikai meklē
API zvani, kas nepieciešams root atļauju izpildīt pareizi.
>> Un tur ir piemērs, šeit man ir kas maina proxy,
, un tas faktiski ir pieejama tikai Android.
Jūs varat redzēt, es esmu sniedzot jums daudz piemēru par Android
jo tas ir tas, kur visaktīvākā malware ekosistēma ir
jo tas ir ļoti viegli, lai uzbrucējs saņemtu ļaunprātīgu kodu
uz Android Marketplace.
Tas nav tik viegli to darīt, ka Apple App Store
jo Apple prasa izstrādātājiem, lai identificētu sevi
un paraksta kodu.
Viņi faktiski pārbaudīt, kas jūs esat, un Apple ir faktiski pieteikumu izskatīšanas.
Mēs neredzam daudz patiesu ļaunprātīgu programmatūru, ja ierīce kļūst apdraudēta.
Es runāšu par dažiem piemēriem, kur tas ir patiešām privātumu, kas ir kļūst apdraudēta,
un tas, kas īsti notiek uz Apple ierīci.
Vēl viena lieta, lai meklētu ļaunprātīgu kodu, riskants kods ierīcēs
ir loģika vai laika bumbas un bumbas ar laika degli, iespējams,
daudz vieglāk meklēt nekā loģika bumbas.
Bet ar laika bumbām, ko jūs varat darīt, ir varat meklēt
vietas kodu, kur laiks tiek pārbaudīts, vai absolūtu laiku tiek meklēti
Pirms dažiem funkcionalitāte app notiek.
Un tas varētu tikt darīts, lai slēptu šīs darbības no lietotāja,
tāpēc tas notiek vēlu naktī.
DroidDream darīja visu savu darbību 11:00-08:00 pēc vietējā laika
mēģināt to darīt, kamēr lietotājs varētu nebūt, izmantojot savu ierīci.
>> Vēl viens iemesls, lai to izdarītu, ir, ja cilvēki, izmantojot uzvedības analīzi pieteikumu,
darbojas app smilšu kastē, lai redzētu, kāda uzvedība pieteikuma,
viņi var izmantot laiku balstīta loģika, lai veiktu darbību
ja app nav sandbox.
Piemēram, app veikala, tāpat kā Apple
vada programmu, bet tie, iespējams, nevar palaist katru pieteikumu, teiksim, 30 dienas
pirms tā apstiprināšanas, lai jūs varētu nodot
loģika jūsu pieteikumu, kas teica, labi, tikai to, ka slikti
pēc 30 dienām ir pagājis, vai pēc 30 dienām pēc publicē pieteikuma iesniegšanas dienas,
un kas var palīdzēt ļaunprātīgu kodu slēpt no cilvēkiem, pārbaudot to.
Ja anti-virus uzņēmumi darbojas lietas smilšu kastes
vai pašu app veikali ir tas var palīdzēt
slēpt, ka no šīs pārbaudes.
Tagad, otra puse ir, ka tas ir viegli atrast ar statisko analīzi,
tā faktiski pārbaudot kodu, jūs varat meklēt visās vietās
ja pieteikums testus laiku un pārbaudīt, ka veidā.
Un šeit man ir daži piemēri par šīm 3 dažādām platformām
cik laika var pārbaudīt, ko app maker
lai jūs zināt, ko meklēt, ja jūs pārbaudīt app statiski.
>> Es devos cauri visai ķekars dažādu ļaunprātīgām darbībām
ka mēs esam redzējuši savvaļā, bet kuras ir visvairāk izplatīta?
Tas pats pētījums North Carolina State Mobilais genomu Project
publicēti daži dati, un tur būtībā bija 4 zonas
ka viņi redzēja, kur bija daudz darbību.
37% no progr bija privilēģija eskalācija,
tāpēc tie bija daži no jailbreak koda tipa tur
kur viņi mēģināja izvērsties privilēģijas, lai viņi varētu
Vai API komandas darbojas kā operētājsistēmu.
45% no progr, kas tur bija premium SMS,
tā ka ir liels daudzums, kas mēģina tieši monetize.
