Google+
Журнал Плас Плас Журнал http://www.plusworld.ru/
ул. Кржижановского, д. 29, корп. 5 Москва, 117218 Россия
+7 495 961 1065 http://www.plusworld.ru/upload/templates/logo_plus_ru.png
RSS RSS RSS RSS

Анализ безопасности мобильных банковских приложений 2012

(Голосов: 1, Рейтинг: 5)
Количество просмотров 2621 просмотр

В прошлом году исследовательский центр Digital Security выпустил отчет «Результаты исследования безопас­ности банк-клиентов российских производителей за период 2009-2011 гг.», где мы поделились своим опытом анализа систем ДБО и неутешительными результатами оценки их безопасности.

Мы не стоим на месте и стараемся делать сегодня то, что будет востребовано завтра. В этом исследовании описаны угрозы, уязвимости и векторы атак для банк-клиентов, разработанных для мобильных платформ (Android и iOS).

Эволюция банковского обслуживания

0.png

Идет активное развитие мобильных технологий, современные требования бизнеса таковы, что доступ к ин­формации должен осуществляться быстро, надежно и из любой точки мира. Платежные приложения не явля­ются исключением, и они постепенно появляются на наших мобильных устройствах (смартфонах, планшетах и т.д.). Мобильные устройства пока еще недостаточно изучены, и каждая мобильная ОС (Android, iOS, Windows Phone, Symbian, BlackBerry и т.п.) имеет свою специфику, поэтому в каждой из них можно обнаружить большое количество как новых уязвимостей, так и хорошо известных.

Были изучены мобильные банковские приложения для таких банков, как:

Альфа-Банк,

Банк «Санкт-Петербург» Банк «Балтика», Банк24.ру,

Банк БФА,

ВТБ, ВТБ 24, Газпромбанк, Инвестбанк, Крайинвестбанк,

КС Банк,

Мастер-Банк,

МДМ Банк,

Московский Индустриальный Банк,

Московский Кредитный Банк, Мордовпромстройбанк,

МТС-Банк,

Народный кредит,

НОМОС-Банк,

Первобанк,

ПримСоцБанк,

Промсвязьбанк,

Росбанк,

РосЕвроБанк,

РосИнтерБанк,

РСХБ,

Русский Стандарт,

Сбербанк,

Связь-Банк,

СИАБ,

Смоленский Банк,

Тинькофф Кредитные Системы, УБРиР,

Финансовая группа Лайф,

Ханты-Мансийский Банк, ЮниКредитБанк

и другие.

Мобильные банковские приложения для iOS

1.png

Записывают критичную информацию в лог-файл

Не скрывают критичную информацию

Уязвимы к обходу директорий

Потенциально уязвимы к XSS

Потенциально уязвимы к XXE-атакам

Уязвимости, связанные с некорректной работой SSL

Потенциально уязвимы к SQLi

Лишь небольшое количество мобильных банков реализуют меха­низмы защиты. Все рассмотренные приложения содержат хотя бы одну уязвимость.

Большая часть приложений для iOS не используют параметры компи­ляции, предназначенные для защиты от эксплуатации ошибок, связан­ных с некорректной работой с памятью.

Мобильные банковские приложения для Android

2.png

Используют IMEI и IMSI в своей работе

Неправильно используют механизмы межпроцессного взаимодействия

Потенциально уязвимы к SQLi

Потенциально уязвимы к XSS

Уязвимости, связанные с некорректной работой SSL


На основе полученных результатов мы составили топ-10 мобильных банков для iOS и Android с наименьшим числом угроз. При составлении рейтинга программе присваивался 1 балл при наличии защитного механизма или отсутствии небезопасного API определенного класса, и 1 балл вычитался в противоположном случае. Стоит заметить, что 4 банка попали в оба рейтинга.

Топ-10 для iOS

Топ-10 для Android

10

СИАБ

СИАБ

10

10

Мастер-Банк

Банк «Санкт-Петербург»

9

10

Финансовая группа Лайф

МТС-Банк

9

6

Банк24.ру

ФБИиР

8

6

РосЕвроБанк

РосЕвроБанк

8

4

Банк БФА

Московский Кредитный Банк

7

4

Банк «Народный кредит»

Примсоцбанк

7

4

Сбербанк

Банк «Русский Стандарт»

7

3

МТС-Банк

МДМ-Банк

7

3

Банк «Санкт-Петербург»

Инвестбанк

7

Мобильный мир

Популярные мобильные ОС

OC Android и iOS наиболее распространены на сегодняшний день и имеют наибольшее количество мобиль­ных банковских приложений в своих магазинах (Google Play и App Store соответственно).

