[Seminar] [Amddiffyn Tu ôl i'r Dyfais: Diogelwch Cais Symudol] [Chris Wysopal] [Prifysgol Harvard] [Mae hyn yn CS50.] [CS50.TV] Prynhawn da. Fy enw i yw Chris Wysopal. Fi yw'r CTO a chyd-sylfaenydd Veracode. Veracode yn gwmni diogelwch cymwysiadau. Rydym yn profi pob math o wahanol geisiadau, a'r hyn yr wyf i'n mynd i siarad amdano heddiw yw diogelwch cymwysiadau symudol. Fy nghefndir yn Rydw i wedi bod yn gwneud gwaith ymchwil diogelwch am amser hir iawn, yn ôl pob tebyg am cyn belled ag unrhyw un. Dechreuais yng nghanol y 90au, ac yr oedd yn amser a oedd yn eithaf diddorol, oherwydd cawsom newid patrwm yng nghanol y 90au. Mae pob un o'r gyfrifiadur pawb sydyn yn ei fachog i fyny at y rhyngrwyd, ac yna cawsom y dechreuadau geisiadau ar y we, a dyna beth yr wyf yn canolbwyntio ar lawer bryd hynny. Mae'n ddiddorol. Nawr rydym wedi newid patrwm arall digwydd gyda cyfrifiadurol, sef y newid i geisiadau symudol. Rwy'n teimlo ei fod yn fath o gyfnod tebyg, yna yr oedd yn y 90au hwyr pan oeddem yn ymchwilio ceisiadau ar y we a dod o hyd i ddiffygion fel gwallau rheoli sesiwn a chwistrellu SQL sydd ddim wir yn bodoli o'r blaen, ac yn sydyn eu bod yn ym mhob man mewn ceisiadau ar y we, ac yn awr mae llawer o'r amser yr wyf yn treulio yn edrych ar geisiadau symudol ac edrych ar yr hyn sy'n digwydd yn y maes yn y gwyllt. Ceisiadau symudol yn wir yn mynd i fod yn llwyfan cyfrifiadurol dominyddol, felly mae'n rhaid i ni dreulio llawer o amser os ydych yn y diwydiant diogelwch canolbwyntio ar geisiadau ar y we. Roedd 29000000000 apps symudol llwytho i lawr yn 2011. Mae disgwyl i fod yn 76000000000 apps erbyn 2014. Mae 686,000,000 dyfeisiau sy'n mynd i gael eu prynu eleni, felly dyma lle mae pobl yn mynd i fod yn gwneud  y rhan fwyaf o'u cyfrifiadurol cleient wrth symud ymlaen. Oeddwn yn siarad â is-lywydd ar Buddsoddiadau Fidelity cwpl o fisoedd yn ôl, ac efe a ddywedodd eu bod yn jyst yn gweld mwy o draffig gwneud trafodion ariannol gan eu sylfaen cwsmeriaid ar eu cais symudol nag ar eu gwefan, felly mae defnydd cyffredin ar gyfer y We yn y gorffennol wedi bod yn edrych ar eich dyfyniadau stoc, rheoli eich portffolio, ac rydym yn mewn gwirionedd yn gweld hynny yn 2012 newid dros i fod yn fwy amlwg ar y llwyfan symudol. Yn sicr os mae mynd i fod yn unrhyw weithgaredd troseddol, unrhyw weithgaredd maleisus, mae'n mynd i ddechrau i ganolbwyntio ar y llwyfan symudol dros amser wrth i bobl newid drosodd i hynny. Os ydych yn edrych ar y llwyfan symudol, i edrych ar y risgiau y llwyfan mae'n ddefnyddiol i dorri i lawr yn y gwahanol haenau, yn union fel y byddech yn ei wneud ar gyfrifiadur n ben-desg, a'ch bod yn meddwl am y gwahanol haenau, meddalwedd, system weithredu, haen rhwydwaith, haen caledwedd, ac wrth gwrs, mae yn agored i niwed ar yr holl haenau hynny. Mae'r un peth yn digwydd ar ffôn symudol. Ond symudol, mae'n ymddangos bod rhai o'r haenau hynny yn waeth eu byd. Ar gyfer un, yr haen rhwydwaith yn fwy o broblem ar ffôn symudol oherwydd bod llawer o bobl yn eu swyddfa neu yn y cartref cysylltiadau gwifrau neu mae ganddynt gysylltiadau Wi-Fi diogel, a chyda llawer o ddyfeisiau symudol ydych yn amlwg y tu allan i'r cartref neu y tu allan i'r swyddfa llawer, ac os ydych yn defnyddio Wi-Fi yno efallai y byddwch yn defnyddio cysylltiad Wi-Fi ansicr, rhywbeth sy'n cysylltiad Wi-Fi cyhoeddus, felly pan fyddwn yn meddwl am apps symudol mae'n rhaid i ni gymryd i ystyriaeth bod yr amgylchedd rhwydwaith yn fwy peryglus gyfer y ceisiadau hynny pan Wi-Fi yn cael ei ddefnyddio. A phan fyddaf yn mynd i mewn fwy o'r risgiau cais symudol byddwch yn gweld pam mae hynny'n fwy pwysig. Mae risgiau ar y lefel caledwedd ar ddyfeisiau symudol. Mae hwn yn faes o ymchwil barhaus. Mae pobl yn galw ymosodiadau band eang hyn neu ymosodiadau baseband ble rydych yn ymosod ar y firmware sy'n cael ei gwrando ar y radio. Mae'r rhain yn wirioneddol ymosodiadau brawychus gan fod nid oes rhaid i'r defnyddiwr i wneud unrhyw beth. Gallwch taro llawer o ddyfeisiau o fewn yr ystod RF ar unwaith, ac mae'n ymddangos fel pryd bynnag ymchwil hon swigod i fyny yn gyflym yn cael ei dosbarthu lle pobl plymio mewn o gwmpas ac yn dweud, "Yma, dywedwch wrthym am hynny, ac os gwelwch yn dda roi'r gorau i siarad am y peth." Mae rhywfaint o ymchwil yn mynd ymlaen yn yr ardal band eang, ond mae'n ymddangos i fod yn tawelwch tawelwch iawn. Rwy'n credu ei fod yn fwy o fath cenedl cyflwr o ymchwil sy'n mynd ymlaen. Maes ymchwil gweithredol, fodd bynnag, yw'r haen system weithredu, ac unwaith eto, mae hyn yn wahanol nag yn y byd cyfrifiadurol n ben-desg oherwydd yn y gofod symudol gennych timau hyn o bobl a elwir yn jailbreakers, ac jailbreakers yn wahanol nag ymchwilwyr yn agored i niwed yn rheolaidd. Maent yn ceisio dod o hyd gwendidau yn y system weithredu, ond nid y rheswm eu bod yn ceisio dod o hyd i'r gwendidau yw torri i mewn i beiriant rhywun arall ac yn cyfaddawdu ei. Mae'n i dorri i mewn eu cyfrifiadur eu hunain. Maent am i dorri i mewn i eu ffôn symudol eu hunain, addasu system weithredu eu ffôn symudol eu hunain fel eu bod yn gallu rhedeg y ceisiadau o'u dewis a newid pethau gyda chaniatâd gweinyddol llawn, ac nid ydynt am i ddweud wrth y gwerthwr am hyn. Dydyn nhw ddim yn hoffi ymchwilydd diogelwch sydd yn ymchwilydd diogelwch het wen sydd yn mynd i wneud datgeliad cyfrifol a dweud wrth y gwerthwr am y peth. Maent yn awyddus i wneud gwaith ymchwil hwn, ac maent am ei gyhoeddi mewn gwirionedd mewn fanteisio neu rootkit neu god jailbreak, ac maent yn awyddus i wneud hynny yn strategol, fel dde ar ôl y llongau gwerthwr y system weithredu newydd. Mae gennych berthynas gwrthwynebus yn agored i niwed ar lefel AO ar y ffôn symudol, yr wyf yn meddwl yn eithaf diddorol, ac un lle rydym yn ei weld yn ei gwneud yn fel bod yna god a gyhoeddwyd manteisio da ar gael ar gyfer gwendidau ar lefel cnewyllyn, ac yr ydym wedi gweld hynny mewn gwirionedd yn cael ei ddefnyddio gan awduron malware. Mae'n ychydig yn wahanol na'r byd PC. Ac yna yr haen olaf yw'r haen