93% bija tālvadības pulti, lai viņi mēģināja izveidot botu tīklu, mobilo botu tīklu.
Un 45% novāktas identificējošu informāciju
piemēram, tālruņa numurus, UUIDs, GPS atrašanās vieta, lietotāju kontus,
un tas piebilst, līdz vairāk nekā 100, jo lielākā daļa kaitīgo programmu cenšas darīt dažas no šīm lietām.
>> Es esmu gatavojas pāriet uz otro pusi, un runāt par koda ievainojamību.
Tas ir otrā pusē riskantu darbību.
Tas ir, ja būtībā attīstītājs ir padarīt kļūdas.
Likumīgu attīstītājs rakstot likumīgu lietotni
padara kļūdas vai neziņā par riskiem mobilo platformu.
Viņi vienkārši nezina, kā padarīt drošu mobilo app,
vai dažreiz attīstītājs nav rūp liekot lietotājam riskam.
Dažreiz daļu no to uzņēmējdarbības modelis varētu būt
novākšanas lietotāja personisko informāciju.
Tas ir sava veida citas kategorijas, un tas ir iemesls, kāpēc daži no šī kaitīgā
pret likumīgu sāk asiņot vairāk, jo tur ir atšķirība viedokļi
starp to, ko lietotājs vēlas, un to, ko lietotājs uzskata par riskantu
un ko pieteikumu attīstītājs uzskata riskanti.
Protams, tas nav pieteikumu attīstītājs dati vairumā gadījumu.
>> Un tad beidzot, vēl viens veids, kā tas notiek, ir attīstītājs varētu saistīt ar
dalīta bibliotēka, kas ir ievainojamību vai šo riskantu uzvedību tajā
nezinot to.
Pirmā kategorija ir jutīgi datu noplūdes,
un tas ir tad, kad app apkopo informāciju
piemēram, atrašanās vietu, adrešu grāmatas informāciju, īpašnieka informāciju
un nosūta ka pie ierīces.
Un, kad tas ir off ierīci, mēs nezinām, kas notiek ar šo informāciju.
To var uzglabāt insecurely ar pieteikumu attīstītājs.
Mēs esam redzējuši pieteikuma izstrādātāji get apdraudēta,
un dati, kas viņi glabāšanai izpaužas pieņemts.
Tas notika pirms dažiem mēnešiem līdz attīstītājs leju Florida
kur milzīgs skaits, tas bija iPad UUIDs un ierīču nosaukumi
bija noplūdis tāpēc, ka kāds, es domāju, ka tas bija anonīma,
pieprasīja, lai to paveiktu, ielauzās šo attīstītāju serveriem
un nozaga miljoniem iPad UUIDs
un datoru nosaukumi.
Ne visbīstamākos informācijas,
bet kas notiks, ja tas bija uzglabāšana lietotājvārdi un paroles
un mājas adreses?
Tur ir daudz progr, kas saglabā šāda veida informāciju.
Risks ir tur.
>> Otra lieta, kas var notikt, ir, ja attīstītājs nav rūpēties
nodrošināt datu kanālu, un tas ir vēl viens liels ievainojamību es esmu gatavojas runāt par to,
ka dati tiek nosūtīti skaidrs.
Ja lietotājs ir par publiskā Wi-Fi tīklu
vai kāds ir sniffing internetā kaut kur
pa ceļu, ka dati tiek pakļauti.
Viens ļoti slavens gadījums šīs informācijas noplūdes notika ar Pandora,
, un tas ir kaut kas, mēs izpētītas Veracode.
Mēs dzirdējām, ka tur bija, es domāju, ka tas bija Federal Trade Commission
Izmeklēšana notiek ar Pandora.
Mēs teicām, "Kas notiek tur? Sāksim rakšana vērā Pandora pieteikumu."
Un tas, ko mēs noteicām bija Pandora pieteikumu savākti
Jūsu dzimums un jūsu vecums,
un tas arī piekļūt savu GPS atrašanās vietu, un Pandora pieteikumu
darīja to, ko viņi teica, ka ir pamatoti iemesli.