ОС Windows Phone достаточно молода и еще не так распространена среди пользователей, но уже сейчас име­ет в своем магазине (Windows Store) небольшое количество мобильных банковских приложений. В данное исследование банковские приложения для ОС Windows Phone не включены из-за их малого количества на данный момент (в Windows Store их всего 9). Но с учетом появления Windows Phone 8, содержащей новую модель разработки, позволяющую (благодаря легкому портированию) одновременно разрабатывать прило­жения для обычной ОС Windows 8 и мобильной, можно ожидать рост популярности разработки под Windows Phone 8.

Типы приложений для мобильных устройств

Приложения для мобильных устройств можно классифицировать по множеству критериев, но в контексте безопасности приложений нас интересуют следующие: по месту расположения приложения и по типу ис­пользуемой технологии передачи данных.

По месту расположения приложения:

• SIM-приложения — приложение на SIM-карте, написанное в соответствии со стандартом SIM Application Toolkit (STK);

• Web-приложения — специальная версия web-сайта;

• Мобильные приложения — приложение, разработанное для определенной мобильной ОС с использо­ванием специализированного API, устанавливаемое в смартфон.

По типу используемой технологии взаимодействия с сервером:

• Сетевые приложения — используют собственный протокол общения поверх TCP/IP, например HTTP;

• SMS-приложения — приложение на основе SMS (Short Messaging Service). Приложение обменивается с сервером информацией с помощью коротких текстовых сообщений;

• USSD-приложения — приложение на основе USSD (Unstructured Supplementary Service Data). Сервис основывается на передаче коротких сообщений, схожих с SMS, но имеет ряд отличий;

• IVR-приложения — приложение, базирующееся на технологии IVR (Interactive Voice Response). Система основана на заранее записанных голосовых сообщениях и тональном наборе.

Именно приложения, разработанные для определенной мобильной ОС с использованием специализирован­ного API, устанавливаемые в смартфон для взаимодействия с соответствующим банковским сервисом, сейчас наиболее распространены, так как полностью используют возможности мобильного аппарата и имеют наиболее дружественный пользовательский интерфейс. Их мы и рассматриваем в данном исследовании.


Типы приложений для мобильного банкинга

3.png


К категории «без доступа к счету» относятся такие программы, которые выполняют лишь вспомогательную работу. Эти функции могут присутствовать и в приложениях, у которых есть возможность работать со счетом. Часто мобильное приложение эволюционирует из простого навигационного приложения в приложение с возможностью работы со счетом. Некоторые банки, наоборот, предпочитают раз­носить эти функции на несколько приложений, что, с нашей точки зрения, правильно: если критичное прило­жение (производящее платежные операции) не перегружается лишним функционалом, количество векторов атаки, доступных злоумышленнику, уменьшается.

В данном исследовании изучались приложения с доступом к счету.

Методология анализа защищенности мобильных приложений

Во время анализа защищенности мобильного приложения производится оценка защищенности трех основных компонентов: серверной части, клиентской части и канала связи.

4.png

Методы оценки безопасности клиентского приложения:

1. Динамический анализ:

· Отладка запущенного приложения (на эмуляторе или устройстве);

  • Фаззинг;
  • Анализ сетевого трафика;

· Анализ взаимодействия с файловой системой;

  • Анализ памяти приложения.

2. Статический анализ:

· Анализ исходного кода (если доступен); Обратное проектирование (Reverse Engineering):

o Дизассемблирование;

o Декомпиляция;

· Анализ полученного представления на слабые участки кода.

Модели нарушителя

1. Злоумышленник, имеющий физический доступ к устройству клиента. При этом на устройстве не вклю­чена блокировка экрана и не используется шифрование.

2. Злоумышленник, не имеющий доступ к устройству, находящийся рядом с жертвой и способный провести атаку типа «человек посередине».

3. Злоумышленник, который загрузил на устройство клиента свое вредоносное приложение, используя официальные магазины приложений или иные способы.

Атаки на серверную часть ничем не отличаются от атак на обычные системы ДБО, рассмотренных в отчете Digital Security «Результаты исследования безопасности банк-клиентов российских производителей за пери­од 2009-2011 гг.»

