Kada je Apple najavio da će njegovi mobilni uređaji koristiti trgovinu aplikacija kao način instaliranja softvera, mnogi su vjerovali da će ovo okončati velik dio sigurnosnih problema računarstvo. Google je usvojio isti model za Android, a Microsoft ga je predstavio na radnoj površini u operativnom sistemu Windows 8.
Zapravo ideja Stevea Jobsa nije bila nova. Trgovine aplikacija nisu ništa drugo do upravitelji paketa koje korisnici Linuxa koriste godinama. Y, nije da je poslužio previše.
Prije nekoliko dana, Objavljeno je izvještaj grupe istraživača koji analizirao 515,735 Google Play aplikacija, otprilike 18% dostupne ponude. Od toga, najmanje 4.282 aplikacije imale su sigurnosnih problema što bi omogućilo filtriranje osjetljivih podataka. Da je ekstrapolacija valjana, ukupno 24000 aplikacija predstavljalo bi isti problem.
Svi kvarovi imaju zajedničko porijeklo; platforma u vlasništvu Googlea pod nazivom Firebase. Ali, čini se da nije Google kriv ako ne greške u konfiguraciji od strane programera.
Firebase je mobilna platforma koja pomaže korisnicima da brzo i sigurno razvijaju aplikacije. Nudi bazu podataka u realnom vremenu hostiranu u oblaku koja omogućava lako skladištenje i sinhronizaciju podataka između korisnika.
Između ostalog, platforma pruža programerima alate za:
- Autentifikacija.
- Smještaj
- Cloud storage.
- Baze podataka u stvarnom vremenu.
- Analitika.
- Poruke.
- Integracija obavještenja.
- Mašinsko učenje.
Procjenjuje se da je Firebase Koristi ga 30 posto svih aplikacija u Google Play trgovini, što ga čini najpopularnijim rješenjem za pohranu Android aplikacija.
Sigurnost Android aplikacije. Problem u brojkama
4,8% mobilnih aplikacija koji koriste Google Firebase za pohranu korisničkih podataka nisu pravilno zaštićeni, što stromogućava bilo kome pristup bazama podataka koje sadrže lične podatke korisnika, za pristup tokenima i drugim podacima bez potrebe za lozinkom ili bilo kojom drugom vrstom autentifikacije.
Iako se studija fokusirala na Android aplikacije u Google Play trgovini, Imajte na umu da je Firebase alat za više platformi koji se koristi na različitim operativnim sistemima i platformama. Ove pogrešne konfiguracije vjerojatno utječu na mnogo više aplikacija izvan Androida.
Aplikacije sa sigurnosnim problemima koje su identificirali istraživači instalirali korisnici Android-a najmanje 4.220 milijarde puta. Poznato je da pametni telefon ima instalirano između 60 i 90 aplikacija, što implicira to svatko od nas ima velike šanse da ima barem jednu ranjivu aplikaciju.
Da bismo imali uzorak veličine izloženosti, imamo ove podatke:
- +7000000 računa e-pošte.
- +4400000 korisničkih imena.
- +1000000 lozinki.
- +5300000 brojeva telefona.
- +18300000 punih imena korisnika.
- +6800000 chat poruka.
- +6200000 GPS podataka.
- +156000 IP adresa.
- +560000 adrese.
Od 155.066 analiziranih aplikacija, 11.730 je imalo javno izložene baze podataka. Čak ih je uključeno 9.014 pisanje, što bi napadaču omogućilo dodavanje, izmjenu ili brisanje podataka s poslužitelja, kao i pregled i preuzimanje.
- Te ranjivosti bi omogućile cyber kriminalcima.
- Ubrizgajte podatke u aplikaciju.
- Koristite aplikacije za prakse krađe identiteta.
- Širite malver.
- Ošteti bazu podataka aplikacija.
Da bi olakšali posao kriminalcima, te baze podataka mogu se naći u pretraživačima
Prošlog decembra, istraživač sigurnosti otkrio da se izložene baze podataka Google Firebase mogu naći na pretraživačima kojima upravljaju druge kompanije.
Alex "Ghostlulz" Thomas, nezavisni istraživač sigurnosti i bivši analitičar u konsultantskoj firmi za cyber sigurnost Bishop Fox, objavio je u decembru post na blogu demonstrirajući kako se mogu pronaći i preuzeti najkonfiguriranije Firebird baze podataka. Samo dodajte .json na kraj urla da ih vidite.
Kao korisnici možemo poduzeti neke mjere da se zaštitimo:
- Ne upotrebljavajte istu lozinku na više računa. Preporučuje se korištenje upravitelja lozinki za generiranje i pohranjivanje jakih slučajnih lozinki.
- Koristite samo pouzdane aplikacije s velikim brojem zakrpa i instalacija.
- Ne dijelite osjetljive lične podatke kao što su adrese, državne identifikacijske fotografije, brojevi socijalnog osiguranja itd.