Mūzika, ka viņi spēlē, Pandora ir mūzikas straumēšanas app-
mūziku viņi spēlē bija tikai licencēti Amerikas Savienotajās Valstīs,
tāpēc viņi bija, lai pārbaudītu to atbilstību licences līgumiem, kas viņi bija
par mūziku, ka lietotājs bija Amerikas Savienotajās Valstīs.
Viņi arī gribēja, lai atbilstu vecāku konsultatīvās
ap pieaugušo valodu mūzikā,
un tāpēc tas ir brīvprātīga programma, bet viņi vēlējās, lai atbilstu, ka
un nav spēlēt nepārprotamās dziesmas bērniem līdz 13 gadu vecumam.
>> Viņiem bija likumīgi iemesli šo datu vākšanai.
Viņu app bija atļaujas, lai to izdarītu.
Lietotājiem domāju, tas bija likumīgs. Bet kas notika?
Tie saistīti ar 3 vai 4 dažādiem reklāmu bibliotēkās.
Tagad visi pēkšņi visu šo reklāmu bibliotēkām
kļūst piekļuvi šai pašai informācijai.
Ad bibliotēkas, ja paskatās kodu reklāmu bibliotēkās
ko viņi dara, ir katrā sludinājumā bibliotēka saka
"Vai mana app ir atļauja saņemt GPS atrašanās vietu?"
"Ak, tas? Labi, man pateikt, GPS atrašanās vietu."
Katru reklāma bibliotēka tas, ka,
un, ja app nav GPS atļauja
tas nebūs iespējams, lai saņemtu to, bet, ja tas tā ir, tas saņems to.
Tas ir, ja biznesa modelis ad bibliotēku
iebilst pret to lietotāju privātās dzīves aizsardzību.
Un tur ir bijuši pētījumi, kas pastāv, kas saka, ja jūs zināt, vecumu
personas, un jūs zināt savu atrašanās vietu
kur viņi gulēt naktī, jo jums ir savas GPS koordinātas
bet tie, iespējams, guļ, jūs precīzi zināt, kas šī persona ir
tāpēc, ka jūs varat noteikt, kuras locekle šīs mājsaimniecības ir tas, ka persona.
Tiešām tas ir identificēt reklāmdevējiem
tieši tā, kas jūs esat, un izskatās, ka tas bija likumīgi.
Es tikai gribu savu straumēšanas mūziku, un tas ir vienīgais veids, kā iegūt to.
>> Nu, mēs pakļauti to.
Mēs rakstījām šo up vairākās blog posts,
un izrādījās, ka kāds no Rolling Stone žurnāls
lasīt vienu no mūsu blog posts un uzrakstīja savu blogu Rolling Stone par to,
un jau nākamajā dienā Pandora domāju, ka tā bija laba ideja
noņemt reklāmas bibliotēkas no to piemērošanas.
Cik es zinu, viņi tikai, tie ir atzinība.
Es domāju, ka viņi tikai app freemium veids, kas ir izdarīts.
Visas pārējās freemium progr ir šo pašu uzvedību,
tāpēc tev domāt par kāda veida dati jums dodam
šie freemium pieteikumiem, jo ​​tas viss notiek, lai reklāmdevējiem.
Praetorian arī veica pētījumu par kopīgu bibliotēku un teica,
"Paskatīsimies, ko kopīgi bibliotēkas ir top kopīgi bibliotēkas", un tas bija dati.
>> Viņi analizēja 53000 progr,
un to skaits 1 dalīta bibliotēka ir Admob.
Faktiski tas bija 38% no programmas, kas pastāv,
tāpēc 38% no pieteikumiem jūs izmantojat
visticamāk novākšanas savu personisko informāciju
un nosūtot to uz reklāmas tīkliem.
Apache un Android bija 8% un 6%,
un tad šie citi tiem leju apakšā, Google reklāmas, satraukt,
Mob Pilsēta un tūkstoš Media,
tie visi reklāmas uzņēmumiem, un tad, interesanti pietiekami,
4% saistīts ar Facebook bibliotēkā
iespējams darīt autentifikāciju, izmantojot Facebook
tāpēc app var autentificēt Facebook.
