Тестування безпеки мобільного додатка

Розробники приділяють велику увагу дизайну мобільних додатків, намагаючись зробити їх максимально зручними та зрозумілими, а тестування безпеки дозволяє визначити, наскільки захищеною є програма. За статистикою, мобільні додатки завантажуються сотні мільярдів разів на рік, і майже 60% часу, проведеного в цифровому просторі припадає на використання додатків.

Ми щоденно використовуємо безліч додатків, при цьому майже половина з них містять конфіденційні дані, такі як паролі, ключі API тощо. Ці дані мають суворі вимоги до шифрування і більшість із них використовують можливості, які можуть розкривати особисті дані користувачів.

Саме тому мобільні пристрої є об’єктом підвищеної уваги та дискусій з питань безпеки.

OWASP Mobile TOP 10 – одна з основних методологій тестування додатків на вразливості. 

Звіт про вразливості OWASP формується на основі узагальнення думок експертів з безпеки з усього світу. Він ранжує ризики на основі частоти дефектів, серйозності вразливостей та їхнього потенційного впливу. Це дає розробникам та спеціалістам з безпеки розуміння найбільш серйозних ризиків та дозволяє їм мінімізувати можливі наслідки експлуатації вразливостей зловмисниками. Загалом з коротким оглядом OWASP Top Ten можна ознайомитися тут.

Нижче описано 10 вразливостей, які застосовуються для характеристики рівня безпеки мобільної програми.

M1: Improper Platform Usage – Неправильне використання платформи

Неналежне використання платформ Android та iOS є основною загрозою, оскільки багато програм ненавмисно порушують відповідні інструкції з безпеки. Зловживання поширюється на будь-яку функцію платформи або нездатність застосувати засоби контролю безпеки.

M2: Insecure Data Storage – Відсутність безпеки зберігання даних

Неправильне зберігання даних є ще однією значною вразливістю, оскільки зловмисники можуть отримати фізичний доступ до викраденого пристрою, або увійти в нього, використовуючи шкідливе ПЗ.

У разі фізичного доступу до пристрою зловмисник може легко отримати доступ до файлової системи пристрою після підключення до комп'ютера. Багато програм, що вільно розповсюджуються, дозволяють отримувати доступ до каталогів і особистих даних, що містяться в них.

Тобто треба пам'ятати про два моменти:

• конфіденційні дані у додатку треба зберігати у зашифрованому вигляді;
• програми можуть ділитися даними з іншими програмами.

M3: Insecure Communication – Небезпечні комунікації

Передача даних до мобільних програм або з них зазвичай включає Інтернет або оператора телекомунікацій. Відомо, що зловмисники досягають успіху у розкритті особистої інформації користувачів, якщо ця передача не захищена. Хакери перехоплюють дані користувачів у локальній мережі через скомпрометовану мережу Wi-Fi, підключаючись до неї через маршрутизатори, вишки стільникового зв'язку, проксі-сервери або використовуючи заражений додаток за допомогою шкідливого ПЗ. При надсиланні запитів на сервер з даними, які надсилає користувач, деякі з них іноді надсилають за протоколом HTTP замість HTTPS.

Приклад експлуатації такої вразливості: зловмисник створює компрометовану мережу Wi-Fi, до якої підключиться користувач. Таким чином він починає аналізувати весь трафік і дані користувача, які надсилаються до сервера за протоколом HTTP, можуть перехоплюватися. Зловмисник бачитиме його дані у перехопленому пакеті. Для захисту від даної вразливості використовується шифрування даних. 

M4: Insecure Authentication – Проблеми автентифікації

Мобільні пристрої іноді не можуть ідентифікувати користувачів, що дозволяє зловмисникам входити, використовуючи облікові дані за замовчуванням. Вони часто можуть обійти протоколи аутентифікації через погану реалізацію, безпосередньо взаємодіючи з сервером.

Включає такі пункти:

• відсутність вимог перевірки ідентифікації користувача;
• відсутність перевірки контролю сеансу;
• недоліки керування сесіями.

M5: Insufficient Cryptography – Відсутність криптографії

Без достатньої криптографії зловмисники можуть повернути конфіденційні дані до початкового стану та забезпечити несанкціонований доступ.

Є три способи, за допомогою яких зловмисники намагаються використати криптографічні проблеми:

• отримати фізичний доступ до мобільного пристрою;
• стежити за мережевим трафіком;
• використовувати шкідливі програми на пристрої для доступу до зашифрованих даних.