uchaf, yr haen cais. Dyna beth yr wyf i'n mynd i siarad am heddiw. Mae'r haenau eraill yn bodoli, a'r haenau eraill yn chwarae i mewn iddo, ond rwy'n mynd yn bennaf i siarad am yr hyn sy'n mynd ymlaen yn yr haen cais lle cod yn rhedeg yn y pwll tywod. Nid oes ganddo breintiau gweinyddol. Mae'n rhaid iddo ddefnyddio'r APIs y ddyfais, ond eto, gall llawer o weithgaredd maleisus a llawer o risg yn digwydd ar y haen oherwydd dyna yw'r haen lle mae'r holl wybodaeth. Gall apps gael mynediad at yr holl wybodaeth ar y ddyfais os oes ganddynt y caniatadau cywir, a gallant gael mynediad at y gwahanol synwyryddion ar y ddyfais, Synhwyrydd GPS, meicroffon, camera, beth ydych chi. Hyd yn oed er ein bod yn siarad am ar yr haen cais mae gennym lawer o berygl yno. Y peth arall sy'n wahanol am yr amgylchedd symudol yn yr holl chwaraewyr system weithredu, boed yn Android BlackBerry neu neu iOS neu Windows symudol, maent i gyd yn fodel ganiatâd graen mân, ac mae hyn yn un o'r ffyrdd y maent yn eu hadeiladu i mewn i'r system weithredu y syniad bod nid yw mor beryglus ag y byddwch yn ei feddwl. Hyd yn oed er eich bod wedi eich holl gysylltiadau ar yno, eich holl wybodaeth bersonol, ydych wedi eich lluniau, mae gennych eich lleoliad ar yno, eich bod yn storio eich pin banc ar gyfer auto mewngofnodi ar yno, ei fod yn ddiogel oherwydd rhaid i apps i gael rhai ganiatâd i gael mewn rhai rhannau o'r wybodaeth ar y ddyfais, ac mae'r defnyddiwr yn gorfod cael eu cyflwyno gyda caniatadau hyn a dweud iawn. Y broblem gyda hynny yw y defnyddiwr bob amser yn dweud iawn. Fel person diogelwch, yr wyf yn gwybod y gallwch chi annog y defnyddiwr, dweud rhywbeth drwg iawn yn mynd i ddigwydd, a ydych am i hyn ddigwydd? Ac os ydyn nhw ar frys neu os oes rhywbeth gwirioneddol ddenu ar yr ochr arall o hynny, fel gêm yn mynd i gael ei osod eu bod wedi bod yn aros am, maen nhw'n mynd i glicio iawn. Dyna pam yr wyf yn dweud ar fy sleid yma dim ond gadewch i mi fling adar yn y moch yn barod, a gallwch weld ar y sleid yma mae enghreifftiau o flwch caniatâd BlackBerry. Mae'n dweud "os gwelwch yn dda gosod y caniatâd cais BlackBerry Teithio ar ôl clicio botwm isod, "ac yn y bôn y defnyddiwr yn unig yn mynd i ddweud gosod y caniatâd ac arbed. Dyma brydlon Android lle mae'n dangos pethau, ac mewn gwirionedd yn rhoi rhywbeth bod bron yn edrych fel rhybudd. Mae'n cael rhyw fath o arwydd cynnyrch yno yn dweud rhwydwaith cyfathrebu, ffoniwch ffôn, ond y defnyddiwr yn mynd i glicio osod, dde? Ac yna y un Apple yn gwbl ddiniwed. Nid yw'n rhoi unrhyw fath o rybudd. Dim ond y byddai Apple hoffi defnyddio eich lleoliad presennol. O gwrs yr ydych yn mynd i glicio iawn. Mae hyn yn fodel caniatâd graen mân, ac mae ganddynt apps i gael ffeil amlwg lle iddynt ddatgan y caniatadau sydd eu hangen arnynt, a fydd yn cael eu harddangos i'r defnyddiwr, a bydd yn rhaid i'r defnyddiwr i ddweud fy mod yn rhoi caniatadau hyn. Ond gadewch i ni fod yn onest. Defnyddwyr yn jyst yn mynd i bob amser yn dweud iawn. Gadewch i ni edrych yn sydyn ar y caniatadau a apps hyn yn gofyn am ac mae rhai o'r caniatadau sydd yno. Mae'r cwmni hwn oedd Praetorian arolwg y llynedd o 53,000 o geisiadau dadansoddi yn y marchnadoedd y farchnad a'r 3ydd parti Android, felly mae hwn yn holl Android. Ac mae'r app gyfartaledd gofyn am 3 caniatâd. Mae rhai apps Gofynnodd 117 caniatâd, felly mae'n amlwg y rhain yn iawn iawn graen mân ac yn ffordd rhy gymhleth ar gyfer defnyddiwr i ddeall os ydynt yn cyflwyno gyda app hwn y mae angen y rhain 117 caniatâd. Mae fel y cytundeb trwydded defnyddiwr terfynol sy'n 45 tudalen o hyd. Efallai cyn bo hir bydd ganddyn nhw opsiwn lle mae fel argraffwch y caniatadau, a anfon e-bost ataf. Ond os ydych yn edrych ar rai o'r caniatâd diddorol top 24% o'r apps y maent yn llwytho i lawr allan o'r 53,000 Gwybodaeth GPS y gofynnwyd amdani gan y ddyfais. 8% yn darllen y cysylltiadau. 4% anfonwyd SMS, a 3% yn derbyn SMS. 2% a gofnodwyd y sain. 1% brosesu galwadau allan. Nid wyf yn gwybod. Nid wyf yn meddwl 4% o'r apps yn y siop app 'n sylweddol angen i anfon negeseuon testun SMS, felly yr wyf yn credu bod hynny'n awgrym bod rhywbeth anffodus yn mynd ymlaen. Mae angen i 8% o'r apps i ddarllen eich rhestr cysylltiadau. Yn ôl pob tebyg nid yw'n angenrheidiol. Un o'r pethau diddorol arall am ganiatâd yn os ydych yn cysylltu mewn llyfrgelloedd a rennir i mewn i'ch cais y rhai etifeddu y caniatâd y cais, felly os oes angen i'r rhestr gyswllt eich app neu mae angen i'r lleoliad GPS i weithredu ac rydych yn cysylltu llyfrgell hysbysebu, er enghraifft, Bydd y llyfrgell honno ad hefyd yn gallu cael mynediad at y cysylltiadau ac hefyd yn gallu cael mynediad i'r lleoliad GPS, a'r datblygwr y app yn gwybod dim am y cod sy'n cael ei rhedeg yn y llyfrgell ad. Maent yn unig yn cysylltu hynny mewn oherwydd eu bod eisiau monetize eu app. Dyma lle-a byddaf yn siarad am rai enghreifftiau o hyn gyda rhaglen o'r enw Pandora lle mae datblygwr cais Efallai ddiarwybod fod yn gollwng gwybodaeth gan eu defnyddwyr oherwydd llyfrgelloedd maent wedi cysylltu i mewn Arolygu y tirlun i maes 'na, gan edrych ar yr holl wahanol apps sydd wedi cael eu hadrodd yn y newyddion gan nad oedd defnyddwyr rhywbeth maleisus neu wneud am ac yna archwilio llawer o apps-rydym yn gwneud llawer o ddadansoddiad deuaidd sefydlog ar apps symudol, felly rydym wedi archwiliwyd yn eu ac edrych ar y cod ei hun- daethom i fyny gyda'r hyn rydym yn galw ein rhestr 10 uchaf o ymddygiad peryglus mewn ceisiadau. Ac mae'n torri i lawr yn 2 adran, cod maleisus, felly mae'r rhain yn bethau drwg y gallai'r apps yn gwneud hynny yn debygol o fod yn rhywbeth y bydd unigolyn maleisus wedi rhoi yn benodol yn y cais, ond mae'n ychydig yn niwlog. Gallai fod yn rhywbeth y datblygwr yn credu yn iawn, ond mae'n dod i ben i fyny yn cael ei ystyried fel maleisus gan y defnyddiwr. Ac yna yr ail adran yn yr hyn a alwn codio yn agored i niwed, ac mae'r rhain yn bethau lle bydd y datblygwr yn y bôn yn gwneud camgymeriadau neu nid yn unig yn deall sut i