Bet tas arī nozīmē, ka sabiedrība, Facebook kontrolē kodu
kas ir darbojas 4% no Android mobilo progr, kas pastāv,
un viņiem ir piekļuve visiem datiem, kas app ir atļauja, lai saņemtu at.
Facebook būtībā cenšas pārdot reklāmas laukumus.
Tas ir viņu biznesa modelis.
>> Ja paskatās uz visu šo ekosistēmu ar šīm atļaujām
un kopīgi bibliotēkas sākat redzēt, ka
Jums ir daudz risku, kas it kā likumīgu pieteikumu.
Tas pats līdzīga lieta, kas notika ar Pandora
notika ar pieteikumu sauc Path,
un ceļš domāju, ka viņi ir izpalīdzīgi, draudzīgi izstrādātājiem.
Viņi bija vienkārši cenšas, lai dotu jums lielisku lietotāju pieredzi,
un izrādījās, ka nejautājot lietotājam vai stāsta lietotājs kaut ko-
un tas noticis uz iPhone un Android,
Pandora app bija iPhone un Android-
ka ceļš pieteikumu satveršanas visu savu adrešu grāmatu
un augšupielādējot to Path tikai tad, kad ir instalēta un skrēja pieteikumu,
un tie nav pateikt jums par to.
Viņi domāja, ka tas bija patiešām noderīga jums
, lai varētu dalīties ar visiem cilvēkiem jūsu adrešu grāmatā
ka jūs izmantojat Path pieteikumu.
>> Nu, protams, ceļš domāju, tas bija liels, lai savu uzņēmumu.
Nav tik liela, lai lietotājam.
Jums ir domāt, ka tā ir viena lieta, ja varbūt pusaudzis
izmanto šo programmu un to desmitiem draugiem ir tur,
bet ko tad, ja tas ir CEO uzņēmuma, kas instalē Path
un tad pēkšņi to visu adrešu grāmata ir tur augšā?
Jūs gatavojas iegūt daudz potenciāli vērtīgu kontaktinformāciju
par daudz cilvēku.
Reportieris no New York Times, jūs varētu būt iespēja saņemt tālruņa numuru
bijušajiem prezidentiem no savas adrešu grāmatas,
tā acīmredzot daudz sensitīvas informācijas izpaužas nodota ar kaut kas līdzīgs šim.
Tur bija tik liels Pārlaidums par to, ka ceļš atvainojās.
Viņi mainīja savu app, un tas pat ietekmē Apple.
Apple teica: "Mēs ejam, lai piespiestu app pārdevēji liks lietotājiem
ja viņi gatavojas, lai savāktu visu savu adrešu grāmatu. "
>> Izskatās, ka to, kas notiek šeit ir
ja tur ir viens liels privātuma pārkāpums, un tas padara nospiediet
mēs redzam izmaiņas, kas tur.
Bet, protams, tur ir citas lietas, kas tur.
LinkedIn Pieteikums ražu kalendāra ierakstus,
bet Apple nepadara lietotājam tiek piedāvāts par to.
Kalendāra ierakstus var būt jutīga informācija tiem pārāk.
Kur jūs gatavojas izdarīt līniju?
Tas ir tiešām sava veida attīstās vietu
ja tur tiešām nav labs standarts, kas tur
lai lietotāji varētu saprast, ja viņu informācija būs apdraudēta
un tad, kad viņi gatavojas zināt, tas tiek pieņemts.
Mēs rakstījām app pie Veracode sauc Adios,
un būtībā tas ļauj jums norādīt app jūsu iTunes direktorijā
un apskatīt visiem pieteikumiem, kas tika ievāc pilnu adrešu grāmatu.
Un kā jūs varat redzēt šajā sarakstā šeit, Angry Birds,
AIM, AroundMe.
Kāpēc Angry Birds ir nepieciešama jūsu adrešu grāmatu?
