[Seminár] [Obrana Za zariadenie: Mobile Application Security] [Chris Wysopal] [Harvard University] [To je CS50.] [CS50.TV] Dobrý deň. Volám sa Chris Wysopal. Som CTO a spoluzakladateľ Veracode. Veracode je bezpečnostné aplikácie spoločnosti. Testujeme všetky druhy rôznych aplikácií, a čo ja budem hovoriť o dnes je bezpečnosť mobilných aplikácií. Moje pozadie je som robil výskum v oblasti bezpečnosti po veľmi dlhú dobu, asi tak dlho, ako všetci. Som začal v polovici 90. rokov, a to bol čas, to bolo celkom zaujímavé, pretože sme mali zmenu paradigmy v polovici 90. rokov. Všetky počítače náhlej každého bol pripojený k internetu, a potom sme mali začiatky webových aplikácií, a to je to, čo som sa zameral na veľa potom. To je zaujímavé. Teraz máme ďalšiu zmenu paradigmy sa deje s počítačmi, čo je posun na mobilných aplikácií. Mám pocit, že je to trochu podobné dobu, potom to bolo v druhej polovici 90. rokov keď sme boli vyšetrovaní webových aplikácií a hľadanie závad, ako sú Chyby správu relácie a SQL injection ktorá naozaj neexistoval predtým, a zrazu boli všade vo webových aplikáciách, a teraz veľa času trávim sa pozerá na mobilných aplikácií a pri pohľade na to, čo sa deje tam vonku vo voľnej prírode. Mobilné aplikácie sú skutočne bude dominantné výpočtovej platformy, takže sme naozaj musieť stráviť veľa času, ak ste v bezpečnostnom priemysle so zameraním na webové aplikácie. Tam bolo 29 miliárd mobilné aplikácie stiahnutej v roku 2011. Je odhadované na 76 miliárd apps do roku 2014. K dispozícii je 686 miliónov zariadení, ktoré sa chystáte byť zakúpené v tomto roku, tak to je miesto, kde ľudia budú robiť  Väčšina ich klienta na počítači aj do budúcnosti. Hovoril som viceprezident Fidelity Investments pred pár mesiacmi, a on povedal, že práve videl väčšiu návštevnosť robiť finančné transakcie od ich zákazníkov na ich mobilné aplikácie, ako na svojich internetových stránkach, takže spoločné použitie pre web v minulosti bolo kontrolu svoje kurzy akcií, správu portfólia, a my sme vlastne vidieť, že v roku 2012 prepínači cez byť viac dominantný na mobilnej platforme. Iste, ak sa to bude akákoľvek trestná činnosť, akákoľvek škodlivá aktivita, bude to začať byť zameraná na mobilnej platforme v priebehu času, ako ľudia prepnúť na to. Ak sa pozriete na mobilnú platformu, pozrieť sa na riziká platformy je užitočné rozčleniť do rôznych vrstiev, rovnako ako by ste to na stolnom počítači, a ty si myslíš o rôznych vrstvách, softvér, operačný systém, sieťová vrstva, hardware vrstva, a samozrejme, je tu slabé miesta vo všetkých týchto vrstvách. To isté sa deje na mobil. Ale mobilné, zdá sa, že niektoré z týchto vrstiev sú na tom horšie. Pre jedného, ​​sieťovej vrstvy je problematickejšie na mobil pretože veľa ľudí, ktorí majú vo svojej kancelárii alebo doma káblové pripojenie alebo majú zabezpečené pripojenie Wi-Fi, a s mnohými mobilných zariadení ste zrejme mimo domova alebo mimo kanceláriu veľa, a ak používate Wi-Fi pripojenie na internet tam môžete používať nezabezpečené Wi-Fi pripojenie, niečo, čo je verejné Wi-Fi pripojenie k internetu, takže keď si myslíme, že o mobilných aplikácií musíme vziať do úvahy že sieťové prostredie je rizikovejšie pre tie aplikácie, ak je Wi-Fi používa. A keď som sa dostal do viacerých mobilných rizík aplikácie uvidíte, prečo je to oveľa dôležitejšie. Existujú riziká na úrovni hardvéru na mobilných zariadeniach. To je oblasť pokračujúceho výskumu. Ľudia hovoria tieto širokopásmové útoky alebo útoky základného pásma kam útočia na firmware, ktorý počúva v rádiu. Tie sú naozaj desivé útoky, pretože používateľ nemusí nič robiť. Môžete hit veľa zariadení v RF rozsahu naraz, a vyzerá to, že keď tento výskum bubliny to rýchlo dostane zaradený kde ľudia vrhnúť sa okolo a povedal: "Tu, povedzte nám o tom, prosím, a prestať hovoriť o tom." Tam je nejaký výskum sa deje v oblasti broadbandu, ale zdá sa, že veľmi Hush Hush. Myslím, že je to skôr typ národ štátnej výskumu, čo sa deje. Oblasť aktívneho výskumu, aj keď je operačný systém vrstva, a opäť, toto je niečo iné, než na ploche svete výpočtovej techniky pretože v mobilnom priestore máte tieto tímy ľudí zvaných Jailbreakers, a Jailbreakers sú iné ako pravidelné výskumníkmi zraniteľnosti. Snažia sa nájsť slabé miesta v operačnom systéme, ale dôvod, prečo sa snažíte nájsť slabé miesta nie je preniknúť do prístroja niekoho iného, ​​a ohroziť ju. Je to preniknúť do ich vlastného počítača. Chcú preniknúť do ich vlastný mobilný telefón, zmeniť operačný systém, svoje vlastné mobile aby mohli spúšťať aplikácie podľa svojho výberu a zmeniť veci s plnými oprávneniami správcu, a nechcú povedať dodávateľa o tom. Už nie ako bezpečnostný výskumník, ktorý je biely klobúk bezpečnostný výskumník ktorá sa chystá urobiť zodpovedné zverejňovanie a povedať dodávateľa o tom. Chcú to urobiť výskum, a chcú, aby skutočne zverejní ho vo využití alebo rootkit alebo útek z väzenia kódu, a chcú, aby to strategicky, ako hneď po dodávateľa lode nový operačný systém. Máte tento kontradiktórne vzťah s zraniteľnosti na mobilný OS na úrovni, čo myslím, že je celkom zaujímavé, a jedno miesto, kde by sme ho vidieť Je to robí to tak, že je tu dobrá zverejnený kód zneužitie je vonku pre kernel-level zraniteľnosti, a my sme videli tie vlastne byť používaný malware spisovateľov. Je to trochu iné ako na PC svete. A potom finálna vrstva je horná vrstva, aplikačná vrstva. To je to, čo ja budem hovoriť o dnes. Ostatné vrstvy existujú, a ďalšie vrstvy hrať