ysgrifennu y app yn ddiogel,  ac mae hynny'n rhoi'r defnyddiwr app mewn perygl. Rydw i'n mynd i fynd drwy hyn yn fanwl ac yn rhoi rhai enghreifftiau. Er gwybodaeth, roeddwn i eisiau i roi i fyny y rhestr OWASP symudol 10 uchaf. Mae'r rhain yn y 10 materion y grŵp yn OWASP, Prosiect Agored We Diogelwch Cais, mae ganddynt gweithgor yn gweithio ar restr symudol top 10. Mae ganddynt restr enwog iawn top 10 ar y we, sef y 10 uchaf pethau riskiest gallwch ei gael mewn cais ar y we. Maen nhw'n gwneud yr un peth ar gyfer symudol, ac mae eu rhestr yn ychydig yn wahanol na'n rhai ni. 6 allan o'r 10 yr un fath. Mae ganddynt 4 sy'n wahanol. Rwy'n credu eu bod yn cael ychydig bach o agwedd wahanol ar risg mewn apps symudol lle mae llawer o eu problemau yn wir sut mae'r cais yn cyfathrebu â gweinydd yn ôl diwedd neu beth sy'n mynd ymlaen ar y gweinydd yn ôl diwedd, apps nid yn gymaint sydd â ymddygiad peryglus sy'n apps cleient yn unig syml. Y rhai mewn coch yma yw'r gwahaniaethau rhwng y 2 rhestrau. Ac mae rhai o fy tîm ymchwil mewn gwirionedd wedi cyfrannu at y prosiect hwn, felly byddwn yn gweld beth sy'n digwydd dros gyfnod o amser, ond yr wyf yn credu bod y prydau parod yma yw nid ydym yn wir yn gwybod yr hyn y mae'r rhestr 10 uchaf mewn apps symudol oherwydd maen nhw wedi gwirionedd dim ond bod o gwmpas am 2 neu 3 blynedd yn awr, ac ni fu digon o amser i ymchwilio i'r systemau gweithredu mewn gwirionedd a'r hyn y maen nhw'n gallu, ac ni fu digon o amser ar gyfer y gymuned maleisus, os mynnwch, i wedi treulio digon o amser ceisio ymosod ar ddefnyddwyr drwy apps symudol, felly yr wyf yn disgwyl rhestrau hyn newid ychydig. Ond am y tro, mae'r rhain yn y 10 uchaf bethau i boeni amdano. Efallai y byddwch yn meddwl ar yr ochr symudol lle mae'r cod-symudol maleisus sut mae'n mynd ar y ddyfais? Mae gan Ogledd Carolina Wladwriaeth brosiect o'r enw Prosiect Genom Symudol Malware lle maent yn casglu cymaint o malware symudol ag y gallant a dadansoddi hynny, ac maen nhw wedi torri i lawr y fectorau pigiad sy'n defnyddio'r malware symudol, a 86% yn defnyddio techneg o'r enw ailbecynnu, ac mae hyn yn unig ar y llwyfan Android gallwch chi wir yn ailbecynnu hwn. Y rheswm yw cod Android wedi ei adeiladu gyda cod beit Java o'r enw Dalvik sy'n hawdd decompilable. Beth all y dyn drwg ei wneud yw cymryd cais Android, dadgrynhoi ei, rhowch eu cod maleisus, ail-grynhoi ei, ac yna ei roi i fyny yn y siop app sy'n honni i fod yn fersiwn newydd o'r cais, neu dim ond efallai newid enw y cais. Os oedd rhyw fath o gêm, newid yr enw ychydig, ac felly ailbecynnu dyma sut y 86% o malware symudol yn cael ei ddosbarthu. Mae diweddariad techneg o'r enw arall sy'n debyg iawn i ailbecynnu, ond mewn gwirionedd nid ydynt yn rhoi'r cod maleisus i mewn Beth fyddwch chi'n ei wneud yw eich rhoi mewn mecanwaith diweddariad bach. Rydych yn dadgrynhoi, eich rhoi mewn mecanwaith diweddariad, ac rydych yn ail-grynhoi ei, ac yna pan fydd y app yn rhedeg mae'n tynnu i lawr y malware ar y ddyfais. Bell mae'r mwyafrif yn 2 technegau hynny. Nid oes download 'n sylweddol llawer gyrru-bys neu downloads gyrru-by ar ffonau symudol, a allai fod fel rhwyd-dwyll. Hey, edrychwch ar y wefan hon 'n sylweddol oera, neu os oes angen i chi fynd i'r wefan hon a llenwi'r ffurflen hon i gadw parhau gwneud rhywbeth. Mae'r rhai yn cael eu gwe-rwydo ymosodiadau. Gall yr un peth yn digwydd ar y llwyfan symudol lle maent yn cyfeirio at app symudol i'w llwytho i lawr, yn dweud "Hi, mae hyn yn Bank of America." "Rydym yn gweld eich bod yn defnyddio y cais hwn." "Dylech lawrlwytho'r gais arall." Yn ddamcaniaethol, gallai hynny weithio. Efallai ei fod nid yn unig yn cael ei ddefnyddio ddigon i benderfynu a yw'n llwyddiannus ai peidio, ond maent yn gweld bod llai nag 1% o'r amser y dechneg yn cael ei ddefnyddio. Mae'r rhan fwyaf o'r amser mae'n wirioneddol cod ailbecynnu. Mae categori o'r enw annibynnol arall lle mae rhywun yn unig yn adeiladu cais sbon-newydd. Maent yn adeiladu gais sy'n honni i fod yn rhywbeth. Nid yw'n ailbecynnu o rywbeth arall, a bod gan y cod maleisus. Mae hynny'n cael ei ddefnyddio 14% o'r amser. Nawr rwyf am i siarad am yr hyn mae'r cod maleisus yn ei wneud? Un o'r malware cyntaf i maes 'na gallech ystyried spyware. Mae'n bôn ysbïwyr ar y defnyddiwr. Mae'n casglu negeseuon e-bost, negeseuon SMS. Mae'n troi ar y meicroffon. Mae'n cynaeafu y llyfr cyswllt, ac mae'n ei anfon i ffwrdd i rywun arall. Mae'r math hwn o ysbïwedd yn bodoli ar y cyfrifiadur, felly mae'n gwneud synnwyr perffaith i bobl roi cynnig i wneud hyn ar ddyfeisiau symudol. Un o'r enghreifftiau cyntaf o hyn oedd rhaglen o'r enw Secret SMS Replicator. Roedd yn y Marketplace Android cwpl o flynyddoedd yn ôl, a'r syniad oedd os oedd gennych fynediad at ffôn Android rhywun eich bod am i sbïo ar, felly efallai ei fod yn eich priod neu eich arwyddocaol eraill a'ch bod am i sbïo ar eu negeseuon testun, gallech lawrlwytho'r app hwn a gorsedda 'a ffurfweddu i anfon neges destun SMS atoch gyda chopi pob neges destun SMS maent yn cael. Mae hyn yn amlwg yn Troseddau yn erbyn y telerau siop app o wasanaeth, ac roedd hyn yn tynnu oddi ar y Marketplace Android o fewn 18 awr o ei fod yno, felly mae nifer fach iawn o bobl oedd mewn perygl oherwydd hyn. Yn awr, yr wyf yn meddwl os oedd y rhaglen o'r enw yn rhywbeth efallai ychydig yn llai bryfoclyd fel Secret SMS Replicator mae'n debyg y byddai wedi bod yn gweithio yn llawer gwell. Ond yr oedd yn fath o amlwg. Un o'r pethau y gallwn ni ei wneud i benderfynu a oes apps ag ymddygiad hwn nad ydym am yw arolygu y cod. Mae hyn mewn gwirionedd yn hawdd iawn i'w wneud ar Android oherwydd gallwn dadgrynhoi y apps. Ar iOS gallwch ddefnyddio disassembler fel IDA Pro i edrych ar yr hyn APIs y app yn galw a'r hyn y mae'n ei wneud. Rydym yn ysgrifennu ein dadansoddwr sefydlog deuaidd eu hunain ar gyfer ein cod ac yr ydym yn gwneud hyn, ac felly beth allech chi ei wneud yw y gallech ddweud mae'r ddyfais yn gwneud unrhyw beth sy'n cael yn y bôn ysbïo ar mi neu olrhain i mi? Ac