Атаки на клиентскую часть возможны при наличии:

• физического доступа к устройству;

• вредоносного приложения на устройстве;

• или возможности контролировать канал, например, в результате атаки «человек посередине».

При физическом доступе злоумышленник может получить доступ к файловой системе. Если приложение хранит аутентификационные данные или другие критичные данные в открытом виде либо критичные данные «утекают» в открытом виде, то для злоумышленника несложно получить эти данные и украсть деньги.

Защита: использовать криптографические возможности устройства, шифрование критичных данных и при не­обходимости возможность удаленной очистки данных, а также проводить анализ защищенности приложения, который поможет выявить возможные утечки критичных данных и некорректное использование шифрования.

Для атаки через вредоносное приложение необходимо установить вредоносное приложение, используя методы социальной инженерии или через атаку Drive-by-Download.

После установки вредоносного приложения злоумышленник может поднять свои привилегии в системе, ис­пользуя эксплойт для уязвимости в ОС смартфона, и получить удаленный доступ к устройству с полными пра­вами доступа, что приведет к полной компрометации устройства: злоумышленник сможет украсть критичные данные пользователя мобильного банкинга или подменять данные платежных операций.

Защита: обновлять программное обеспечение на устройстве, использовать программные средства защиты и по­вышать осведомленность пользователей в вопросах информационной безопасности.

Атаки на канал связи: в ходе классической атаки «человек посередине» перехватываются данные между устройством клиента и сервером. Для этого необходимо находиться в одной сети с жертвой, например в пу­бличной сети Wi-Fi, или использовать поддельные беспроводные точки доступа и поддельные базовые стан­ции. Необходима уязвимость в мобильном приложении - некорректная работа с шифрованием передавае­мых данных или полное отсутствие шифрования данных. Самый распространенный пример - неправильная работа с SSL. В результате злоумышленник может прослушивать и подменять передаваемые данные, что мо­жет в итоге привести к краже денежных средств со счета клиента.

Защита: правильная реализация работы с SSL. Также рекомендуется в мобильном приложении при подклю­чении к серверу доверять только SSL-сертификату банка. Это поможет в случае компрометации корневого центра сертификации.

Стоит также отметить, что jailbreak устройства (iOS) или наличие root-доступа на устройстве (Android) пользователя значительно снижает уровень защищенности устройства и упрощает атаку для злоумышленника.


Дерево атак на мобильный банкинг

5.png

Методология данного исследования

В рамках данного исследования проводился статический анализ кода клиентской части (мобильного приложения) методом черного ящика.

Анализ кода проводился с помощью внутреннего инструмента, разработанного Digital Security.

Все данные для проведения анализа брались из свободных источников или внутренних исследований. Данные актуальны на 01.01.2013.

В процессе данного исследования производился поиск уязвимостей и недостатков, связанных с параметрами компиляции приложения, использованием небезопасного API, отсутствием механизмов безопасности.

В исследовании рассматриваются приложения для российских банков с возможностью работы со своим счетом, как наиболее критичные и интересные с точки зрения безопасности, так как недостатки в этих приложениях могут привести к краже денежных средств.

Критерии отбора приложений для анализа:

• Приложение российского банка;

• Бесплатное;

• Возможность работы со счетом;

• Использует интернет-соединение для передачи данных.

На схеме изображена упрощенная модель угроз мобильного банкинга. Схема отображает наиболее частые сценарии действий злоумышленника при взломе. Злоумышленник может комбинировать данные приемы (для простоты схемы такие комбинации не отображены). Например, возможен такой сценарий, при котором уязвимость в серверной части позволит реализовать уязвимость в мобильном приложении.


Результаты исследования безопасности приложений под iOS

iOS — это мобильная операционная система от компании Apple. Данная операционная система предназна­чена только для устройств от компании Apple: iPod, iPhone, iPad и Apple TV. iOS базируется на Mac OS X. Для распространения приложений для данной платформы используется специальный магазин - App Store.

Для разработки используется язык Objective-C, который является компилируемым объектно-ориентирован­ным языком программирования. Objective-C построен на основе языка программирования Си и парадигм языка программирования Smalltalk.