M6: Insecure Authorization – Недостатня авторизація

Без належних заходів авторизації зловмисники можуть отримати доступ до конфіденційних даних і підвищити привілеї для розширення своїх атак. Незахищене пряме посилання на об’єкт (IDOR) дозволяє отримати доступ до файлів, облікових записів і баз даних. Програма небезпечна, якщо механізм авторизації не перевіряє користувачів і не надає дозволи.

M7: Client Code Quality – Код клієнта низької якості

Погана практика кодування може призвести до вразливості коду. Ризик особливо високий, коли члени команди використовують різні методи кодування та не співпрацюють або не надають достатньої документації. Через погане кодування користувач мобільного пристрою може зіткнутися із уповільненням обробки запитів та неможливістю правильно завантажити необхідну інформацію. Виявлення цієї вразливості є складним завданням, оскільки хакерам часто потрібний непростий ручний аналіз коду.

M8: Code Tampering – Маніпуляційний код

Магазини додатків часто містять підроблені версії мобільних програм, наприклад, програми зі зміненими бінарними файлами, включаючи шкідливий вміст або бекдори (back door). Зловмисники можуть доставити ці підроблені програми безпосередньо жертві за допомогою фішингу або опублікувати їх у магазинах програм.

M9: Reverse Engineering – Реверсивні атаки

Хакери можуть розробляти додатки та аналізувати код – це особливо небезпечно, оскільки зловмисники можуть перевіряти та змінювати код, щоб ін’єктувати шкідливі функції. Зворотне проєктування дозволяє зловмисникам зрозуміти, як працює програма, дозволяючи їм перекомпілювати її.

M10: Extraneous Functionality – Надлишкова функціональність

Зловмисники можуть досліджувати мобільні програми за допомогою файлів журналу та конфігурації, виявляючи та використовуючи надлишкові функції для доступу до серверної частини. Наприклад, можуть анонімно виконувати привілейовані дії. Ручні перевірки коду перед випуском допомагають зменшити цей ризик.

Успіх кібератаки на мобільний додаток безпосередньо залежить від того, наскільки ретельно сам користувач піклується про безпеку своїх даних. Передумовою для злому можуть бути підвищені привілеї або програми, завантажені з неофіційного джерела.

Ризики виникають не тільки через окремі вразливості на клієнті або сервері; загрози часто викликані декількома, здавалося б, незначними недоліками в різних частинах мобільного додатку.

Для тестування безпеки мобільного додатку необхідно виконати такі дії:

• з'ясувати, чи вимагає структура безпеки програми надійний пароль і чи не дозволяє зловмиснику використовувати паролі інших користувачів;
• з'ясувати, чи захищені логіни, паролі, номери кредитних карток та інші дані користувачів програми від атак автоматичних систем і чи не можуть вони бути виявлені підбором;
• захистити додаток і мережу від DoS-атак;
• перевірити відповідність часу сеансу звернення;
• знаходити динамічні залежності та вживати заходів для захисту цих вразливостей від хакерів;
• перевірити, чи програма не надає доступ до секретного вмісту чи функцій без належної автентифікації;
• запобігати небезпечному зберіганню даних у пам’яті пристрою; 
• захищати додаток від атак SQL-ін'єкцій;
• знаходити випадки некерованого коду та усувати наслідки;
• аналізувати вимоги до зберігання та перевірки даних;
• забезпечувати керування сесіями для захисту інформації від неавторизованих користувачів;
• вивчити всі криптографічні коди та виправити помилки, якщо необхідно;
• переконатися, що бізнес-логіка програми захищена та не піддається зовнішнім атакам;
• переконатися, що термін дії сертифіката не минув, якщо програма використовує закріплення сертифіката;
• аналізувати взаємодію системних файлів, виявляти й усувати вразливості;
• звільнити систему від випадків переповнення буфера або від порушень цілісності пам'яті;
• перевірити блоки керування протоколом (наприклад, чи не скидається сторінка за замовчуванням за допомогою шкідливих iFrames);
• захистити додаток від зловмисних атак;
• захистити систему від зловмисних вторгнень під час роботи програми;
• перевіряти файли користувача та запобігати їх можливому шкідливому впливу;
• усунення можливого шкідливого впливу файлів cookies;
• забезпечити регулярний моніторинг інформаційної безпеки;
• аналізувати різні потоки даних і захищати систему від потенційних шкідливих впливів.

Проаналізувавши можливість використання методології OWASP Mobile TOP 10 для тестування безпеки мобільних додатків, можна зробити висновок, що вона дозволяє чітко та чисельно проаналізувати кількість потенційних вразливостей, які можуть призвести до порушення конфіденційності, цілісності та доступності інформації, які програма отримує, зберігає та обробляє.