mae gen i rai enghreifftiau yma ar yr iPhone. Mae'r enghraifft gyntaf yw sut i gael mynediad i'r UUID ar y ffôn. Mae hyn mewn gwirionedd yn rhywbeth y Apple newydd wedi gwahardd ar gyfer ceisiadau newydd, ond gall hen geisiadau y gallech fod wedi rhedeg ar eich ffôn yn dal i wneud hyn, ac fel y gall dynodwr unigryw yn cael ei ddefnyddio i olrhain chi ar draws nifer o wahanol geisiadau. Ar y Android, mae gennyf enghraifft yma o gael lleoliad y ddyfais. Gallwch weld bod os yw'r galw API sydd y app yn olrhain, a gallwch weld a yw'n mynd yn lleoliad dirwy neu leoliad bras. Ac yna ar waelod yma, mae gennyf enghraifft o sut ar y BlackBerry gallai cais gael mynediad i'r negeseuon e-bost yn eich mewnflwch. Dyma'r math o bethau y gallwch archwilio i weld os yw'r app yn gwneud y pethau hynny. Yr ail gategori mawr o ymddygiad maleisus, ac mae'n debyg mai dyma'r categori mwyaf yn awr, yn deialu heb awdurdod, negeseuon testun SMS premiwm heb awdurdod neu daliadau heb awdurdod. Beth arall sy'n unigryw am y ffôn yn y ddyfais yn hooked i gyfrif bilio, a phan gweithgareddau yn digwydd ar y ffôn gall greu taliadau. Gallwch brynu pethau dros y ffôn, a pan fyddwch yn anfon neges destun SMS premiwm eich bod mewn gwirionedd yn rhoi arian i ddeiliad cyfrif y rhif ffôn ar yr ochr arall. Cafodd y rhain eu sefydlu i gael dyfynbrisiau stoc neu gael eich horoscope bob dydd neu bethau eraill, ond gellir eu sefydlu i archebu cynnyrch drwy anfon testun SMS. Mae pobl yn rhoi arian i'r Groes Goch drwy anfon neges destun. Gallwch roi $ 10 y ffordd honno. Mae ymosodwyr, yr hyn y maent wedi ei wneud yw eu sefydlu cyfrifon mewn gwledydd tramor, ac maent yn ymgorffori yn y malware y bydd y ffôn yn anfon neges destun SMS premiwm, dweud, ychydig o weithiau y dydd, ac ar ddiwedd y mis i chi sylweddoli eich bod wedi treulio degau neu efallai hyd yn oed cannoedd o ddoleri, ac maent yn cerdded i ffwrdd gyda'r arian. Mae hyn yn mynd mor ddrwg mai hwn oedd y peth cyntaf iawn bod y Android Marketplace neu'r Google lle roedd y Marketplace Android ar y pryd, ac mae'n awr yn Google Chwarae-y peth cyntaf bod Google wedi dechrau chwilio am. Pan ddechreuodd Google dosbarthu apps Android yn eu siop app maent yn dweud nad oeddent yn mynd i wirio am unrhyw beth. Byddwn yn tynnu apps ar ôl i ni wedi bod yn hysbysu eu bod wedi torri ein telerau gwasanaeth, ond nid ydym yn mynd i wirio am unrhyw beth. Wel, tua blwyddyn yn ôl, mynd mor ddrwg gyda SMS premiwm hwn malware neges destun mai dyma'r peth cyntaf maent yn dechrau gwirio am. Os gall app anfon negeseuon testun SMS maent bellach llaw graffu ar y cais. Maent yn edrych am y APIs sy'n galw hwn, ac yn awr ers hynny Google wedi ehangu, ond hwn oedd y peth cyntaf y maent yn dechrau chwilio amdano. Mae rhai apps eraill a wnaeth rhai negeseuon testun SMS, hwn Android Qicsomos, mae'n debyg y'i gelwir. Roedd y digwyddiad hwn ar hyn o bryd ar y ffôn symudol o ble y daeth CarrierIQ hwn allan fel rhoi spyware ar y ddyfais gan y cludwyr, fel bod pobl eisiau gwybod os bydd eu ffôn yn fregus i hyn, ac roedd hyn yn app rhad ac am ddim sy'n profi hynny. Wel, wrth gwrs, yr hyn a wnaeth app hwn oedd anfon negeseuon testun SMS premiwm, hynny drwy brofi i weld a ydych chi'n heintio â spyware chi lwytho malware ar eich dyfais. Gwelsom yr un peth yn digwydd yn y Super Bowl diwethaf. Roedd fersiwn ffug o'r gêm bêl-droed Madden a anfonodd negeseuon testun SMS premiwm. Mae'n mewn gwirionedd yn ceisio creu rhwydwaith bot hefyd ar y ddyfais. Dyma gennyf rai enghreifftiau. Yn ddiddorol ddigon, Apple yn eithaf smart, ac nid ydynt yn caniatáu ceisiadau i anfon negeseuon testun SMS o gwbl. Ni all unrhyw app ei wneud. Dyna ffordd wych o gael gwared o ddosbarth cyfan o agored i niwed, ond ar Android gallwch chi ei wneud, ac wrth gwrs, ar BlackBerry gallwch chi wneud hynny hefyd. Mae'n ddiddorol bod ar y BlackBerry i gyd ei angen arnoch yw caniatâd y rhyngrwyd i anfon neges destun SMS. Y peth arall iawn ein bod yn chwilio am pan rydym yn edrych i weld a yw rhywbeth yn faleisus yn unig unrhyw fath o gweithgaredd rhwydwaith heb awdurdod, fel edrych ar y gweithgaredd rhwydwaith y app i fod i gael i gael ei ymarferoldeb, ac yn edrych ar y gweithgaredd rhwydwaith eraill. Efallai an app, i weithio, yn gorfod cael data dros HTTP, ond os yw'n gwneud pethau dros e-bost neu SMS neu Bluetooth neu rywbeth fel 'na yn awr y gallai app o bosibl fod yn faleisus, felly mae hwn yn beth arall y gallwch ei harchwilio am. Ac ar y sleid hyn yma gen i rai enghreifftiau o hynny. Peth arall diddorol a welsom gyda malware a ddigwyddodd yn ôl yn 2009, a digwyddodd mewn ffordd fawr. Nid wyf yn gwybod os bydd yn digwydd cymaint ers hynny, ond yr oedd yn app dynwared y cais arall. Roedd cyfres o apps, ac yr oedd yn trosleisio'r yr ymosodiad 09Droid, a phenderfynodd rhywun fod yna lawer o fanciau bach, rhanbarthol, midsize nad oedd yn rhaid i geisiadau bancio ar-lein, felly yr hyn a wnaethant oedd eu adeiladu tua 50 o geisiadau bancio ar-lein bod yr holl a wnaethant oedd cymryd y enw defnyddiwr a chyfrinair ac yn eich ailgyfeirio at y wefan. Ac felly maent yn rhoi y rhain i gyd i fyny yn y Google Marketplace, yn y Farchnad Android, a pan fydd rhywun yn chwilio i weld a yw eu banc Roedd cais y byddent yn dod o hyd i'r cais ffug, oedd yn casglu eu cymwysterau ac yna eu ailgyfeirio at eu gwefan. Mae'r ffordd y mae hyn mewn gwirionedd yn dod-y apps i fyny yno am ychydig wythnosau, ac roedd miloedd ar filoedd o downloads. Y ffordd daeth hyn i'r amlwg yn rhywun yn cael problem gydag un o'r ceisiadau, ac maent yn galw eu banc, ac maent yn galw llinell gymorth i gwsmeriaid eu banc a dweud, "Rwy'n cael problem gyda'ch cais bancio symudol." "Allwch chi fy helpu allan?" A hwy a dweud, "Nid oes gennym cais bancio symudol." Dechreuodd bod yr ymchwiliad. Mae hynny'n banc o'r enw Google, ac yna Google yn edrych ac yn dweud, "Wow, yr un awdur wedi ysgrifennu 50 o geisiadau banc," ac yn mynd â nhw i gyd i lawr. Ond yn sicr y gallai hyn ddigwydd eto. Mae rhestr o holl banciau