Es nezinu, bet tas kaut kā.
>> Tas ir kaut kas, ka daudzi, daudzi pieteikumi darīt.
Jūs varat pārbaudīt kodu to.
Tur ir labi definētas API iPhone, Android un BlackBerry
nokļūt pie adrešu grāmatā.
Jūs tiešām var viegli pārbaudīt šo, un tas ir tas, ko mēs darījām mūsu Adios pieteikumā.
Nākamais kategorija, nedroši Sensitive Data Storage,
ir kaut kur izstrādātāji veikt kaut ko līdzīgu piespraudi vai konta numurs
vai paroli un uzglabāt to skaidri ierīcē.
Vēl sliktāk, tie var uzglabāt to teritorijā, pa tālruni
kas ir visā pasaulē pieejama, piemēram, SD karti.
Redzat šo biežāk par Android, jo Android ļauj SD karti.
IPhone ierīces nav.
Bet mēs arī redzējām šo notikt Citigroup pieteikumā.
Viņu tiešsaistes banku pieteikumu uzglabāt konta numurus insecurely,
tikai skaidrs, tādēļ, ja esat pazaudējis savu ierīci,
būtībā esat pazaudējis savu bankas kontu.
Tas ir iemesls, kāpēc es personīgi nedomāju darīt banku par manu iPhone.
Es domāju, ka tas ir pārāk riskanti tagad darīt šāda veida darbības veidus.
>> Skype bija tas pats.
Skype, protams, ir konta bilanci, lietotāja vārdu un paroli
ka piekļūt šo līdzsvaru.
Viņi bija uzglabātu visu šo informāciju skaidri uz mobilo ierīci.
Man ir daži piemēri šeit izveidot failus
ka nav vajadzīgās atļaujas, vai rakstot uz diska
un kam nav kāds šifrēšanas notikt to.
Šis nākamais rajons, nedroši Sensitive Datu pārraide,
Esmu norādīja uz to pāris reizes, un tāpēc sabiedrības Wi-Fi
tas ir kaut kas progr ir absolūti nepieciešams darīt,
un tas, iespējams, ir tas, ko mēs redzam noiet greizi visvairāk.
Es teiktu, patiesībā, es domāju, ka man ir faktiskos datus,
bet tas ir gandrīz puse no mobilo lietojumu
skrūvējamu dara SSL.
Viņi vienkārši neizmanto API pareizi.
Es domāju, viss, kas jums jādara, ir sekot instrukcijām un izmantot API,
bet tie lietas, piemēram, nav pārbaudīt, vai ir nederīgs sertifikāts, otrā galā,
nevis pārbaudīt, vai otrā galā mēģina darīt protokols pazemināt uzbrukumu.
>> Izstrādātāji, viņi vēlas, lai saņemtu savu rūtiņā, vai ne?
Viņu prasība ir izmantot to pārdot. Viņi izmanto to pārdot.
Prasība neizmantot to pārdot droši,
un tāpēc šis ir iemesls, kāpēc visi pieteikumi, kas izmanto SSL, lai nodrošinātu datus
kā tas tiek nosūtīti pie ierīce patiešām ir jāpārbauda
lai pārliecinātos, ka tika īstenots pareizi.
Un šeit man ir daži piemēri, kur jūs varat redzēt pieteikumu
varētu būt, izmantojot HTTP, nevis HTTPS.
Dažos gadījumos apps kritīs atpakaļ uz HTTP
ja HTTPS nedarbojas.
Man ir vēl viens zvans šeit uz Android, kur viņi invalīdiem sertifikāta pārbaudi,
tāpēc man-in-the-vidū uzbrukums var notikt.
Nederīgs sertifikāts tiks pieņemts.
Tie ir visi gadījumi, kad uzbrucēji ir gatavojas, lai varētu saņemt par
pats Wi-Fi pieslēgumu, kā lietotājam un piekļuvi visiem datiem
kas ir tiek nosūtīti pa internetu.
>> Un, visbeidzot, pēdējais kategorija man šeit ir hardcoded paroles un atslēgas.