Статистика по разработчикам приложений для мобильного банкинга российских банков с доступом к счету для iOS

Faktura.ru

5

Unreal Mojo

4

Bank Soft Systems

3

Exclusive Processing

3

iDA Mobile

3

Intervale

2

Мобильная карта

2

Compass Plus

1

Idline

1

LIC

1

Qulix Systems

1

Степ An

1

БелМобайлСофт

1

ГАЛС Софт

1

Платежные Технологии

1

SMS Traffic

1

Системные технологии

1

Неизвестно

6*

* Не всегда можно точно установить разработчика мобильного приложения. Это связано с тем, что в магазин приложение выкладывается под именем банка или частного лица и не содержит никакой информации о разработчике.

График появления банковских мобильных приложений для iOS

6.png

Анализ метаданных

Используемые SDK

На основании данной информации можно сделать выводы как о ча­стоте обновления, так и о безопасности приложений. Так, в SDK 4.3 используется протокол TLS 1.0, который поддерживает 29 типов шифрования, из которых 5 являются слабыми. Приложения, ис­пользующие данную версию SDK, потенциально могут быть ском­прометированы.

Из последующих версий SDK данные типы шифрования убрали.

Версия SDK

Количество приложений

4.3

2

5.0

5

5.1

16

6.0

17

Параметр компиляции PIE

PIE (Position Independent Executable) — это специальный механизм, который за­дается параметром компиляции и относится к классу параметров безопасности, нацеленных на усложнение процесса эксплуатации ошибок, связанных с некор­ректной работой с памятью. Позволяет использовать все преимущества ASLR (Address Space Layout Randomization).

Характеристика

Количество

Использует PIE

20

Не использует PIE

20

Параметр компиляции SSP

SSP (Stack Smashing Protection) — это специальный механизм, который задается параметром компиляции и относится к классу параметров безопасности, наце­ленных на идентификацию некорректной работы программы. Позволяет иден­тифицировать ошибки, связанные с переполнением буфера в стеке.

Характеристика

Количество

Использует SSP

16

Не использует SSP

24

Параметр компиляции ARC

Характеристика

Количество

Использует ARC

29

Не использует ARC

11

ARC (Automatic Reference Counting) — это специальный механизм, который за­дается параметром компиляции и который косвенно можно отнести к классу параметров безопасности. Берет на себя работу по управлению памятью и по­могает избежать ошибок, связанных с утечкой памяти и неправильной работой с указателями, приводящих к уязвимостям типа use-after-free и double free.


Анализ API

Некорректная работа с SSL

Для работы с SSL-соединением существует ряд функций, использование кото­рых приводит к отключению проверки сертификата. Разработчики используют их в процессе тестирования приложения и часто забывают убрать соответству­ющий код перед публикацией приложения в App Store. В результате злоумыш­ленник способен провести атаку «человек посередине», прослушивать данные между клиентом и сервером и манипулировать ими в своих целях. Например, он сможет подменять данные платежей или переводов.

Характеристика

Количество

Некорректная работа

14

Корректная работа

26


SQL -инъекции

Некоторые приложения используют базу данных SQLite. При определенных ус­ловиях злоумышленник может получить доступ к информации, хранящейся в базе данных, или сделать приложение неработоспособным.

Характеристика

Количество

Потенциально уязвимо к SQLi

9

Отсутствие SQLi

31

Использование Keychain

Keychain в iOS — это специальное зашифрованное хранилище, предназначенное для хранения критичной информации приложений.

Отсутствие keychain не означает, что приложение хранит свои данные в откры­том виде. Приложение может вообще не хранить на клиентском устройстве критичные данные или хранить их в своих локальных файлах, используя стан­дартные или свои собственные функции шифрования.

После применения jailbreak к устройству данные из keychain могут быть прочитаны в открытом виде. В случае использовании локального файла как хранилища критичной информации он может быть удаленно прочитан злоумышленником. Наилучшее решение — не хранить никакой критичной информации на устройстве. К со­жалению, это не всегда возможно.

Характеристика

Количество

Использует keychain

8

Не использует keychain

32

XSS

Некоторые приложения используют класс UlWebview («обертка» над WebKit) для встраивания веб-данных в свой интерфейс. При недостаточной фильтрации входных данных злоумышленник может подставить вредоносный JavaScript-код, который выполнится на устройстве в контексте атакуемого приложения.

Наличие данной уязвимости может привести к частичной компрометации данных клиента банка, вплоть до хищения денежных средств со счета.