na to, ale ja som hlavne hovoriť o tom, čo sa deje na aplikačnej vrstve kde je kód bežiaci v karanténe. To nemá oprávnenie správcu. Má sa používať rozhranie API z prístroja, ale stále veľa nebezpečnej činnosti a množstvo nebezpečenstvo sa môže stať v tej vrstve pretože to je vrstva, kde sú všetky informácie. Aplikácie môžu pristupovať všetky informácie o zariadení ak majú správne oprávnenia, a budú mať prístup rôzne senzory na prístroji, Senzor GPS, mikrofón, kamera, čo majú tí. Aj keď hovoríme len o na aplikačnej vrstve máme veľa rizík tam. Ďalšia vec, ktorá je odlišná o mobilnom prostredí sú všetky použité operačný systém hráči, či už je to BlackBerry alebo Android alebo iOS alebo Windows Mobile, všetci majú jemnozrnné modelu oprávnenie, a toto je jeden zo spôsobov, ako sa zabudovaných do operačného systému Myšlienka, že to nie je tak riskantné, ako si myslíte. Aj keď budete mať všetky svoje kontakty na tú, všetky vaše osobné údaje, máte svoje fotky, môžete mať svoje miesto tam, ste ukladanie bankový PIN pre automatické prihlásenie na tam, že je to bezpečné, pretože aplikácia musí mať určité povolenie, aby sa v niektorých častiach informácie o zariadení, a užívateľ musí byť prezentované s tieto oprávnenia a hovoriť v poriadku. Problém s ním je užívateľ vždy hovorí, že áno. Ako bezpečnostné osobu, viem, že môžete vyzvať užívateľa, povedať, niečo naozaj zlé sa stane, chceš aby sa to stalo? A ak ste v zhone, alebo je tu niečo, čo naozaj lákavá na druhej strane, že ako hra sa bude inštalovaná, že ste čakali, idú na tlačidlo poriadku. To je dôvod, prečo hovorím, na mojom snímke sem daj mi hodiť chrípky u ošípaných už, a môžete vidieť na snímke, tu je príklady BlackBerry povolenie krabici. To hovorí, že "Prosím nastavte oprávnenia BlackBerry Travel aplikácií Po kliknutí na tlačidlo nižšie, "a v podstate sa užívateľ práve chystá povedať, nastaviť povolenia a ušetrite. Tu je Android riadku, kde sa ukazuje veci, a to vlastne dáva niečo, čo skoro vyzerá ako varovanie. Je tu akýsi výnos tam ceduľou s nápisom sieťovej komunikácie, telefónneho hovoru, ale užívateľ bude kliknite na tlačidlo nainštalovať, nie? A potom ten Apple je úplne neškodný. To nedáva žiadny druh varovania. Je to len Apple by chcel použiť svoju aktuálnu polohu. Samozrejme, že sa chystáte na tlačidlo poriadku. Tam je to jemnozrnný modelu povolenie, a aplikácie musia mať súbor manifestu, kde vyhlasujú, oprávnenia, ktoré potrebujú, a že bude sa zobrazí užívateľovi, a užívateľ bude musieť povedať, že som udeliť tieto oprávnenia. Ale buďme úprimní. Užívatelia sa práve chystá vždy hovorím v poriadku. Poďme sa rýchlo pozrieť na oprávnenia, ktoré tieto aplikácie žiadajú a niektoré z oprávnení, ktoré tam sú. Táto spoločnosť Praetorian robil prieskum v minulom roku z 53.000 aplikácií, analyzovaných v Android Markete a tretej strany trhov, tak to je všetko Android. A priemerný aplikácia požaduje 3 oprávnenia. Niektoré aplikácie požaduje 117 oprávnenia, tak samozrejme sa jedná o veľmi jemnozrnnej a príliš zložité pre užívateľa, aby pochopili, v prípade, že sú prezentované s touto aplikáciou, ktorá potrebuje týchto 117 oprávnenia. Je to ako koncový používateľ licenčnej zmluvy, ktorá je 45 strán dlho. Možno, že čoskoro budú mať možnosť, kde to je, vytlačiť oprávnenia a pošlite mi e-mail. Ale keď sa pozriete na niektoré z najlepších zaujímavých oprávnenia 24% z aplikácií, ktoré sú stiahnuté z 53000 požadované GPS informácie zo zariadenia. 8% si kontakty. 4% odoslaných SMS a 3% prijatej SMS. 2% zaznamenaný zvuk. 1% spracované odchádzajúce hovory. Neviem. Nemyslím si, že 4% z aplikácií v App Store naozaj potrebujete odosielať textové správy SMS, takže si myslím, že je to náznak, že sa niečo neobvyklé deje. 8% z aplikácií je potrebné čítať zoznam kontaktov. Je to asi nie je nutné. Jedným z ďalších zaujímavých vecí, o oprávnenie je ak odkazujú na zdieľaných knižníc do aplikácie ktoré dedí povolenia z aplikácie, takže ak vaša aplikácia potrebuje zoznamu kontaktov alebo napríklad umiestnenie GPS fungovať a prepojenie v reklamnej knižnice, napríklad, že reklama knižnica bude tiež môcť pristupovať kontakty a tiež byť schopný získať prístup k umiestnenie GPS, a vývojár aplikácie nevie nič o kóde, ktorý je spustený v reklamnej knižnici. Sú to práve prepojenie, ktoré do systému, pretože chcú speňažiť svoje aplikácie. To je miesto, kde, a ja budem hovoriť o niektorých príkladoch to s aplikácie s názvom Pandora, kde vývojár aplikácie môže byť mimovoľne únik informácií od svojich užívateľov, pretože knižníc že som prepojených palcov Geodetické krajinu tam, pozeral sa na všetkých rôznych aplikácií , Ktoré boli hlásené v médiách ako škodlivý alebo robiť niečo, čo užívatelia nechceli a kontrolu veľa aplikácií, robíme veľa statickej binárne analýzy na mobilných aplikácií, takže sme je kontrolovaná a pozrel sa na samotného kódu- sme prišli s tým, čo nazývame naše top 10 zoznam rizikového správania v aplikáciách. A je to rozdelené do 2 častí, škodlivého kódu, takže sa jedná o zlé veci, že aplikácie by mohlo byť robiť, že je pravdepodobné, že bude niečo, čo sa zlými úmyslami individuálne výslovne dať do aplikácie, ale je to trochu rozmazaný. Mohlo by to byť niečo, čo developer si myslí, že je v poriadku, ale to skončí je myšlienka ako nebezpečný užívateľom. A potom druhá časť je to, čo nazývame kódovanie zraniteľnosti, a to sú veci, kde v podstate developer sa robiť chyby alebo jednoducho nechápe, ako napísať aplikáciu bezpečne,  a to je uvedenie