gwahanol yma a oedd yn rhan o sgam hwn. Y peth arall y gall app ei wneud yw hyn o bryd mae'r UI cais arall. Er ei fod yn rhedeg y gallai pop i fyny y UI Facebook. Mae'n dweud yn rhaid i chi roi eich enw defnyddiwr a chyfrinair i barhau neu eu rhoi i fyny unrhyw enw defnyddiwr a chyfrinair UI ar gyfer gwefan efallai y defnyddiwr yn defnyddio dim ond er mwyn ceisio twyllo y defnyddiwr i roi eu cymwysterau mewn Mae hyn yn wir yn gyfochrog yn syth o'r ymosodiadau gwe-rwydo e-bost lle mae rhywun yn anfon neges e-bost atoch ac yn rhoi bôn yn UI ffug ar gyfer gwefan chi eich bod yn gallu cael gafael ar. Y peth arall yr ydym yn chwilio amdano mewn cod maleisus yn addasu system. Gallwch chwilio am yr holl alwadau API sydd angen gwraidd fraint i weithredu yn gywir. Byddai newid dirprwy ar y we y ddyfais yn rhywbeth y cais ni ddylai fod yn gallu ei wneud. Ond os yw'r cais yn cael cod yno i wneud hynny eich bod yn gwybod ei fod yn ôl pob tebyg cais maleisus neu uchel iawn yn debygol o fod yn gais maleisus, ac felly beth fyddai'n digwydd yw y byddai app cael rhyw ffordd o cynyddol fraint. Byddai'n cael rhywfaint o gynnydd fraint manteisio yn y cais, ac yna ar ôl iddo gwaethygu breintiau byddai'n gwneud addasiadau system hyn. Gallwch ddod o hyd malware sydd wedi cynnydd fraint yn hyd yn oed heb wybod sut y mae'r cynnydd fraint manteisio yn mynd i ddigwydd, a dyna yn, ffordd hawdd 'n glws i chwilio am malware. Yn ôl pob tebyg oedd DroidDream y darn mwyaf enwog o malware Android. Rwy'n credu ei fod yn effeithio ar tua 250,000 o ddefnyddwyr dros ychydig ddyddiau cyn iddo gael ei ganfod. Maent yn ail-fedyddio'n 50 o geisiadau ffug, eu rhoi yn y siop app Android, ac yn ei hanfod mae'n defnyddio cod jailbreak Android i gynyddu breintiau ac yna gosod gorchymyn a rheoli a throi holl ddioddefwyr i rwyd bot, ond gallech fod wedi canfod hyn os oeddech yn sganio y cais a dim ond yn chwilio am API yn galw bod caniatâd gwraidd ei angen i weithredu yn gywir. Ac mae enghraifft yma rhaid i mi sydd yn newid y dirprwy, ac mae hyn mewn gwirionedd dim ond ar gael ar y Android. Gallwch weld fy mod yn rhoi llawer o enghreifftiau ar Android i chi oherwydd dyma lle mae'r ecosystem malware mwyaf gweithgar yn oherwydd ei fod yn wir yn hawdd i ymosodwr i gael cod maleisus i mewn i'r Marketplace Android. Nid yw mor hawdd i wneud hynny yn y App Store Apple oherwydd Apple yn ofynnol i ddatblygwyr i ganfod eu hunain a llofnodi'r cod. Maent mewn gwirionedd yn gwirio pwy ydych chi, ac Apple mewn gwirionedd yn craffu ar y ceisiadau. Nid ydym yn gweld llawer o wir malware pan yw'r ddyfais yn cael ei beryglu. Byddaf yn sôn am rai enghreifftiau lle mae'n wirioneddol preifatrwydd sy'n cael ei cael ei gyfaddawdu, a dyna beth sy'n digwydd mewn gwirionedd ar y ddyfais Apple. Beth arall i chwilio am cod maleisus, cod peryglus mewn dyfeisiau rhesymeg neu amser bomiau, a bomiau amser yn ôl pob tebyg llawer haws i chwilio am na bomiau rhesymeg. Ond gyda bomiau amser, beth y gallwch ei wneud yw y gallwch chi chwilio am lleoedd yn y cod lle mae'r amser yn cael ei brofi neu amser absoliwt yn chwilio am cyn ymarferoldeb penodol yn y app yn digwydd. A gallai hyn gael ei wneud i guddio y gweithgaredd o'r defnyddiwr, felly mae'n digwydd yn hwyr yn y nos. Wnaeth DroidDream ei holl weithgarwch 11:00-08:00 amser lleol i geisio gwneud hynny er nad efallai y defnyddiwr yn defnyddio eu dyfais. Rheswm arall i wneud hyn yw os yw pobl yn defnyddio dadansoddiad ymddygiadol cais, rhedeg y app mewn sandbox i weld beth ymddygiad y cais, gallant ddefnyddio rhesymeg sy'n seiliedig ar amser i wneud y gweithgaredd pan nad yw'r app yn y pwll tywod. Er enghraifft, mae siop app fel Apple rhedeg y cais, ond mae'n debyg nad ydynt yn rhedeg bob cais am, dyweder, 30 diwrnod cyn ei gymeradwyo, er mwyn i chi roi rhesymeg yn eich cais a ddywedodd, iawn, dim ond gwneud y peth drwg ar ôl 30 diwrnod wedi mynd heibio neu ar ôl 30 diwrnod ar ôl dyddiad cyhoeddi y cais, a gall fod o gymorth i'r cod cuddio maleisus gan bobl archwilio ar ei gyfer. Os bydd cwmnïau'n gwrth-firws yn rhedeg pethau mewn blwch tywod neu y storfeydd app eu hunain yn gall hyn helpu cuddio hynny o'r arolygiad. Yn awr, ar ochr arall o hynny yw ei fod yn hawdd dod o hyd gyda dadansoddiad sefydlog, felly mewn gwirionedd yn archwilio'r cod gallwch chwilio am yr holl leoedd pan fo'r cais yn profi yr amser ac archwilio y ffordd honno. A dyma gennyf rai enghreifftiau ar y rhain 3 lwyfannau gwahanol sut y gellir amser yn cael ei wirio gan y gwneuthurwr app felly eich bod yn gwybod beth i chwilio amdano os ydych yn archwilio'r app llonydd. Fi jyst yn mynd drwy criw cyfan o wahanol weithgareddau maleisus ein bod wedi gweld yn y gwyllt, ond pa rai yw'r rhai mwyaf cyffredin? Mae hynny'n un astudiaeth o Brosiect Wladwriaeth Symudol Genom North Carolina cyhoeddi rhywfaint o ddata, a oedd yn y bôn 4 ardal eu bod yn gweld lle'r oedd llawer o weithgarwch. 37% o'r apps oedd cynnydd fraint, felly roedd ganddynt ryw fath o god jailbreak i mewn 'na lle maent yn ceisio i gynyddu breintiau fel y gallent Nid gorchmynion API yn rhedeg wrth i'r system weithredu. 45% o'r apps i maes 'na wnaeth SMS premiwm, felly dyna canran enfawr sy'n ceisio monetize yn uniongyrchol. 