Характеристика

Количество

Потенциально уязвимо к XSS

28

Отсутствие XSS

12

XXE

XXE (XML eXternal Entity) — атака, с помощью которой злоумышленник может внедрять внешние или внутренние сущности (entities) в XML-запрос, и они будут соответствующим образом обработаны системой.

В результате атаки злоумышленник имеет возможность читать произвольные файлы в директории приложения, если устройство не имеет jailbreak, и любые файлы, если устройство имеет jailbreak (при jailbreak механизм sandbox выключен). Это значит, что возможно чтение любых конфиденци­альных файлов приложения. Кроме того, злоумышленник имеет возможность вызвать отказ приложения в обслуживании.

Характеристика

Количество

Потенциально уязвимо к XXE

18

Отсутствие XXE

22

Уязвимость обхода директории

Некоторые приложения используют функции для работы с файловой системой. В случае недостаточной фильтрации данных, получаемых от сервера, и попада­ния их в функцию такого типа злоумышленник сможет получить доступ к файлу, не предусмотренный первоначальным функционалом.

Характеристика

Количество

Потенциально уязвимо к обходу директории

8

Отсутствие уязвимости обхода директории

32

Использование NSLog

Функция NSLog используется для записи отладочной информации в общий системный лог. Любое приложе­ние может читать и записывать данные из этого лога.

Перед публикацией приложения в магазине необходимо отказаться от исполь­зования данной функции: как показывает наш опыт исследования мобильных приложений, достаточно часто в лог попадает критичная информация, доступ к которой может полностью или частично скомпрометировать банковские данные пользователя. Помимо этого, данная функция при некорректном ис­пользовании подвержена атаке типа format string.

Характеристика

Количество

Используют

33

Не используют

7

Раскрытие критичной информации

При работе с мобильным банк-клиентом достаточно часто приходится вводить критичную, персональную информацию, при компрометации которой злоумышленник может нанести тот или иной вред ее обладателю. Описанные ниже проверки направлены на оценку защищенности данных (логин, пароль, PIN, номер счета и т.д.), вводимых пользователем в поля приложения. В iOS-приложении утечка вводимой критичной информации возможна через скриншоты, функцию автокоррекции или pasteboard.

Характеристика

Скриншоты

Автокоррекция

Pasteboard

Безопасное использование

11

28

28

Небезопасное использование

29

12

12

Скриншоты

При сворачивании приложения в iOS создается снимок экрана и сохраняет­ся до следующего его открытия. На созданном скриншоте экрана может со­держаться критичная информация, которая потом может быть восстановлена злоумышленником.

Автокоррекция

Операционная система при вводе данных может подсказывать пользователю наиболее правильный вариант ввода. В процессе работы данная система мо­жет увеличивать свою базу слов. Таким образом, в базу могут попасть и кон­фиденциальные данные, которые не должны храниться на устройстве. Сейчас автокоррекция отключена для полей ввода пароля, но для полей с другой кри­тичной информацией автокоррекцию необходимо отключать программным путем.

Pasteboard

Функция, которая реализует буфер обмена. При использовании стандартно­го pasteboard доступ к буферу обмена могут получить другие приложения, то есть возможна утечка критичных данных.

Отладочная информация

В процессе анализа в составе приложений было найдено много отладочной информации, позволяющей со­ставить представление о внутренней инфраструктуре разработчика приложения, также найдены файлы для внутреннего использования, в которых хранится переписка разработчиков, отметки о состоянии закрытия той или иной ошибки или реализации нового функционала.

Необходимо перед релизом новой версии приложения в App Store внимательно просматривать итоговое приложение на наличие конфиденциальной информации.

Защитные механизмы

Из всех исследуемых приложений:

• Ни одно не использовало антиотладочные техники;

• Ни одно не использовало техники обфускации кода;

• Два приложения детектировали наличие jailbreak на устройстве.

В связи со спецификой модели выполнения кода на Objective-C даже без исходного кода легко восстановить информацию о назначении используемых классов и их методах, что значительно упрощает процесс восста­новления работы программы и поиска в ней уязвимостей.

Устройство с установленным jailbreak в значительной степени подвержено различным угрозам безопасности. Это связано с тем, что большинство механизмов безопасности при jailbreak отключаются. Как правило, прило­жения, детектирующие jailbreak, либо вообще отказываются работать на таком устройстве, либо предостав­ляют ограниченный функционал.