Mēs faktiski redzēt daudz izstrādātāji izmanto to pašu kodēšanas stils
ka viņi darīja, kad viņi būvēja web servera lietojumprogrammas,
lai viņi veidotu Java servera lietojumprogrammu, un viņi hardcoding atslēgu.
Nu, ja jūs veidot servera pieteikumu, jā,
hardcoding atslēga, nav laba ideja.
Tas padara to grūti mainīt.
Bet tas nav tik slikti uz servera pusē, jo, kam ir piekļuve servera pusē?
Tikai administratori.
Bet, ja jūs lietojat to pašu kodu, un jūs uzlej to pa mobilo pieteikumu
Tagad visi, kas ir, ka mobilo pieteikumu piekļūt šim Hardcoded atslēgu,
un mēs patiešām redzam daudz reižu, un man ir daži statistikas dati
no tā, cik bieži mēs redzam šo notikt.
Tas faktiski bija piemērs kods, kas MasterCard publicēto
par to, kā izmantot savu pakalpojumu.
Piemērs kods parādīja, kā jūs varētu vienkārši ņemt paroli
un nodot to Hardcoded virknē labi tur,
un mēs zinām, kā izstrādātāji patīk kopēt un ielīmēt koda fragmentus
kad viņi mēģina kaut ko darīt, lai jūs kopēt un ielīmēt koda fragmentu
ka viņi sniedza kā piemēru kodu, un jums ir nedrošs pieteikumu.
>> Un šeit mums ir daži piemēri.
Šis pirmais ir viens mēs redzam daudz kur viņi hardcode
Datu tiesības uz URL, kas izpaužas nosūtīts.
Dažreiz mēs redzam virkni parole = parole.
Tas ir diezgan viegli noteikt, vai stīgu parole par BlackBerry un Android.
Tas ir tiešām diezgan viegli pārbaudīt, jo gandrīz vienmēr
attīstītājs nosaukumus mainīgo, kas ir saimniecībā paroli
dažas variācijas paroli.
Es teicu, ka mēs statisko analīzi par Veracode,
tāpēc mēs esam analizēti vairāki simti Android un iOS pieteikumus.
Mēs esam izveidojuši pilnu modeļus viņiem, un mēs esam spējīgi tos skenētu
dažādiem ievainojamības, it īpaši ievainojamību es runāju par to,
un man ir daži dati šeit.
68,5% no Android progr mēs paskatījās
bija sadalīti kriptogrāfijas kodu,
kas mums, mēs nevaram atklāt, ja esat veicis savu crypto rutīnas,
nav, ka tas ir laba ideja, bet tas ir faktiski izmantojot publicētos API
, kas ir uz platformas, bet darot tiem tādā veidā
ka šifrēšanas būs neaizsargāti, 68.5.
Un tas ir cilvēkiem, kuri sūta mums savus pieteikumus patiesībā, jo
viņi domā, tā ir laba ideja darīt drošības pārbaudes.
Tie jau ir cilvēki, kas, iespējams, domā droši,
tāpēc tas ir iespējams, pat sliktāk.
>> Man nav runāt par vadības līnijas barības pagatavošanai.
Tas ir kaut kas, mēs pārbaudītu, bet tas nav tik riskanti jautājums.
Informācijas noplūdes, tas ir, ja jutīgi dati tiek nosūtīti pie ierīces.
Mēs atklājām, ka 40% no pieteikumu.
Laiks un valsts, tie ir rase stāvoklī tipa jautājumi, kas parasti ir diezgan grūti izmantot,
tāpēc man nav runāt par to, bet mēs skatījāmies uz to.
23% bija SQL injekciju jautājumiem.
Daudzi cilvēki nezina, ka daudz pieteikumu
izmantot nelielu mazliet SQL datu bāzi par viņu muguras beigās, lai saglabātu datus.
Nu, ja dati, ka jūs satveršanas tīklā
ir SQL injekcijas uzbrukumu virknes tajā
kāds var apdraudēt ierīci, izmantojot, ka,
un tāpēc es domāju, ka mēs atrast aptuveni 40% no tīmekļa lietojumprogrammas ir šī problēma,
kas ir milzīga epidēmija problēma.