93% oedd rheoli o bell, fel eu bod yn ceisio sefydlu rhwyd ​​bot, rhwyd ​​bot symudol. A 45% cynaeafu gwybodaeth adnabod fel rhifau ffôn, UUIDs, lleoliad GPS, cyfrifon defnyddwyr, ac mae hyn yn ychwanegu hyd i fwy na 100 fod y rhan fwyaf malware yn ceisio gwneud rhai o'r pethau hyn. Rydw i'n mynd i newid i ail hanner a siarad am y gwendidau cod. Dyma'r ail hanner y gweithgaredd peryglus. Dyma lle y bôn y datblygwr yn gwneud camgymeriadau. Mae datblygwr cyfreithlon ysgrifennu app dilys yn gwneud camgymeriadau neu'n anwybodus o'r risgiau y llwyfan symudol. Maent nid yn unig yn gwybod sut i wneud app diogel symudol, neu weithiau nad yw'r datblygwr yn poeni am roi'r defnyddiwr mewn perygl. Weithiau efallai rhan o'u model busnes fod yn cynaeafu gwybodaeth bersonol y defnyddiwr. Dyna fath o y categori arall, a dyna pam fod rhai o'r maleisus erbyn dechrau cyfreithlon i waedu drosodd oherwydd mae gwahaniaeth barn rhwng yr hyn y mae'r defnyddiwr eisiau a'r hyn y mae'r defnyddiwr yn ystyried peryglus a'r hyn y mae'r datblygwr yn ystyried cais beryglus. Wrth gwrs, nid yw'n data y datblygwr cais yn y rhan fwyaf o achosion. Ac yna yn olaf, ffordd arall hyn yn digwydd yw y gallai datblygwr gysylltu llyfrgell a rennir sydd yn agored i niwed neu ymddygiad peryglus hwn ynddo unbeknownst iddynt. Mae'r categori cyntaf yw gollyngiadau data sensitif, ac mae hyn yw pan fydd y app yn casglu gwybodaeth fel lleoliad, gwybodaeth llyfr cyfeiriad, perchennog gwybodaeth ac yn anfon y oddi ar y ddyfais. Ac unwaith ei fod oddi ar y ddyfais, nid ydym yn gwybod beth sy'n digwydd gyda'r wybodaeth honno. Gellid ei storio anniogel gan y datblygwr cais. Rydym wedi gweld datblygwyr cais yn cael ei gyfaddawdu, a'r data eu bod yn storio yn cael ei gymryd. Digwyddodd hyn rai misoedd yn ôl i ddatblygwr i lawr yn Florida lle mae nifer enfawr o-yr oedd UUIDs iPad ac enwau dyfais yn cael eu gollwng oherwydd bod rhywun, yr wyf yn meddwl ei fod yn ddienw, yn honni i wneud hyn, torrodd i mewn gweinyddwyr datblygwr hwn a dwyn miliynau o UUIDs iPad ac enwau cyfrifiadur. Nid y wybodaeth fwyaf peryglus, ond beth os mai dyna'r storio enwau defnyddwyr a chyfrineiriau a chyfeiriadau cartref? Mae llawer o apps sy'n storio y math hwnnw o wybodaeth. Mae'r risg yn yno. Y peth arall a all ddigwydd yw os nad yw'r datblygwr yn cymryd gofal i sicrhau sianel data, ac mae hynny'n agored i niwed fawr arall Rydw i'n mynd i siarad am, data sy'n cael ei anfon yn yr glir. Os yw'r defnyddiwr ar rwydwaith Wi-Fi cyhoeddus neu rywun yn arogli y rhyngrwyd yn rhywle ar hyd y llwybr data sy'n cael ei hamlygu. Mae un achos enwog iawn o hyn yn gollwng gwybodaeth digwydd gyda Pandora, ac mae hyn yn rhywbeth yr ydym yn ymchwilio Veracode. Clywsom fod-yr wyf yn meddwl ei fod yn Masnach Ffederal Comisiwn ymchwiliad yn mynd ymlaen gyda Pandora. Rydym yn dweud, "Beth sy'n mynd ymlaen yno? Gadewch i ni ddechrau cloddio i mewn i'r cais Pandora." A beth rydym yn benderfynol oedd y cais Pandora a gasglwyd eich rhyw a'ch oedran, ac mae hefyd yn mynediad i'ch lleoliad GPS, a bod y cais Pandora yn gwneud hyn am yr hyn a ddywedodd oedd rhesymau dilys. Mae'r gerddoriaeth eu bod yn chwarae-Pandora yn ffrydio cerddoriaeth app- y gerddoriaeth y maent yn chwarae yn unig ei drwyddedu yn yr Unol Daleithiau, felly roedd yn rhaid iddynt wirio i gydymffurfio â'u cytundebau trwyddedu bod ganddynt ar gyfer y gerddoriaeth y mae'r defnyddiwr yn yn yr Unol Daleithiau. Maent hefyd yn awyddus i gydymffurfio â'r cynghori rhieni ymwneud ag iaith i oedolion mewn cerddoriaeth, ac felly mae'n rhaglen wirfoddol, ond maent yn awyddus i gydymffurfio â'r ac nid yn chwarae geiriau penodol i blant 13 ac iau. Roedd ganddynt resymau dilys ar gyfer casglu data hwn. Gan eu app y caniatâd i wneud hynny. Defnyddwyr farn bod hyn yn gyfreithlon. Ond beth ddigwyddodd? Maent yn gysylltiedig mewn 3 neu 4 llyfrgell ad wahanol. Nawr yn sydyn holl lyfrgelloedd ad hyn yn cael mynediad i'r un wybodaeth. Mae'r llyfrgelloedd ad, os ydych yn edrych ar y cod yn y llyfrgelloedd ad hyn y maent yn ei wneud yw dweud bob llyfrgell ad "A yw fy app yn cael caniatâd i gael lleoliad GPS?" "O, mae'n? Iawn, dywedwch wrth y lleoliad GPS i mi." Mae pob llyfrgell ad sengl yn gwneud hynny, ac os nad oes gennych ganiatâd GPS y app ni fydd yn gallu ei gael, ond os bydd yn gwneud, bydd yn ei gael. Dyma lle mae'r model busnes y llyfrgelloedd ad yn gwrthwynebu preifatrwydd y defnyddiwr. Ac mae astudiaethau wedi bod allan yna a fydd yn dweud os ydych yn gwybod yr oed person a ydych yn gwybod eu lleoliad lle maent yn cysgu yn y nos, oherwydd eich bod wedi eu cyfesurynnau GPS tra eu bod efallai yn cysgu, eich bod yn gwybod yn union pwy yw'r person hwnnw oherwydd gallwch benderfynu pa aelod o'r cartref yn y person hwnnw. Really hyn yn nodi â hysbysebwyr yn union pwy ydych chi, ac mae'n edrych fel ei fod yn gyfreithlon. Fi jyst eisiau i fy cerddoriaeth yn dylifo, a dyma'r unig ffordd i'w gael. Wel, rydym yn agored hwn. Rydym yn ysgrifennu hyn i fyny mewn sawl swydd blog, ac mae'n troi allan bod rhywun o gylchgrawn Rolling Stone darllen un o'n swyddi blog ac ysgrifennu eu blog eu hunain yn Rolling Stone am y peth, ac y diwrnod nesaf iawn Pandora yn meddwl ei fod yn syniad da i gael gwared ar y llyfrgelloedd ad o'u cais. Cyn belled ag y gwn eu bod yn yr unig-dylid eu canmol. Rwy'n credu eu bod yr unig fath freemium o app sydd wedi gwneud hyn. Mae pob un o'r apps freemium eraill gael yr un ymddygiad hwn, felly mae'n rhaid i chi feddwl am yr hyn y math o ddata yr ydych yn rhoi ceisiadau freemium hyn oherwydd ei fod yn gyd yn mynd i hysbysebwyr. Hefyd yn gwneud Praetorian astudiaeth am lyfrgelloedd a rennir ac a ddywedodd, "Gadewch i ni edrych ar yr hyn a rennir llyfrgelloedd llyfrgelloedd a rennir uchaf," ac roedd hyn yn y data. Maent yn dadansoddi 53,000 apps, a'r rhif 1 llyfrgell a rennir yn Admob. Yr oedd mewn gwirionedd yn 38% o'r ceisiadau i maes 'na, felly 38% o'r ceisiadau rydych yn ei ddefnyddio yn debygol o cynaeafu eich gwybodaeth bersonol ac yn ei anfon at y rhwydweithiau ad. Roedd Apache a Android 8% a 6%, ac yna y rhai eraill i lawr ar y gwaelod, Google Ads, llu, Mob Dinas a Mileniwm Cyfryngau, rhain i gyd yn gwmnïau ad, ac yna, yn ddiddorol iawn, 4% yn cysylltu yn y llyfrgell Facebook yn ôl pob tebyg i wneud dilysu drwy Facebook felly gallai'r app ddilysu'r Facebook. Ond mae hynny hefyd yn golygu y gorfforaeth Facebook rheoli cod sy'n cael ei rhedeg yn 4% o'r apps symudol Android i maes 'na, ac mae ganddynt fynediad at yr holl bod data sy'n app gyda chaniatâd i gael o. Facebook hanfod yn ceisio gwerthu gofod hysbysebu. Dyna eu model busnes. Os ydych yn edrych ar hyn i gyd ecosystem â chaniatadau hyn a llyfrgelloedd a rennir byddwch yn dechrau gweld bod gennych lawer o risg mewn cais i fod gyfreithlon. Mae'r un peth tebyg