Но даже при использовании всех вышеперечисленных техник приложение все равно можно исследовать и за­пускать на устройстве с jailbreak. Они лишь усложняют, замедляют процесс исследования приложения и требу­ют более высокой квалификации исследователя.


Результаты исследования безопасности приложений под Android

Статистика совпадает со статистикой для iOS, так как разработчик в большинстве случаев разрабатывает приложения под обе платформы.

Статистика по разработчикам приложений для мобильного банкинга российских банков с доступом к счету для Android

Faktura.ru

5

Unreal Mojo

4

Bank Soft Systems

4

Exclusive Processing

3

iDA Mobile

3

Intervale

3

Мобильная карта

2

Русофт

2

LIC

1

Qulix Systems

1

Степ Aп

1

ГАЛССофт

1

Платежные Технологии

1

SMS Traffic

1

Системные технологии

1

Неизвестно

7*

* Не всегда можно точно установить разработчика мобильного приложения. Это связано с тем, что в магазин приложение выкладывается под именем банка или частного лица и не содержит никакой информации о разработчике.


Анализ метаданных

Анализ AndroidManifest.xml

На основе анализа файла AndroidManifest.xml можно получить информацию о правах, которые необходимы приложению, и используемых приложением механизмах межпроцессного взаимодействия.

Права

Количество приложений с этими правами

android.permission.INTERNET

40

android.permission.ACCESS_FINE_LOCATION

35

android.permission.ACCESS_COARSE_LOCATION

27

android.permission.ACCESS_NETWORK_STATE

23

android.permission.READ_PHONE_STATE

21

android.permission.CALL_PHONE

17

android.permission.WRITE_EXTERNAL_STORAGE

16

android.permission.RECEIVE_SMS

13

android.permission.READ_CONTACTS

12

android.permission.ACCESS_MOCK_LOCATION

7

android.permission.VIBRATE

6

android.permission.ACCESS_WIFI_STATE

6

android.permission.SEND_SMS

5

android.permission.ACCESS_GPS

5

android.permission.CHANGE_CONFIGURATION

5

android.permission.CAMERA

3

android.permission.CONTROL_LOCATION_UPDATES

3

android.permission.READ_SMS

3

android.permission.WRITE_CONTACTS

3

android.permission.ACCESS_LOCATION_EXTRA_COMMANDS

2

android.permission.CHANGE_WIFI_STATE

2

android.permission.READ_LOGS

2

android.permission.WRITE_SMS

1

android.permission.BROADCAST_STICKY

1

android.permission.GET_TASKS

1

android.permission.WRITE_SETTINGS

1

В таблице красным отмечены критичные права приложения, которые позволяют читать логи устройства, настройки устройства и нужны при использовании в небезопасных API-вызовах. Например, право WRITE_EXTERNAL_STORAGE позволяет читать и записывать данные на внешнюю SD-карту. При этом в Android не действует разграничение прав для приложений на SD-карту: любое приложение может считать с нее любые данные. Следовательно, стороннее приложение может прочитать критичные данные клиента с SD-карты.

Желтым цветом отмечены права, которые не критичны, но не нужны для выполнения функций мобильного банкинга (доступ к контактам, SMS-сообщениям, камере).

7.png

Данный график отображает, сколько приложений имеют права высокой, средней и низкой критичности.

Приложения, которые используют публичные механизмы межпроцессного взаимодействия ( IPC)

Характеристика

Количество

Приложения, использующие IPC

17

Приложения, не использующие IPC

23

Публично доступные механизмы межпроцессного взаимодействия являются точками входа данных анали­зируемого приложения. Они позволяют сторонним приложениям посылать данные рассматриваемому при­ложению. Чем больше таких точек входа данных, тем больше вероятность потенциальной уязвимости в при­ложении.

Тип

Количество

Activities

53

Receivers

15

ContentProvider

7

Services

2

СontentProvider предоставляет данные другим приложениям.

Receivers являются обработчиками сообщений от других процессов.

Services – это службы в Android, которые работают как фоновые процессы.

Activities – визуальный компонент приложения, который отображает интерфейс. Неправильная валидация входящих данных в этих компонентах может привести к уязвимостям SQL-инъекции, XSS, утечки данных и другим.

Анализ API

Использование HTTP-соединения без SSL

Для соединения с серверами необходимо использовать защищенное SSL- соединение. Однако некоторые приложения в своих исходных кодах и ре­сурсах содержат ссылки на сервер вида "http://", то есть при определенных обстоятельствах эти приложения могут использовать протокол HTTP, который позволяет проводить атаку «человек посередине».