Mēs uzskatām par 23% no laika mobilo progr
un tas ir iespējams tāpēc, ka daudz vairāk tīmekļa lietojumprogrammas izmantot SQL nekā mobilo.
>> Un tad mēs joprojām redzam dažas pārrobežu vietas skriptu, atļauju piešķiršanas jautājumiem,
un tad credential vadība, tas ir, ja jums ir jūsu hardcoded paroli.
5% no pieteikumiem, mēs redzam, ka.
Un tad mums ir daži dati par iOS.
81% bija kļūda apstrādes jautājumiem.
Tas ir vairāk koda kvalitātes problēmas,
bet 67% bija kriptogrāfijas problēmas, tāpēc nav tik slikti, kā Android.
Varbūt API ir mazliet vieglāk, tad piemēram kodi nedaudz labāk iOS.
Bet joprojām ir ļoti augsts procents.
Mums bija 54%, ar informācijas noplūdi,
aptuveni 30% ar bufera vadības kļūdas.
Tas ir vietas, kur pastāv potenciāli varētu būt atmiņas korupcijas jautājums.
Izrādās, ka tas nav tik daudz problēmu ekspluatācijai
iOS jo visi kodu, ir jāparaksta,
tāpēc ir grūti uzbrucēju izpildīt patvaļīgu kodu uz iOS.
Koda kvalitāti, direktoriju šķērsošana, bet tad akreditācijas vadība šeit 14,6%,
tāpēc sliktāks nekā uz Android.
Mums ir cilvēki, kas nav apstrādes paroles pareizi.
Un tad skaitļu kļūdas un bufera pārpildes,
tie ir vairāk būs kods kvalitātes jautājumi iOS.
>> Tas bija tas par manu prezentāciju. Es nezinu, vai mēs esam ārpus laika vai ne.
Es nezinu, vai tur ir kādi jautājumi.
[Vīrietis] ātrs jautājums ap sadrumstalotību un Android tirgus.
Ābolu vismaz pieder lāpīšanu.
Viņi dara labu darbu, kā iegūt to, kas tur tā mazāk Android telpā.
Jums ir gandrīz nepieciešams, lai jailbreak jūsu tālruni palikt pašreizējā
ar pašreizējo atbrīvošanu Android.
Jā, tā ir milzīga problēma, un tādēļ, ja jūs domājat par to,
[Vīrietis] Kāpēc tu nevari to atkārtot?
>> Ak, labi, tāpēc jautājums ir, ko par sadrumstalotība
operētājsistēmu uz Android platformas?
Kā tas ietekmē bīstamība šo ierīču?
Un tas tiešām ir milzīga problēma, jo to, kas notiek, ir
vecāki ierīces, kad kāds nāk klajā ar jailbreak par šo ierīci,
būtībā tas ir privilēģija eskalācija, un līdz šī operētājsistēma ir atjaunināta
jebkurš malware tad var izmantot šo ievainojamību, lai pilnībā apdraudēt ierīci,
un tas, ko mēs redzam uz Android, ir, lai saņemtu jaunu operētājsistēmu
Google ir izbāzt operētājsistēmu, un tam aparatūras ražotājs
ir pielāgot to, un pēc tam pārvadātājam ir pielāgot to un nodot to.
Jums ir būtībā 3 kustīgās daļas šeit,
un tas ir pagrieziena, ka pārvadātājiem ir vienalga,
un aparatūras ražotāji nav aprūpi, un Google nav grūstot viņus pietiekami
kaut ko darīt, lai pēc būtības vairāk nekā puse no ierīcēm, kas tur
ir operētājsistēmas, kas ir šo privilēģiju eskalāciju neaizsargātību tiem,
un tādēļ, ja jums ļaundabīgās programmas uz jūsu Android ierīci, tas ir daudz vairāk problēmu.
>> Labi, paldies.
[Aplausi]
[CS50.TV]