Størstedelen af ​​mobile apps har alvorlige sikkerhedsfejl

Apps har ofte adgang til data, de ikke har brug for, eller tilladelser til at bruge hardware og tjenester, der ikke har noget at gøre med, hvad de gør. En nylig undersøgelse viser, at problemerne er meget mere udbredte, end vi troede.

HP-forskere undersøgte mere end 2.000 iOS-apps mellem oktober og november og fandt, at ni ud af ti apps havde alvorlige sårbarheder, ifølge undersøgelsen, der blev offentliggjort i sidste måned. Problemerne varierede fra at have for mange tilladelser, ikke-krypterede data og transmission af data usikkert. Spil behøver ikke have adgang til din adressebog, og der er virkelig ingen grund til, at vejr-appen har tilladelse til at sende e-mail. Hvis en app ikke beskytter de data, den har adgang til, eller sikrer korrekt, hvordan den bruger de grundlæggende operativsystemkomponenter, bliver enheden sårbar overfor angreb.

Mobile enheder er "primære mål for angreb, med sårbare applikationer, der giver adgang til følsomme data, " sagde Mike Armistead, vicepræsident og general manager for virksomhedssikkerhedsproduktgruppen på HP's Fortify.

I studien brugte forskere den automatiserede binære og dynamiske analysemotor HP Fortify on Demand til at teste 2.107 applikationer valgt fra 22 forskellige kategorier, herunder produktivitet og sociale netværk. Mens undersøgelsen fokuserede på brugerdefinerede virksomhedsapplikationer, er det ikke en strækning at antage, at lignende sikkerheds- og privatlivsproblemer er til stede i de apps, vi ville finde i Apple App Store eller Google Play.

Beskytter ikke data

Næsten alle - 97 procent af testede apps fik adgang til mindst en “privat informationskilde”, såsom personlige adressebøger og sociale mediesider, eller drage fordel af Bluetooth- eller Wi-Fi-forbindelse. Hvad der er foruroligende er, at en svimlende 86 procent af disse applikationer ikke havde tilstrækkelige sikkerhedsforanstaltninger til at sikre, at de private data blev beskyttet, fandt undersøgelsen.

Cirka 75 procent af applikationerne anvendte kryptering forkert ved lagring af data på mobile enheder, viser undersøgelsen. Ubeskyttede data inkluderede adgangskoder, personlige oplysninger, session tokens, dokumenter, chat logs og fotografier.

Det var betryggende at se, at kun 18 procent af applikationer, der blev testet i undersøgelsen, sendte brugernavne og adgangskoder over HTTP, mens de resterende apps brugte SSL / HTTPS. Imidlertid havde næsten 20 procent af dem, der bruger sikker transmissionstilstand, forkerte SSL / HTTPS-implementeringer. Dette betyder, at dataene stadig er sårbare over for at blive sniffet af ondsindede angribere.

Udviklere er nødt til at træde op

Generelt bliver mobile operativsystemer - både Android og iOS - bedre til eksplicit at beskrive, hvilke tilladelser appen anmoder om. Der er også strengere retningslinjer for, hvilken type dataapps der kan få adgang til. Imidlertid er byrden stadig på brugeren at se på listen over tilladelser, forstå implikationerne og tage beslutningen om, at anmodningerne er urimelige.

Det bedre scenario ville være, hvis udviklere indbyggede sikkerhed og privatliv i apps fra starten. De er nødt til at tænke over, hvordan deres apps interagerer med andre apps og operativsystemet. De skal overveje, hvordan deres apps sikkert får adgang til data.

Virksomheder er nødt til at skifte fra "hurtigt til marked" til "sikkert og hurtigt til markedet, " sagde HP.