app užívateľa na riziko. Chystám sa ísť cez tieto v detaile a dať nejaké príklady. Pre porovnanie, chcel som, aby sa na OWASP mobilné top 10 zoznamu. Jedná sa o 10 otázok, ktoré skupina na OWASP, Projekt Open Web Application Security, majú pracovnú skupinu pracuje na mobilnom top 10 zoznamu. Majú veľmi slávny web Top 10 zoznamu, ktoré sú top 10 najrizikovejšími veci, ktoré môžete mať vo webovej aplikácii. Robia to isté pre mobilné telefóny, a ich zoznam je trochu iný, než ten náš. 6 z 10 sú rovnaké. Majú 4, ktoré sú odlišné. Myslím, že majú trochu odlišný pohľad na Riziko v mobilných aplikáciách, kde mnoho ich otázok sú naozaj, ako aplikácia komunikuje na serveri back-end alebo to, čo sa deje na serveri back-end, nie je toľko aplikácií, ktoré majú rizikové správanie, ktoré sú len prostá klientskej aplikácie. Tie červene sú tu rozdiely medzi zoznamami 2. A niektorí z môjho výskumného tímu sa vlastne prispel k tomuto projektu, takže uvidíme, čo sa stane v priebehu času, ale myslím, že stánok s jedlom je tu sme naozaj neviem, čo top 10 zoznam je v mobilných aplikáciách, pretože že som naozaj len asi 2 alebo 3 roky, a tam nebolo dosť času, aby skutočne skúmať operačné systémy a čo sú schopní, a tam nebolo dosť času pre škodlivý spoločenstvo, ak chcete, aby strávili dosť času snaží zaútočiť užívateľom prostredníctvom mobilných aplikácií, takže očakávam, že tieto zoznamy meniť trochu. Ale teraz, to sú top 10 vecí, ktoré robiť starosti. Možno sa čudujete, na mobilnom strane, kde nemá škodlivý mobilného kódu ako sa dostať k zariadeniu? North Carolina State má projekt Genome Project Mobile Malware kde sú zhromažďovaní čo najviac mobilné malware, ako môžu a analyzovanie, a že som v členení vstrekovacie vektory, ktoré mobilné malware používa, a 86% použiť techniku ​​zvanú prebaľovanie, a to je len na platforme Android môžete naozaj urobiť prebaľovanie. Dôvod, prečo je Android kód je postavený s bajt kód Javy s názvom Dalvik, ktorý je ľahko decompilable. Čo zlý človek môže urobiť, je so systémom Android aplikáciu, dekompilovať ju, vložte svoj škodlivý kód, překompilovat to, a potom ju v App Store, ktorá sa vyhlási nová verzia tejto aplikácie, alebo len možná zmena názvu aplikácie. Keby to bola nejaká hra, zmeniť názov mierne, , A to tak, ako je upravené balenie 86% mobilný malware dostane distribuovaný. Je tu ďalší techniku ​​zvanú aktualizácie, ktorá je veľmi podobný prebalenie, ale v skutočnosti nechcete dať škodlivý kód palcov Čo robíte, je dáte do malej aktualizačný mechanizmus. Môžete dekompilovať, môžete dať do aktualizačného mechanizmu, a to překompilovat, a potom, keď aplikácia beží to stiahne malware na zariadení. Zďaleka väčšina z nich sú tie dve techniky. Tam naozaj nie je moc na prevzatie pohon-by si, alebo automatickým sťahovaním na mobilné telefóny, ktoré by mohli byť ako phishing. Ahoj, pozrite sa na tento fakt super stránky, alebo budete musieť ísť na túto stránku a vyplňte tento formulár aby aj naďalej niečo robiť. Tí, ktorí sú phishingové útoky. To isté sa môže stať na mobilnú platformu, kde sa poukazujú na mobilné aplikácie na stiahnutie, hovoriť "Ahoj, tu je Bank of America." "Vidíme, že používate túto aplikáciu." "By ste mali stiahnuť túto inú aplikáciu." Teoreticky, to by mohlo fungovať. Možno, že to jednoducho nie je používaný tak, aby sa zistilo, či je úspešný, alebo nie, ale zistili, že sa používa menej ako 1% z času, ktorý techniky. Väčšina času je to naozaj prebaliť kód. Je tu ďalšie kategórie tzv standalone kde sa niekto práve stavia zbrusu novej aplikácii. Majú vytvoriť aplikáciu, ktorá údajného niečo. Nie je to prebalenie niečo iné, a že má škodlivý kód. To je použité 14% času. Teraz chcem hovoriť o tom, čo je škodlivý kód robí? Jeden z prvých malware tam by ste mohli zvážiť spyware. Je to v podstate špehuje užívateľa. To zbiera e-maily, SMS správy. Ukazuje na mikrofón. To žne kontaktné knihu, a odošle ju na niekoho iného. Tento typ spyware existuje na PC, tak to dáva zmysel, aby sa ľudia snažia robiť na mobilných zariadeniach to. Jeden z prvých príkladov tohto bol program s názvom Secret SMS Replicator. Bolo to v Android Marketplace pred pár rokmi, a myšlienka bola, keby ste mali prístup k niečí Android telefónu že ste chcel špehovať, takže možno je to váš manžel alebo vaše ďalších významných a chcete špehovať svoje textové správy, si môžete stiahnuť túto aplikáciu a nainštalujte ju a nastaviť poslať textovú správu SMS na Vás s kópiou každé textové SMS správy, ktoré dostali. To je samozrejme v porušovaní App Store, pokiaľ ide o služby, a toto bolo odstránené z trhu Android počas 18 hodín je, že tam, tak veľmi malý počet ľudí, ktorí boli v ohrození, pretože toto. Teraz si myslím, že v prípade, že bol program s názvom niečo možno trochu menej provokatívny ako Secret SMS Replicator by pravdepodobne fungovalo oveľa lepšie. Ale to bolo celkom jasné. Jedna z vecí, ktoré môžeme urobiť pre to, zistiť, či aplikácia má toto správanie, ktoré nechceme je kontrolovať kód. To je naozaj veľmi jednoduché urobiť na Androide, pretože môžeme dekompilovať aplikácie. Na iOS môžete použiť disassembler, ako je IDA Pro pozrieť sa na to, čo Apis aplikácie volá a čo to robí. Napísali sme naše vlastné binárne statický analyzátor pre nášho kódu a robíme to, a tak to, čo by ste mohli urobiť, je by sa dalo povedať má zariadenie robiť čokoľvek, čo je v podstate ma špehoval alebo sledovanie ma? A mám nejaké príklady tu na iPhone. Tento prvý príklad je, ako pristupovať k UUID na