علیرغم سرمایه‌گذاری مناسب بانک‌ها بر روی مسائل امنیتی در خصوص حوزه‌های مختلف فناوری اطلاعات، بنظر می رسد ایشان هنوز موضوع امنیت اپلیکیشن های موبایلی را جدی نگرفته‌اند. در برخی از این اپلیکیشن ها که به لحاظ ماهیتی بسیار مهم هستند، می‌توان با صرف زمان کوتاهی به اطلاعات محرمانه و حساس دست پیدا نمود. در این یادداشت سعی می کنیم تا با نگاهی دقیقتر نسبت به آسیب پذیری های امنیتی اپلیکیشن های مذکور و همچنین تبین باورهای غلط در میان برنامه نویسان و مدیران این موسسات مالی، توجه دست اندرکاران را به اهمیت و ضرورت امن سازی اپلیکیشن خود جلب نماییم.
نویسنده: میلاد یداللهی
دسته بندی: امنیت برنامه های موبایل
بسیاری از برنامه‌نویسان موبایل بر این باورند که اپلیکیشنهای ایشان دارای سطحی مناسب از امنیت هستند که از سوی ارائه‌دهنده پلتفرم (بویژه iOS) تضمین شده است. آنها عموما تصور می‌کنند که امکان دستکاری (Tampering) اپلیکیشن وجود ندارد و یا خیلی کم است. از سوی دیگر هرگونه تغییر اپلیکیشن که منجر به دورزدن مکانیزم‌های امنیتی شود، می‌تواند موجب تبعات جبران ناپذیری گردد. در این مقاله با اجرای حملات دستکاری کد برای یک اپلیکیشن واقعی در هر دو پلتفرم، سعی می‌کنیم این باور غلط را تبیین نموده و همچنین راهکارهای امن‌سازی اپلیکیشن در برابر این آسیب‌پذیری‌ها را بیان نماییم.
اقبال عمومی به استفاده از خدمات آنلاین – به ویژه خدمات مالی- روز به روز در حال افزایش است و مسائل مرتبط با شیوع و پاندمی کرونا، این اقبال را چندین برابر کرده است. این مهاجرت سریع از درگاههای سنتی به درگاههای موبایلی، سبب شده است بسیاری از اپلیکیشن های موبایلی فعال در این حوزه با عجله و بدون رعایت پیش نیازهای امنیتی تولید و عرضه شوند. بر اساس بررسی های صورت گرفته، بدافزارها و تروجان ها، انتشار اپلیکیشنهای جعلی و نشت اطلاعات از اپلیکیشنهای پرداختی، سه مورد از دغدغه های امنیتی صاحبان این اپلیکیشنها هستند که در این مقاله به آنها پرداخته شده است.
نویسنده: علی مهرآبادی
اصل اول در امنیت به این نکته اشاره دارد که هیچگاه به امنیت در سمت کاربر، مطمئن نباشید؛ زیرا آنجا نه شرایط محیطی و نه رفتار کاربر تحت کنترل شما نیست. اگر شما نیز جزء آن دسته از توسعه دهندگانی هستید که فکر می کنند تمهیدات امنیتی ای نظیر هاردکد کردن (Hard Coding) اطلاعات حساس در فایل build.gradle، برنامه را از مهندسی معکوس محافظت می کند، باید بدانید که این تفکر صحیح نیست! در این مقاله، نحوه کار یک مهاجم در انجام مهندسی معکوس و دسترسی یا تغییر در متن برنامه اپلیکیشنها معرفی و برخی از روشها و ابزارهای امن ساز در برابر این آسیب پذیری معرفی خواهد شد.
تهدیدات سایبری بر روی اپلیکیشنهای موبایلی روز به روز در حال افزایش است. بر اساس مطالعات مؤسسه Verizone، بیش از 40% از شرکتهای تحت بررسی طی سال گذشته مورد حمله سایبری قرار گرفته اند. نفوذگران بیش از همیشه به دنبال یافتن اپلیکیشنهای آسیب پذیر و سوء استفاده از آنها (با مهندسی معکوس (Reverse Engineering) برنامه و یا استفاده از آسیب پذیری های حین اجرا (Runtime)) هستند و به همین دلیل نرخ تراکنشهای تقلبی به شدت رو به فزونی است. از طرفی وابستگی سازمانها و کسب و کارها به اپلیکیشنهای موبایلی نیز روز به روز در حال افزایش است و بنابراین لازم است به امنیت آنها به عنوان الزامی جهت تداوم کسب و کار، توجه ویژه شود.
اپلیکیشنهای موبایلی زندگی انسانها را در حوزه های مختلفی مانند مالی، سرگرمی و خرده فروشی متحول کرده اند. کاربران به دریافت خدمات غیرحضوری، سریع و برخط (Online) عادت کرده اند و سازمانها نیز از این موضوع بعنوان یک مزیت رقابتی جهت افزایش رضایتمندی مشتریان و مخاطبان خود استفاده می کنند. بررسی سرمایه گذاری سازمانها برای تولید اپلیکیشنهای جدید در حوزه های مختلف، نشان دهنده درک این واقعیت توسط آنهاست. اما متأسفانه علیرغم رشد چشمگیر توجه سازمانها به مقوله امنیت، حدود 54% از سازمانها به امنیت اپلیکیشنهای موبایلی خود، کمتر از سایر زیرساختها (مانند وب سایت و شبکه) اهمیت می دهند.
درهم ریزی Obfuscation سورس کد، معروفترین راهکار امنیتی جهت جلوگیری از دستکاری اپلیکیشن های موبایل و حملات بدخواهانه توسط هکرها است. در این میان استفاده از ابزار متن باز Proguard جهت اجرای عملیات درهم ریزی اسامی/نام ها در میان برنامه نویسان بسیار متداول می باشد. در این مقاله ضمن معرفی تکنینک های مختلف امن سازی سورس کد اپلیکیشن های موبایل اندرویدی، توضیح خواهیم داد که چرا درهم ریزی نام ها به عنوان یک تکنیک امنیتی، نمی تواند به تنهایی ما را در برابر بسیاری از حملات متداول هکرها در حوزه اپلیکیشن های موبایل محافظت نماید.
محصولات امنیتی DexGuard (در پلتفرم اندروید) و iXGuard (در پلتفرم iOS) به مالکان اپلیکیشنهای موبایلی کمک می کنند که از انطباق با الزامات امنیتی استانداردهای جهانی مانند PSD2، پروژه امنیت موبایل OWASP و PCI اطمینان حاصل نمایند. این محصولات با محافظت از برنامه ها و کاربران در برابر تهدیدات ایستا و پویا، شرایط لازم جهت انطباق با الزامات امنیتی استاندارهای بین المللی را فراهم می آورند تا صاحبان مؤسسات مالی و همچنین مشتریان آنها بتوانند با خاطری آسوده، از آنها استفاده نمایند. در این مقاله چگونگی انطباق اپلیکیشنهای موبایلی با استفاده از محصولات مذکور با الزامات استاندارد امنیت پرداخت PCI بررسی خواهد شد.