a ddigwyddodd gyda Pandora digwydd gyda chais o'r enw Llwybr, a Llwybr meddwl eu bod yn cael eu datblygwyr defnyddiol, cyfeillgar. Maent yn unig oedd yn ceisio rhoi profiad gwych defnyddiwr, rydych yn, ac mae'n troi allan bod heb anogaeth y defnyddiwr neu ddweud wrth y defnyddiwr unrhyw beth- ac mae hyn yn digwydd ar yr iPhone ac ar Android, oedd y Pandora app ar iPhone a Android- bod y cais Llwybr yn crafangio eich llyfr cyfeiriadau cyfan a llwytho i Llwybr dim ond pan fyddwch yn gosod ac yn rhedeg y cais, ac nid oeddent yn dweud wrthych am hyn. Maent yn meddwl ei fod yn ddefnyddiol iawn i chi i allu rhannu gyda holl bobl yn eich llyfr cyfeiriadau eich bod yn defnyddio y cais Llwybr. Wel, yn amlwg Llwybr farn bod hyn yn wych ar gyfer eu cwmni. Ddim mor fawr i'r defnyddiwr. Rhaid i chi feddwl ei fod yn un peth os efallai yn ei arddegau yn defnyddio y cais hwn ac mae eu dwsinau o ffrindiau yno, ond beth os ei fod yn y Prif Swyddog Gweithredol cwmni sy'n gosod Llwybr ac yna yn sydyn eu llyfr cyfeiriadau cyfan yn fyny yno? Rydych yn mynd i gael llawer o wybodaeth gyswllt a allai fod yn werthfawr i lawer o bobl. Mae gohebydd gan y New York Times, efallai y byddwch yn gallu cael y rhif ffôn i gyn lywyddion o'u llyfr cyfeiriadau, felly mae'n amlwg llawer o wybodaeth sensitif yn cael eu trosglwyddo gyda rhywbeth fel hyn. Roedd fflap mor fawr am hyn y Llwybr ymddiheuro. Maent yn newid eu app, a hyd yn oed yn effeithio Apple. Meddai Apple, "Rydym yn mynd i orfodi gwerthwyr app i annog defnyddwyr os ydynt yn mynd i gasglu eu llyfr cyfeiriadau cyfan. " Mae'n edrych fel yr hyn sy'n digwydd yma yw pan fo un groes preifatrwydd mawr ac mae'n gwneud y wasg rydym yn gweld newid i maes 'na. Ond wrth gwrs, mae pethau eraill y tu allan yno. Mae'r cais LinkedIn cynaeafu eich cofnodion calendr, ond nid Apple yn gwneud y defnyddiwr yn cael ei annog am hynny. Gall cofnodion calendr gael gwybodaeth sensitif ynddynt hefyd. Lle ydych chi'n mynd i dynnu'r llinell? Mae hyn yn wir yn fath o le sy'n esblygu lle does dim safon dda i maes 'na ar gyfer y defnyddwyr i ddeall pan fydd eu gwybodaeth yn mynd i fod mewn perygl a pan fyddant yn mynd i wybod ei fod yn cael ei gymryd. Rydym yn ysgrifennu app yn Veracode enw adios, ac yn ei hanfod mae'n caniatáu i chi i bwynt y app yn eich cyfeiriadur iTunes ac yn edrych ar yr holl geisiadau a oedd yn cynaeafu eich llyfr cyfeiriadau llawn. Ac fel y gwelwch ar y rhestr hon yma, Adar Angry, AIM, AroundMe. Pam mae angen eich llyfr cyfeiriadau Adar Angry? Nid wyf yn gwybod, ond mae'n rywsut. Mae hyn yn rhywbeth y mae llawer, llawer o geisiadau yn ei wneud. Gallwch archwilio'r cod ar gyfer hyn. Mae APIs diffinio'n dda ar gyfer iPhone, Android a BlackBerry i gyrraedd y llyfr cyfeiriadau. Gallwch chi wir yn hawdd archwilio ar gyfer hyn, ac mae hyn yn yr hyn a wnaethom yn ein cais adios. Mae'r categori nesaf, Storio Data Sensitif anniogel, yn rhywbeth lle mae datblygwyr yn cymryd rhywbeth fel pin neu rif cyfrif neu gyfrinair ac yn ei storio yn y glir ar y ddyfais. Hyd yn oed yn waeth, efallai y byddant yn ei storio mewn ardal ar y ffôn sydd ar gael yn fyd-eang, fel y cerdyn SD. Byddwch yn gweld hyn yn fwy aml ar Android oherwydd Android caniatáu ar gyfer cerdyn SD. Nid yw dyfeisiau IPhone ei wneud. Ond hyd yn oed yn gweld hyn yn digwydd mewn cais Citigroup. Mae eu cais bancio ar-lein storio y rhifau cyfrif anniogel, dim ond yn y glir, felly os ydych yn colli eich dyfais, yn y bôn i chi golli eich cyfrif banc. Dyma pam yr wyf yn bersonol yn gwneud bancio ar fy iPhone. Rwy'n credu ei fod yn rhy beryglus ar hyn o bryd i wneud y mathau hyn o weithgareddau. Wnaeth Skype yr un peth. Skype, wrth gwrs, mae gan balans y cyfrif, enw defnyddiwr a chyfrinair fod mynediad y cydbwysedd hwnnw. Maent yn storio holl wybodaeth honno yn y glir ar y ddyfais symudol. Mae gennyf rai enghreifftiau yma o greu ffeiliau nad oes gennych y caniatadau cywir neu ysgrifennu at ddisg ac nad oes ganddynt unrhyw amgryptio yn digwydd ar gyfer hynny. Mae'r ardal nesaf, anniogel Darlledu Data Sensitif, Rwyf wedi cyfeirio at hyn ychydig o weithiau, ac oherwydd cyhoeddus Wi-Fi mae hyn yn rhywbeth y apps angen ei wneud yn llwyr, ac mae hyn yn ôl pob tebyg yr hyn a welwn yn mynd o'i le fwyaf. Byddwn yn dweud-mewn gwirionedd, yr wyf yn credu fy mod yn cael y data gwirioneddol, ond mae'n agos at hanner y ceisiadau symudol sgriw i fyny yn ei wneud SSL. Maent nid yn unig yn defnyddio APIs yn gywir. Yr wyf yn golygu, pob mae'n rhaid i chi ei wneud yw dilyn y cyfarwyddiadau a defnyddio'r APIs, ond maent yn pethau fel nad wirio a oes tystysgrif annilys yn y pen arall, Nid wirio a yw'r pen arall yn ceisio ei wneud ymosodiad israddio protocol. Mae'r datblygwyr, maent am gael eu blwch ticio, dde? Eu gofyniad yw i ddefnyddio hyn i werthu. Maen nhw wedi defnyddio hyn i werthu. Nid yw'r gofyniad yw i ddefnyddio hyn i werthu yn ddiogel, ac felly dyma pam yr holl geisiadau sy'n defnyddio SSL i ddiogelu data gan ei fod yn cael ei drosglwyddo i ffwrdd 'n sylweddol angen y ddyfais i gael eu harolygu i wneud yn siŵr bod ei roi ar waith yn gywir. A dyma gennyf rai enghreifftiau lle gallwch weld cais allai fod yn defnyddio HTTP yn lle HTTPS. Mewn rhai achosion, bydd apps yn disgyn yn ôl i HTTP os nad yw'r HTTPS yn gweithio. Mae gen i alwad arall yma ar Android lle maent wedi anabl y siec dystysgrif, fel y gall ymosodiad dyn-yn-y-canol yn digwydd. Bydd tystysgrif annilys yn cael eu derbyn. Mae'r rhain i gyd yn achosion lle ymosodwyr yn mynd i fod yn gallu cael ar yr un cysylltiad Wi-Fi fel y defnyddiwr a mynediad holl ddata sy'n cael ei anfon dros y rhyngrwyd. Ac yn olaf, mae'r categori olaf gennyf yma yw cyfrinair ac allweddi hardcoded. Rydym mewn gwirionedd yn gweld llawer o ddatblygwyr yn defnyddio'r un arddull codio eu bod yn gwneud pan fyddant yn adeiladu ceisiadau ar weinydd y we, fel eu bod yn adeiladu cais gweinydd Java, ac maent yn hardcoding yr allwedd. Wel, pan fyddwch yn adeiladu cais gweinydd, ie, Nid hardcoding yr allwedd yn syniad da. Mae'n