telefóne. To je skutočne niečo, čo Apple práve zakázaný pre nové aplikácie, ale staré aplikácie, ktoré ste mohli bežiaci na vašom telefóne môže ešte urobiť, a tak, že jedinečný identifikačný kód môže byť použitý pre vás sledovať v mnohých rôznych aplikáciách. Na Android, mám príklad tu, ako sa dostať polohu zariadenia. Môžete vidieť, že v prípade, že volanie API je tam, že aplikácia je sledovanie, a vidíte, či je to stále jemné umiestnenie alebo hrubé umiestnenie. A potom na dne tu, mám príklad, ako na BlackBerry aplikácia môže pristupovať k e-mailové správy v priečinku Doručená pošta. Jedná sa o druh vecí, ktoré môžete prezrieť vidieť v prípade, že aplikácia robí tieto veci. Druhá veľká kategória škodlivého správania, a to je pravdepodobne najväčší kategóriu teraz, je zakázané vytáčanie, neoprávnené prémiové textové správy SMS alebo neoprávnené platby. Ďalšia vec, ktorá je jedinečná v tom telefóne je prístroj pripojený do fakturačného účtu, a pri činnosti sa stalo na telefóne je možné vytvoriť poplatkov. Môžete si kúpiť veci po telefóne, a pri odoslaní premium SMS textovú správu, že ste skutočne dávať peniaze majiteľovi účtu telefónneho čísla na strane druhej. Tie boli zriadené, aby sa ceny akcií, alebo si svoj denný horoskop, alebo iné veci, ale môže byť nastavený tak, aby produkt objednať zaslaním SMS s textom. Ľudia dávajú peniaze na Červený kríž zaslaním textovej správy. Môžete dať 10 dolárov týmto spôsobom. Útočníci, čo som urobil, je, že nastavenie účty v cudzích krajinách, a vložiť do malware , Že telefón bude odoslanie Premium SMS textovú správu, povedať, niekoľkokrát denne, a na konci mesiaca si uvedomíte, že ste strávili desiatky alebo dokonca stovky dolárov, a oni odísť s peniazmi. To bolo tak zlé, že to bol úplne prvá vec, ktorá pre Android Marketplace alebo miesto, to bol Google Trhovisko Android v tej dobe, a to je teraz Google Play-prvá vec, že ​​Google začal kontrolu. Keď Google začal distribuovať Android aplikácie na ich app store oni hovorili, že nebude kontrolovať na čokoľvek. Dáme aplikácie, akonáhle sme boli upozornení, že som porušil naše podmienky služby, ale nebudeme kontrolovať na čokoľvek. No, asi pred rokom to bolo tak zlé, s týmto premium SMS textových správ malware že je to prvá vec, ktorú začali kontrole. Ak aplikácia umožňuje odosielať textové správy SMS sa ďalej ručne skúmať túto žiadosť. Vyzerajú pre rozhrania API, ktoré vyžadujú tento, a teraz, pretože potom Google rozšíril, ale to bola prvá vec, ktorá sa začala hľadať. Niektoré ďalšie aplikácie, ktoré robil nejaké textové správy SMS, Tento Android Qicsomos, myslím, že to je volané. Bolo to aktuálne udalosti na mobilný telefón, kde tento Carrier vyšiel ako spyware dať na prístroji dopravcovi, tak ľudia chceli vedieť, či ich telefón bol vystavený to, a to bezplatná aplikácia, ktorá skúša to. No, samozrejme, to, čo táto aplikácia urobila, bolo, že poslal prémiových textových správ SMS, tak tým testovaním, či ste napadnutý spywarom ste vložili malware do vášho zariadenia. Videli sme to isté sa stalo v poslednej Super Bowl. Tam bol falošný verzia Madden futbal ktorý poslal prémiové textové správy SMS. Je to vlastne pokúsil sa vytvoriť topánok sieť príliš na zariadení. Tu mám pár príkladov. Je zaujímavé, že Apple bol dosť chytrý, a neumožňujú aplikáciám odosielať textové správy SMS vôbec. Žiadna aplikácia môže urobiť. To je skvelý spôsob, ako sa zbaviť celej triedy zraniteľnosti, ale na Android, môžete to urobiť, a samozrejme, na BlackBerry, môžete to urobiť taky. Je zaujímavé, že na BlackBerry všetko, čo potrebujete, je internet oprávnenia poslať textovú správu SMS. Ďalšia vec, naozaj, že sa pozrieme na keď sa pozeráme, či je niečo škodlivého, je len nejaký druh neoprávnená činnosť sietí, ako pozerať sa na činnosti siete aplikácia má mať jeho funkčnosť, a pozrieť sa na túto iné sieťové aktivite. Možno aplikácie, pracovať, musí získať dáta cez HTTP, ale ak to robí veci, cez e-mail alebo SMS alebo Bluetooth, alebo niečo také Teraz, že aplikácie by mohli byť nebezpečné, takže to je ďalšia vec, ktorú si môžete prezrieť na. A na tomto snímku tu mám niekoľko príkladov, ktoré. Ďalšia zaujímavá vec, ktorú sme videli s malware sa stalo v roku 2009, a stalo sa to vo veľkom štýle. Ja neviem, či sa to stalo, tak od tej doby, ale to bolo app že sa vydával za inú aplikáciu. Tam bol rad aplikácií, a to bolo nazvané útok 09Droid, a niekto sa rozhodol, že tam bolo veľa malých, regionálnych, stredne veľké banky že nemal on-line bankové aplikácie, takže to, čo urobil, bolo, že postavených asi 50 on-line bankové aplikácie že všetko, čo urobil, bolo, mať užívateľské meno a heslo a presmerovať vás na internetových stránkach. A tak dali to všetko v Google Marketplace, v Android Marketplace, a keď niekto hľadal, aby zistili, či ich banka Mal aplikácie, ktoré by sa nájsť falošné žiadosti, ktoré zhromažďujú svoje prihlasovacie údaje a potom presmerovaný do ich webových stránkach. Spôsobom, že to vlastne stalo, že aplikácia sa tam na pár týždňov, a tam boli tisíce a tisíce stiahnutie. Spôsob, ako to prišlo k svetlu bol niekto má problém s jednou z aplikácií, a nazvali svoju banku, a oni volali zákazníckej linke ich banky a povedal, "Mám problém s vašim mobilným bankovníctvo." "Môžeš mi pomôcť?" A oni povedali: "Nemáme bankové aplikácie pre mobilné." To začalo vyšetrovanie. Že banka s názvom Google, a potom Google pozrel a povedal: "Wow, rovnaký autor napísal 50 bankových aplikácií," a vzal ich všetky dole. Ale určite