Наличие данной уязвимости позволит злоумышленнику осуществить атаку «человек посередине», скомпро­метировать критичные данные клиента и совершить незаконную платежную операцию.

Характеристика

Количество

Не используют SSL

12

Используют SSL

28

Некорректная проверка SSL-сертификата

Для работы с SSL-соединением существует ряд функций, использование кото­рых приводит к отключению проверки сертификата. Например, разработчи­ки устанавливают режим проверки сертификата, который разрешает все SSL- сертификаты и не сверяет имя сервера, указанное в сертификате, с именем сервера при соединении. В результате злоумышленник может подменить SSL- сертификат на свой и провести атаку «человек посередине».

Наличие данной уязвимости позволит злоумышленнику осуществить атаку «человек посередине», скомпро­метировать критичные данные клиента и совершить незаконную платежную операцию.

Характеристика

Количество

Некорректная работа

6

Корректная работа

34

Использование критичной информации

Некоторые приложения получают и используют уникальную критичную ин­формацию телефона, такую как IMEI или IMSI. Данная информация считается личной информацией, поскольку идентифицирует абонента и может исполь­зоваться для его отслеживания. Кроме того, IMEI и IMSI нельзя использовать в качестве уникального идентификатора, поскольку сторонние приложения также могут его получить.

Данная уязвимость не критична, но может использоваться совместно с другими уязвимостями.

Характеристика

Количество

Получают IMEI/IMSI

18

Не используют IMEI/IMSI

22

Использование Broadcast-сообщений без спецификации прав

Для общения между процессами и системой в Android существуют механизмы межпроцессного взаимодействия. Некоторые приложения не устанавливают права на обработку этих сообщений. Если в этих сообщениях передается кри­тичная информация, то стороннее приложение может получить ее.

Наличие данной уязвимости позволит злоумышленнику частично скомпрометировать критичные данные клиента.

Характеристика

Количество

Посылают Broadcast

11

Не посылают Broadcast

29

Небезопасное использование webView

Некоторые приложения использует компонент webView. Данный компонент позволяет отображать HTML- страницы, находящиеся локально или удаленно. В нем есть функции, которые позволяют использовать JavaScript, плагин Flash и доступ к файловой системе. По умолчанию эти функции отключены, поскольку при соединении по незащищенному протоколу HTTP или при наличии уязвимости XSS на удаленном сервере зло­умышленник сможет выполнить произвольный JavaScript-код. Мобильный банк при заходе на страничку с этой уязвимостью загрузит вредоносный JavaScript, и злоумышленник получит частичный контроль над мо­бильным банком клиента.

Характеристика

Количество

Включают только JavaScript

4

Включают JavaScript и доступ к файловой системе

2

Включают JavaScript и поддержку плагинов

1

Не используют webView или JavaScript

33

Несколько рассмотренных нами приложений включают JavaScript, плагины и доступ к файловой системе, что является критичной уязвимостью. Неправильная валидация данных или использование незащищенного ка­нала может привести к осуществлению атаки на телефон жертвы. Использование функций доступа к файло­вой системе позволит злоумышленнику в случае атаки типа XSS получить доступ к файловой системе. Использование webView с выключенным JavaScript некритично.

Наличие данной уязвимости может привести к компрометации критичных данных клиента и хищению денеж­ных средств.

Открытие файла с правами доступа для всех

В Android все создаваемые файлы доступны только данному приложению, од­нако некоторые приложения создают файлы, доступные для чтения и записи всем пользователям. Хранение критичных данных в таком файле может при­вести к их компрометации.

Наличие данной уязвимости может привести к частичной компрометации критичных данных клиента.

Характеристика

Количество

Есть публичные файлы

2

Нет публичных файлов

38

Небезопасная работа с парсером XML

Некоторые приложения используют парсер XML с поддержкой External Entities. В случае обработки данным парсером нефильтрованного ввода злоумышлен­ник может провести атаку типа XXE и прочитать произвольный файл приложе­ния.

Наличие данной уязвимости может привести к частичной компрометации критичных данных клиента и от­казу в обслуживании.