ei gwneud yn anodd i newid. Ond nid yw mor ddrwg ar yr ochr gweinydd oherwydd pwy fynediad i'r ochr y gweinydd? Dim ond y gweinyddwyr. Ond os ydych yn cymryd yr un cod ac rydych yn arllwys dros i gais symudol nawr mae pawb sydd wedi bod cais symudol yn cael mynediad i'r allwedd hardcoded, ac yr ydym mewn gwirionedd yn gweld hyn yn llawer o weithiau, ac mae gennyf rai ystadegau ar ba mor aml yr ydym yn gweld hyn yn digwydd. Mae'n mewn gwirionedd oedd yn enghraifft cod sy'n MasterCard a gyhoeddwyd ar sut i ddefnyddio eu gwasanaeth. Mae'r cod enghraifft yn dangos sut y byddai 'ch jyst yn cymryd y cyfrinair a'i roi mewn llinyn hardcoded iawn yno, ac rydym yn gwybod sut y gall datblygwyr wrth eu bodd i gopïo a gludo pytiau cod pan fyddant yn ceisio gwneud rhywbeth, er mwyn i chi gopïo a gludo y cod snippet eu bod yn rhoi fel enghraifft cod, ac mae gennych gais ansicr. Ac yma mae gennym rai enghreifftiau. Mae'r un cyntaf yn un yr ydym yn gweld llawer lle maent yn hardcode yr hawl data i mewn i URL sy'n cael ei anfon. Weithiau rydym yn gweld cyfrinair llinyn = y cyfrinair. Dyna 'n bert yn hawdd i'w canfod, neu gyfrinair llinyn ar BlackBerry a Android. Mae'n mewn gwirionedd yn eithaf hawdd i chwilio am gan fod bron bob amser yn enwau'r datblygwr y newidyn sy'n cael ei dal y cyfrinair rhywfaint o amrywiaeth o gyfrinair. Soniais ein bod yn gwneud dadansoddiad yn sefydlog ar Veracode, felly rydym wedi dadansoddi sawl cant o geisiadau Android a iOS. Rydym wedi adeiladu modelau llawn ohonynt, ac rydym yn gallu sganio eu ar gyfer gwahanol agored i niwed, yn enwedig y gwendidau oeddwn yn sôn am, ac mae gen i rhywfaint o ddata yma. 68.5% o'r apps Android buom yn edrych ar wedi torri cod ymddygiad cryptographic, sydd i ni, ni allwn ganfod os gwnaethoch eich trefn crypto eich hun, nad yw hynny'n syniad da, ond mae hyn mewn gwirionedd yn defnyddio'r APIs a gyhoeddwyd sydd ar y llwyfan ond yn eu gwneud yn y fath fodd y byddai'r crypto fod yn agored i niwed, 68.5. Ac mae hyn ar gyfer pobl sy'n anfon eu ceisiadau atom mewn gwirionedd oherwydd maent yn credu ei fod yn syniad da i wneud profion diogelwch. Mae'r rhain yn bobl sydd yn ôl pob tebyg yn meddwl yn ddiogel yn barod, felly mae'n debyg hyd yn oed yn waeth. Doeddwn i ddim yn siarad am reoli llinell pigiad bwyd anifeiliaid. Mae'n rhywbeth yr ydym yn chwilio am, ond nid yw mor beryglus yn broblem. Gollyngiadau gwybodaeth, dyma lle mae data sensitif yn cael ei anfon oddi ar y ddyfais. Rydym yn gweld bod mewn 40% o'r ceisiadau. Amser a'r wladwriaeth, rheini'n faterion fath gyflwr hil, fel arfer yn eithaf anodd i fanteisio ar, felly doeddwn i ddim yn siarad am hynny, ond yr ydym yn edrych arno. Roedd gan 23% Materion pigiad SQL. Nid yw llawer o bobl yn gwybod bod llawer o geisiadau ddefnyddio cronfa ddata SQL bach bach ar eu pen-ôl i storio data. Wel, os bydd y data a ydych yn crafangio dros y rhwydwaith Mae llinynnau ymosodiad pigiad SQL ynddo gall rhywun peryglu ddyfais thrwy hynny, ac felly yr wyf yn credu ein bod yn dod o hyd tua 40% o geisiadau ar y we yn cael y broblem hon, sy'n broblem epidemig enfawr. Rydym yn ei chael yn 23% o'r amser mewn apps symudol ac mae hynny'n fwy na thebyg oherwydd bod llawer mwy o geisiadau ar y we yn defnyddio SQL nag symudol. Ac yna rydym yn dal i weld rhai sgriptio traws-safle, materion awdurdodiad, ac yna rheoli credential, dyna lle mae gennych eich cyfrinair hardcoded. Mewn 5% o'r ceisiadau rydym yn gweld hynny. Ac yna mae gennym rywfaint o ddata ar iOS. Roedd gan 81% Materion trin gwall. Mae hyn yn fwy o broblem ansawdd god, ond roedd gan 67% Materion cryptograffig, felly ddim cweit mor ddrwg ag Android. Efallai y APIs yn ychydig yn haws, gall y codau ychydig yn well er enghraifft ar iOS. Ond dal i fod yn ganran uchel iawn. Cawsom 54% â gollwng gwybodaeth, tua 30% â gwallau rheoli byffer. Dyna mannau lle gallai o bosibl fod yn fater llygredd cof. Mae'n troi allan nad yw hynny'n gymaint o broblem ar gyfer camfanteisio ar iOS gan fod yr holl y cod wedi cael ei llofnodi, felly mae'n anodd i ymosodwr i weithredu cod mympwyol ar iOS. Ansawdd cod, cyfeiriadur groesi, ond yna rheoli cymwysterau yma yn 14.6%, felly yn waeth nag ar y Android. Mae gennym bobl nad trin cyfrineiriau yn gywir. Ac yna y camgymeriadau rhifol a gorlif byffer, hynny fwy mynd i fod materion ansawdd cod ar iOS. Dyna oedd hi ar gyfer fy cyflwyniad. Nid wyf yn gwybod os ydym allan o amser neu beidio. Nid wyf yn gwybod os oes unrhyw gwestiynau. [Gwrywaidd] Cwestiwn gyflym o gwmpas darnio ac yn y farchnad Android. Afal o leiaf yn berchen ar clytio. Maent yn gwneud gwaith da o gael allan yno tra yn llai felly yn y gofod Android. Bron nad oes angen i chi jailbreak eich ffôn i aros ar hyn o bryd gyda rhyddhau ar hyn o bryd Android. Yeah, mae hynny'n broblem enfawr ac felly os ydych yn meddwl am- [Gwrywaidd] Pam na allwch ei ailadrodd? O, iawn, felly y cwestiwn oedd beth am darnio y system weithredu ar y llwyfan Android? Sut y mae hynny'n effeithio ar y riskiness y dyfeisiau hynny? Ac mae'n mewn gwirionedd yn broblem enfawr gan fod yr hyn sy'n digwydd yw y dyfeisiau hyn, pan fydd rhywun yn dod o hyd i jailbreak ar gyfer y ddyfais honno, yn y bôn mae hynny'n gynnydd fraint, a hyd nes y system weithredu yn cael ei diweddaru yna gall unrhyw malware ddefnyddio'r agored i gyfaddawdu y ddyfais llwyr, a'r hyn yr ydym yn ei weld ar y Android yw er mwyn cael system weithredu newydd Google wedi i ddiffodd y system weithredu, ac yna y gwneuthurwr caledwedd wedi i addasu, ac yna y cludwr wedi i addasu ei a'i gyflwyno. Mae gennych y bôn 3 rhan symud yma, ac mae'n troi allan nad oedd y cludwyr yn poeni, ac nid yw'r gwneuthurwyr caledwedd yn poeni, ac nid Google yn eu prodding digon i wneud unrhyw beth, felly yn ei hanfod dros hanner o'r dyfeisiau ar gael rhaid i systemau gweithredu sy'n cael y rhain yn agored i niwed cynnydd braint ynddynt, ac felly os ydych yn cael malware ar eich dyfais Android mae'n llawer yn fwy o broblem. Iawn, diolch yn fawr iawn. [Cymeradwyaeth] [CS50.TV]