sa to mohlo stať znovu. Tu je zoznam všetkých rôznych bánk tu ktoré boli súčasťou tohto podvodu. Ďalšia vec, ktorú aplikácia môže urobiť, je prítomný UI z inej aplikácie. Aj keď je to beh by to mohlo vyskočí na Facebook UI. To hovorí, že budete musieť dať do svojho užívateľského mena a hesla, aby aj naďalej alebo dať do ľubovoľnej užívateľské meno a heslo užívateľské rozhranie pre webové stránky že možno užívateľ používa len k pokusu oklamať užívateľa do uvedenia svojich prihlasovacích údajov palcov To je naozaj rovno paralelne z e-mailovej útoky typu phishing kde vám niekto pošle e-mailovú správu a poskytuje v podstate falošné rozhrania pre webové stránky že máte prístup. Ďalšia vec, ktorú hľadáme škodlivého kódu je modifikácia systému. Môžete sa pozrieť na všetky volania API, ktoré vyžadujú oprávnením root vykonať správne. Zmena web proxy daného zariadenia by bolo niečo, čo aplikácie by nemal byť schopný robiť. Ale v prípade, že aplikácia má kód tam k tomu, že viete, že je to pravdepodobne škodlivý aplikácie alebo veľmi vysoko pravdepodobné, že sa jedná o nebezpečnú aplikáciu, a tak čo by sa stalo, je, že aplikácia bude mať nejaký spôsob, ako stupňujúci privilégium. Mala by mať nejaké zvýšenie úrovne oprávnenia využívať v aplikácii, a potom ešte raz to eskalovalo oprávnenia že by to tieto systémové zmeny. Nájdete malware, ktorý má oprávnenie eskalácii v ňom aj bez znalosti, ako sa zvýšenie úrovne oprávnenia využitie sa bude diať, a to je pekné, jednoduchý spôsob, hľadať malware. DroidDream bol pravdepodobne najslávnejší kus Android malware. Myslím, že to ovplyvnilo asi 250.000 užívateľov po dobu niekoľkých dní pred tým, než bolo zistené. Oni prebaliť 50 falošné aplikácie, dať do Android App Store, a v podstate je použitý Android jailbreak kód eskalovať privilégiá a potom nainštalovať velenia a riadenia a zapnite všetky obete do topánok siete, ale mohli ste objavili tento ak ste skenovanie aplikácie a len hľadáte API volanie, ktoré vyžaduje povolenie root spustiť správne. A tu je príklad tu mám, ktorý sa mení proxy, a to v skutočnosti je k dispozícii len na Android. Môžete vidieť Dávam vám veľa príkladov na Android pretože to je miesto, kde najaktívnejší malware ekosystém je pretože je to pre útočníka veľmi ľahké sa dostať škodlivý kód do Android Marketplace. Nie je to tak ľahké, že v Apple App Store pretože Apple vyžaduje, aby vývojárom spoznať seba a podpísať kód. Sú to vlastne zistiť, kto ste, a Apple je vlastne posúdenie žiadostí. Nechceme vidieť veľa skutočné malware, kde je zariadenie stále ohrozená. Budem hovoriť o niektorých príkladoch, kde je to naozaj súkromie, ktoré je stále ohrozená, a to je to, čo sa skutočne deje na zariadenia Apple. Ďalšia vec, ktorú sa pozrieť na výskyt škodlivého kódu, riskantné kód zariadenia Je logické alebo časované bomby a časované bomby sú pravdepodobne oveľa jednoduchšie hľadať, než logických bômb. Ale s časovaných bômb, čo môžete urobiť, je sa môžete pozrieť na miesta v kóde, kde je testovaná čas alebo absolútny čas sa hľadá Pred určité funkcie v aplikácii deje. A to by mohlo byť vykonané skryť túto činnosť od užívateľa, tak sa to deje neskoro v noci. DroidDream robil všetku svoju činnosť medzi dvadsať tri hodín a 8 hodín ráno miestneho času pokúsiť sa urobiť to, keď používateľ nemusí používať ich zariadenia. Ďalší dôvod k tomu je, ak sú ľudia používajú behaviorálne analýzu aplikácie, spustenie aplikácie do karantény, aby videli, čo správanie aplikácie je, môžu využiť čas na základe logiky urobiť aktivitu keď aplikácia nie je na pieskovisku. Napríklad, App Store ako Apple spustí aplikáciu, ale pravdepodobne nie sú v rozpore každú žiadosť, povedzme, 30 dní pred jej schválením, takže si môžete dať logika v aplikácii, ktorý povedal, v poriadku, len urobiť zlú vec po 30 dňoch je preč, alebo po 30 dňoch po publikovaní dátume podania žiadosti, a ktoré môžu pomôcť škodlivého kódu kožu z ľudí inšpekciu na to. Je-li anti-virus spoločnosti sú spustené veci v pieskovísk alebo app samotné obchody sú to môže pomôcť skryť, že z tejto prehliadky. Teraz, odvrátenou stranou, že je to ľahké nájsť s statickú analýzu, takže vlastne inšpekciu kód môžete pozrieť na všetky miesta, kde sa aplikácie testuje čas a skontrolujte, že tak. A tu mám nejaké príklady na týchto 3 rôznych platformách ako môže byť čas skontrolovať pomocou app výrobcu takže viete, na čo sa zamerať, ak ste kontrolu aplikácie staticky. Som prešiel veľa rôznych škodlivých aktivít ktoré sme videli vo voľnej prírode, ale ktoré z nich sú najčastejšie? To isté štúdie z North Carolina State Mobile Genome Project zverejnené niektoré údaje, a tam boli v podstate štyri oblasti že videli tam, kde bola kopa aktivít. 37% z aplikácií robil oprávnenie eskalácii, aby mali nejaký druh jailbreak kódu tam kde sa snažili stupňovať oprávnenie, aby mohli sa príkazy API beží ako operačný systém. 45% z aplikácií tam robil Premium SMS, tak to je veľké percento, ktoré sa snažia priamo speňažiť. 