Характеристика

Количество

Потенциальная XXE

1

Отсутствует XXE

39

SQL -инъекции

Для хранения данных в Android может использоваться база данных SQLite. Для доступа к базе данных может использоваться ContentProvider. При определен­ных обстоятельствах злоумышленник может выполнить SQL-инъекцию и полу­чить доступ к информации, хранящейся в базе данных, или нарушить работо­способность приложения.

Наличие данной уязвимости позволит злоумышленнику частично скомпрометировать критичные данные клиента и/или вызвать отказ в обслуживании.

Характеристика

Количество

Потенциальная SQLi

8

Отсутствует SQLi

32

Защитные механизмы

Для защиты приложения необходимо, как минимум, отключать флаг отладки при сборке.

Приложения для Android легко декомпилировать, поэтому для защиты от реверс-инжиниринга необходимо использовать обфускацию приложений.

Отсутствие обфускации значительно упрощает процесс восстановления работы программы и поиска в ней уязвимостей.

Устройства с root-доступом значительно больше подвержены угрозам безопасности. Поэтому для обеспече­ния безопасности следует проводить проверку на наличие root-доступа на устройстве. Из рассмотренных приложений только одно проверяло наличие root-доступа на смартфоне.

Характеристики

Количество

Приложения, использующие обфускацию

9

Приложения, использующие обфускацию и детектирующие устройства с root-доступом

1

Приложения, которые не используют средства защиты

31


Выводы

В связи с бурным ростом и развитием мобильных платформ растет и популярность мобильного банкинга.

Приложения для мобильных платформ подвержены как старым общеизвестным угрозам, так и новым, еще не изученным до конца. Растет уровень распространения вредоносных приложений для Android.

Угрозы безопасности мобильных банков создают риски компрометации критичных данных пользователей, хищения денежных средств и нанесения ущербу репутации банка. Разработчики мобильных банк-клиентов не уделяют достаточно внимания вопросам безопасности приложения, не следуют руководствам по безопас­ной разработке. У разработчиков зачастую отсутствуют процессы разработки безопасного кода и архитекту­ры.

Проведенное нами исследование, основанное на статическом анализе кода, показывает, что мобильные банки содержат уязвимости и недостатки, которые могут привести к хищению денежных средств. Уровень защищенности мобильных банков в большинстве случаев не превосходит уровень защищенности обычных мобильных приложений, в то время как связанные с ними риски подразумевают повышенные требования по безопасности.

Перед началом исследования мы предполагали, что количество специфичных уязвимостей для мобильной платформы будет значительно преобладать над количеством общеизвестных. Но в результате можно увидеть примерно одинаковое количество уязвимостей обоих классов. Это означает наличие возможности проведе­ния хорошо известных атак и на мобильные банковские приложения без знания их специфики. Полученные результаты пересекаются с OWASP Top 10 Mobile Risks.

У злоумышленников есть множество путей реализации атак. При этом затраты на проведение атаки могут в реальной среде быть весьма низкими по сравнению с возможной выгодой.

Современные средства защиты для мобильных устройств - антивирусы, MDM-решения и т.д. - могут сокра­тить риск, но не решить весь спектр проблем. Безопасность должна внедряться еще на этапе проектирования системы и присутствовать на всех этапах жизненного цикла программы, включая этап разработки и внедре­ния. Необходимо осуществлять аудит кода, анализ защищенности приложения, тестирование на проникно­вение.

Риски при использовании мобильного банкинга обратно пропорциональны защищенности приложения. По­этому необходим комплексный аудит защищенности мобильных банковских приложений. Специалисты по ИБ банков должны уделять не меньше внимания безопасности мобильных банков, чем безопасности интер­нет-банков.

Рекомендации:

1. Осведомлять программистов по вопросам безопасности;

2. Закладывать безопасность в архитектуру;

3. Проводить аудит кода;

4. Проводить анализ защищенности приложения;

5. Применять параметры компилятора, связанные с безопасностью;

6. Контролировать распространение приложения в сети Интернет;

7. Быстро закрывать уязвимости и выпускать обновления.


Для того, чтобы ознакомиться с подробными результатами исследования, вы можете скачать его по ссылке ниже.


Анализ безопасности мобильных банковских приложений 2012.docx Скачать



обновить

а вы знаете, что...

… в Океании раковины каури (моллюсков) сохранились как платежное средство ограниченного оборота до наших дней? В настоящее время среди всех архипелагов Океании раковины моллюсков действительно распространены в качестве не декоративной, а реальной расчетной единицы на Соломоновых островах.