93% áno diaľkové ovládanie, takže sa snažili nastaviť topánok sieť, mobilného topánok sieť. A 45% zozbierané identifikačné údaje ako sú telefónne čísla, UUID, umiestnenie GPS, užívateľských účtov, a to pridáva až na viac ako 100, pretože väčšina malware sa snaží robiť niektoré z týchto vecí. Chystám sa prejsť do druhej polovice a hovoriť o zraniteľnosti kódu. Toto je druhá polovica riskantné činnosti. To je miesto, kde v podstate je developer robiť chyby. Legitímna developer písať legitímne aplikácie robí chyby, alebo je neznalý o rizikách mobilné platformy. Oni jednoducho nevedia, ako sa urobiť bezpečné mobilné aplikácie, alebo niekedy developer sa nestará o uvedení užívateľa v ohrození. Niekedy je súčasťou ich obchodného modelu by mohlo byť úrodu osobné údaje užívateľa. To je niečo ako druhej kategórie, a to je dôvod, prečo niektoré z týchto škodlivý proti legitímne začne krvácať konca, pretože tam je rozdiel názorov medzi tým, čo užívateľ chce a čo užívateľ považuje za riskantné a to, čo vývojár aplikácie považuje za riskantné. Samozrejme, že to nie je dát vývojárov aplikácií je vo väčšine prípadov. A nakoniec, iný spôsob, ako sa to stane, je developer môže spojiť v zdieľaná knižnica, ktorá má slabé miesta alebo toto rizikové správanie v ňom unbeknownst k nim. Prvá kategória je citlivý úniku dát, , A to je, keď aplikácia zhromažďuje informácie ako je umiestnenie, adresáre, informácie vlastníka a vysiela, že mimo zariadenia. A akonáhle je to mimo zariadenie, nevieme, čo sa deje s týmito informáciami. Mohlo by to byť uložené neisto vývojár aplikácie. Videli sme vývojári aplikácií sa ohrozená, a údaje, ktoré oni ukladanie dostane prijatá. To sa stalo pred niekoľkými mesiacmi na developera na Floride kde obrovské množstvo, to bol iPad UUID a názvy zariadení bola prepustená preto, že niekto, myslím, že to bol anonymný, vyhlasoval, že to, vlámal do serverov tohto vývojára a ukradol milióny iPad UUID a názvy počítačov. Nie najrizikovejšie informácie, ale čo keď to bolo ukladanie užívateľských mien a hesiel a adresy domov? Je tu veľa aplikácií, ktoré ukladajú tento druh informácií. Riziko je tu. Ďalšia vec, ktorá sa môže stať, ak je developer nebude starať zabezpečiť dátový kanál, a to je ďalšia veľká zraniteľnosť budem hovoriť, že je odosielané do jasné. Ak užívateľ na verejnej sieti Wi-Fi alebo niekto ňuchania internet niekde po ceste, ktoré dáta sú vystavené. Jeden veľmi slávny prípad tohto úniku informácií sa stalo s Pandora, a to je niečo, čo sme skúmali na Veracode. Počuli sme, že to tam bolo, myslím, že to bol Federal Trade Commission Vyšetrovanie sa deje s Pandore. Povedali sme si, "Čo sa to tam deje? Poďme začať kopať do aplikácie Pandora." A to, čo sme zistili, bola aplikácia Pandora zhromažďované vaše pohlavie a váš vek, a tiež prístup k vašej GPS polohy a aplikácie Pandora urobil to, čo hovorili, bolo oprávnené dôvody. Hudba, ktorú hrali, Pandora je streamovanie hudby app- hudba, ktorú hrali bola licencovaná iba v Spojených štátoch, tak museli skontrolovať, v súlade s ich licenčnými dohodami, ktoré mali pre hudbu, aby používateľ bol v Spojených štátoch. Chceli tiež, aby v súlade s Parental Advisory okolo dospelý jazyk v hudbe, a tak je to dobrovoľný program, ale chceli, aby v súlade s tým a nie hrať explicitné texty pre deti 13 a pod. Mali legitímne dôvody na zber týchto dát. Ich aplikácia mal povolenie, ako to urobiť. Užívatelia myslel, že toto bolo legitímne. Ale čo sa stalo? Sú spojené do 3 alebo 4 rôznych reklamných knižníc. Teraz zrazu všetkých týchto reklamných knižnice sú stále prístup k týmto rovnakým informáciám. AD knižnice, keď sa pozriete na kód v reklamných knižniciach to, čo robia, je umiestnený v každom inzeráte knižnica hovorí "Má moje app mať oprávnenie získať polohu GPS?" "Ach, to? Dobre, povedz mi GPS polohu." Každý ad knižnica robí, a v prípade, že aplikácia nemá oprávnenie GPS nebude môcť dostať, ale ak áno, bude to dostať. To je miesto, kde obchodný model inzerátu knižníc je protichodný k súkromie užívateľov. A tam bolo štúdie, že tam bude hovoriť, ak viete, vek osoby a poznáte ak ich umiestnenie kde sa v noci spať, pretože máte svoje GPS súradnice zatiaľ čo oni možno spí, budete presne vedieť, kto tá osoba je pretože si môžete určiť, ktorý člen tejto domácnosti je osoba. Naozaj je to identifikácia pre inzerentov presne, kto ste, a vyzerá to, že to bolo legitímne. Chcem len môj streaming hudby, a to je jediný spôsob, ako ho získať. No, sme vystavení to. To sme písali v niekoľkých príspevkoch, a ukázalo sa, že niekto z časopisu Rolling Stone prečítajte si jednu z našich blogov a napísal svoje vlastné blog v Rolling Stone o tom, a hneď ďalší deň Pandora si myslel, že je to dobrý nápad odstrániť reklamné knižníc z ich použitia. Pokiaľ je mi známe, sú-oni len je treba pochváliť. Myslím, že sú len freemium typ aplikácie, ktorá to urobila. Všetky ostatné Freemium aplikácie majú rovnaký správanie, tak musíš premýšľať o tom, aký druh dát dávate Tieto Freemium aplikácie, pretože je to všetko deje k inzerentom. Praetorian tiež robil štúdiu o zdieľaných knižníc a povedal, "Poďme sa pozrieť na to, čo zdieľané knižnice sú top zdieľané knižnice," a to, že údaje. Analyzovali 53.000 aplikácií, a číslo 1 zdieľaná knižnica bola AdMob. Bolo to vlastne v 38% aplikácií tam, tak 38% z aplikácií, ktorú používate je pravdepodobné, zber vaše osobné údaje a odovzdať ho do reklamných sietí. Apache a Android bolo 8% a 6%, a potom tieto iné tie dole v spodnej časti, Google reklamy, Flurry, Mob City a Millennial Media, to všetko sú reklamné spoločnosti, a potom, je dosť zaujímavé, 4% sa viaže v knižnici Facebook Pravdepodobne k tomu overovanie cez Facebook aby aplikácia mohla overiť na Facebook. Ale to tiež znamená, že spoločnosť Facebook ovláda kód že beží v 4% z Android mobilných aplikácií tam, a majú prístup k všetkým údajom, že aplikácia má oprávnenie sa dostať na. Facebook v podstate sa snaží predať reklamný priestor. To je ich obchodný model. Keď sa pozriete na celý tento ekosystém s týmito oprávneniami a zdieľané knižnice začnete vidieť, že Máte veľa rizík v údajne legitímne aplikácie. Rovnaký podobné, čo sa stalo s Pandora Stalo sa aplikácia s názvom Cesta, a Path si mysleli, že sú ústretoví, priateľskí vývojári. Oni sa len snaží, aby vám skvelý užívateľský zážitok, a ukázalo sa, že bez vyzvania užívateľa, alebo užívateľ musí byť oboznámený, niečo, a to sa stalo na iPhone a Android, Pandora app bola na iPhone a Android- že žiadosť Cesta bola chytil celý adresár a nahrať ju do cesty vo chvíli, kedy ste nainštalovali a spustili aplikáciu, a nepovedal ti o tom. Mysleli si, že to bolo naozaj užitočné pre vás aby bolo možné zdieľať so všetkými ľuďmi vo vašom adresári že ste pomocou aplikácie Path. No, samozrejme Cesta myslel, že toto bolo skvelé pre ich spoločnosť. Nie je to tak veľký užívateľmi. Musíte si myslieť, že to je jedna vec, pokiaľ možno teenager sa pomocou tejto aplikácie a ich desiatky priateľov sú tam, ale čo keď je to generálny riaditeľ spoločnosti, ktorá inštaluje cesta a potom zrazu ich celého adresára je tam? Budeš mať veľa potenciálne cenné kontaktné informácie pre mnoho ľudí. Reportér z New York Times, mali by ste byť schopní získať telefónne číslo bývalých prezidentov z ich adresára, tak samozrejme veľa citlivých informácií je prevedená s niečím, ako je tento. Tam bola taká veľká klapka o tom, že cesta sa ospravedlnil. Oni zmenili si ich aplikáciu, a to dokonca aj dopad Apple. Povedal, Apple, "Chystáme sa nútiť app dodávateľa vyzvať užívateľa v prípade, že sa chystáte zbierať celý svoj adresár. " Vyzerá to, že to, čo sa tu deje, je keď je tu jeden veľký porušenie súkromia a to robí tlače vidíme zmenu tam vonku. Ale samozrejme, je tu ďalšie veci tam vonku. Aplikácie LinkedIn žne svoje záznamy kalendára, ale Apple nerobí užívateľ vyzvaný o tom. Záznamy v kalendári môžu mať citlivé informácie v nich taky. Kam sa chystáte na čiaru? To je naozaj druh vyvíjajúci miesto tam, kde to naozaj nie je dobré štandardné vonku pre užívateľa k pochopeniu, keď sa ich informácie bude v ohrození a keď budeš vedieť, že je prijímaná. Písali sme o aplikácii na Veracode názvom Adios, a v podstate je povolené môžete upozorniť aplikáciu na vašom adresári iTunes a pozrieť sa na všetky žiadosti, ktoré boli úrodu svoje celé adresáre. A ako môžete vidieť na tomto zozname tu, Angry Birds, AIM, AROUND. Prečo Angry Birds potrebujete adresára? Ja neviem, ale to robí nejako. To je niečo, čo mnoho, mnoho aplikácií robiť. Môžete si prezrieť kód pre tento. K dispozícii je dobre definované rozhranie API pre iPhone, Android a BlackBerry aby sa v adresári. Môžete naozaj ľahko kontrolovať na to, a to je to, čo sme urobili v našom Adios aplikácii. Ďalšie kategórie, Nebezpečný Sensitive Data Storage, je niečo, kde vývojári brať niečo ako pin alebo číslo účtu alebo heslá a uložte ich v jasnej na zariadení. Ešte horšie je, môže sa ukladať je v oblasti na telefóne ktorý je celosvetovo prístupný, rovnako ako na SD kartu. Vidíte to častejšie na Androide, pretože Android umožňuje na pamäťovú kartu SD. IPhone zariadenie nie. Ale my sme ešte videli to stalo v aplikácii Citigroup. Ich on-line bankové aplikácie uložená čísla účtov neisto, práve jasné, takže ak ste stratili zariadenie, v podstate ste stratili svoj bankový účet. To je dôvod, prečo som osobne nerobím bankovníctva na mojom iPhone. Myslím, že teraz je to príliš riskantné robiť takéto aktivity. Skype urobil to isté. Skype, samozrejme, má zostatok na účte, užívateľské meno a heslo že prístup k tejto rovnováhy. Boli ukladanie všetky tieto informácie v jasnej, na mobilnom zariadení. Mám niekoľko príkladov tu o vytváranie súborov že nemajú správne oprávnenie alebo zápis na disk a nemajú akékoľvek šifrovanie stalo za to. Táto ďalšia oblasť, Nebezpečný Sensitive Prenos dát, Som sa zmieňoval o to niekoľkokrát, a pretože verejné Wi-Fi pripojenie na internet to je niečo, čo Apps nevyhnutne potrebujú k tomu, a to je asi to, čo vidíme pokaziť najviac. Povedal by som, naozaj, myslím, že mám aktuálne dáta, ale je to blízko na polovicu mobilných aplikácií skrutka sa robí SSL. Oni jednoducho nemajú správne používať rozhrania API. Myslím, že všetko, čo musíš urobiť, je riadiť sa pokynmi a používať rozhranie API, ale oni sa veci, ako je nekontroluje, či je neplatný certifikát na druhom konci, nie skontrolujte, či je druhý koniec sa snaží urobiť protokol downgrade útoku. Vývojári, chcú, aby si ich zaškrtávacie políčko, hneď? Ich požiadavka je použiť na predaj. Už používal toto na predaj. Táto požiadavka je nepoužívať to bezpečne predať, a tak to je dôvod, prečo všetky aplikácie, ktoré používajú protokol SSL pre zabezpečenie dát ako je to sa prenáša mimo zariadenie skutočne musí byť kontrolované Uistite sa, že bol správne implementovaný. A tu mám niekoľko príkladov, kde môžete vidieť aplikácie môžu byť pomocou protokolu HTTP miesto HTTPS. V niektorých prípadoch aplikácie spadne späť do HTTP ak HTTPS nefunguje. Mám ďalší hovor tu na Androide, kde som vypnutú kontrolou certifikátu, takže sa môže stať, útok man-in-the-middle. Budú prijímané neplatný certifikát. Jedná sa o všetky prípady, kedy útočníci sa bude môcť dostať na rovnakej Wi-Fi pripojenie ako užívateľ a prístup všetkých dát ktorý je odosielaný cez internet. A konečne posledná kategória I tu je napevno heslo a kľúče. V skutočnosti sme vidieť mnoho vývojárov používať rovnaké kódovanie štýl že oni robili, keď stavali web serverových aplikácií, takže staviate Java aplikačný server, a oni kódujete kľúč. No, keď staviate serverovú aplikáciu, jo, kódujete kľúč nie je dobrý nápad. To je ťažké zmeniť. Ale nie je to tak zlé, na strane servera, pretože kto má prístup na strane servera? Iba správcovia. Ale ak budete mať rovnaký kód a môžete ju vyleje na mobilné aplikácie Teraz každý, kto má, že mobilné aplikácie má prístup k tomuto hardcoded kľúč, a my sme vlastne vidieť mnohokrát, a mám nejaké štatistiky na tom, ako často vidíme to stalo. V skutočnosti to bolo v príklade kóde, ktorý MasterCard zverejneného o tom, ako využiť ich služieb. Príklad kódu ukazuje, ako by ste jednoducho vziať heslo a vložte ho do hardcoded reťazca tam, a my vieme, ako vývojári radi skopírovať a vložiť kód, ktorý umiestnite keď sa snažíte niečo urobiť, tak si skopírujte a vložte fragment kódu že dal ako príklad kódu, a máte neistý aplikácie. A tu máme pár príkladov. Prvý z nich je tá, ktorú sme vidieť veľa, kde sa napevno dát priamo do adresy URL, ktorá sa dostane poslal. Niekedy vidíme reťazec password = heslo. To je celkom jednoduché odhaliť, alebo reťazec heslo na BlackBerry a Android. Je to vlastne celkom jednoduché skontrolovať, pretože takmer vždy mená developer premenných, ktoré sa držia hesla nejaká zmena hesla. Zmienil som sa, že budeme robiť statickej analýzy na Veracode, takže sme analyzovali niekoľko stoviek aplikácií Android a iOS. Vytvorili sme všetky modely z nich, a sme schopní ich kontrolovať pre rôzne zraniteľnosti, najmä zraniteľnosť som hovoril, a mám niektoré údaje tu. 68,5% z Android aplikácií sme sa pozreli na porušil kryptografický kód, ktoré pre nás, nemôžeme zistiť, či ste so svojou vlastnou šifrovacie rutiny, nie, že je to dobrý nápad, ale je to vlastne s použitím publikovaných rozhrania API ktoré sú na platforme, ale robiť je takým spôsobom, že crypto by byť zraniteľný, 68.5. A to je pre ľudí, ktorí sú nám zašlite svoje žiadosti v skutočnosti, pretože si myslí, že je to dobrý nápad urobiť testovanie zabezpečenia. Jedná sa už ľudia, ktorí sú pravdepodobne bezpečne myslenia, takže je to asi ešte horšie. Nehovoril som o linky injekčného podávania ovládanie. Je to niečo, čo skontrolovať, ale to nie je tak riskantné záležitosť. Úniku informácií, to je miesto, kde sa citlivé dáta odosielané mimo zariadenia. Zistili sme, že v 40% žiadostí. Čas a štát, to sú otázky, závod typu stav, zvyčajne dosť ťažko využiť, tak som sa o tom hovoriť, ale my sme sa na to pozeral. 23% malo problémy s SQL injection. Veľa ľudí nevie, že mnoho aplikácií použiť malý malý SQL databázy na svojom zadnom konci pre ukladanie dát. No, v prípade, že údaje, ktoré ste chytil cez sieť má SQL injection útok reťazca v ňom niekto môže ohroziť zariadenia cez to, a tak myslím, že sme si asi 40% webových aplikácií majú tento problém, , Čo je veľký problém epidémie. Nájdeme to 23% času v mobilných aplikáciách a to pravdepodobne preto, že mnoho ďalších webových aplikácií pomocou SQL, ako mobilné telefóny. A potom sme sa ešte pozrieť na nejaké cross-site scripting, problémy autorizácie, a potom poverenia pre správu, ktorý je miesto, kde máte hardcoded heslo. V 5% žiadostí vidíme, že. A potom máme nejaké údaje o iOS. 81% malo problémy spracovania chýb. To je väčší problém kvality kódu, ale 67% malo kryptografické problémy, takže nie je tak zlé, ako Android. Možno, že API je trochu jednoduchšie, že príklad kódy trochu lepšie na iOS. Ale stále veľmi vysoké percento. Mali sme 54% sa úniku informácií, asi 30% s chybami správy vyrovnávacej pamäti. To je miest, kde by mohli byť problém poškodenie pamäti. Ukazuje sa, že to nie je tak veľký problém pre využitie na iOS, pretože celý kód musí byť podpísaná, takže je to ťažké pre útočníkovi spustiť ľubovoľný kód na iOS. Kvalita kódu, prehliadania adresárov, ale potom vedenie tu na 14,6% poverenia, tak horší, než na Android. Máme ľudia, ktorí nie sú správne spracovanie hesla. A potom numerických chýb a buffer overflow, tie sú viac bude kvalitné Kód problémy na iOS. Tak to bolo pre moje prezentáciu. Neviem, či sme mimo čas, alebo nie. Ja neviem, či tam je nejaké otázky. [Muž] Rýchly otázku okolo fragmentácie a Android Market. Apple aspoň vlastné zaplátanie. Robia dobrú prácu dostať ho tam, zatiaľ čo menej, takže v Android priestore. Skoro si treba útek z väzenia váš telefón stále aktuálne s aktuálnou verziou Androidu. Jo, to je obrovský problém, a tak, ak si myslíte, že o- [Muž] Prečo nemôžeš to opakovať? Oh, jo, takže otázka je to, čo o fragmentácii operačného systému na platforme Android? Ako to, že vplyv na rizikovosť týchto zariadení? A v skutočnosti je obrovský problém, pretože to, čo sa stane, je staršie zariadenia, keď niekto príde s jailbreak pre dané zariadenie, v podstate to je zvýšenie úrovne oprávnenia, a až kým sa systém je aktualizovaný akýkoľvek malware potom môžete použiť tento problém zabezpečenia, aby úplne ohroziť zariadenie, a to, čo vidíme na Android je, aby si nový operačný systém Google má dať z operačného systému, a potom sa na výrobcu hardvéru musí ju prispôsobiť, a potom je dopravca ju upraviť a doručiť ju. Máte v podstate tri pohyblivé tu dielov, a to otáčaním na to, že dopravcovia nezaujíma, a výrobcovia hardvéru nezaujíma, a Google nie je ich podpichovanie dosť niečo urobiť, takže v podstate viac ako polovica zariadení tam, majú operačné systémy, ktoré majú tieto výsady eskalácie zraniteľnosti v nich, a tak ak máte malware vo vašom zariadení so systémom Android je to oveľa väčší problém. Dobre, ďakujem vám. [Potlesk] [CS50.TV]