Lorsque Apple a annoncé que ses appareils mobiles utiliseraient une boutique d'applications pour installer des logiciels, beaucoup pensaient que de cette manière une grande partie des problèmes de sécurité seraient éliminés l'informatique. Google a adopté le même modèle pour Android et Microsoft l'a introduit sur le bureau dans Windows 8.
En fait, l'idée de Steve Jobs n'était pas nouvelle. Les magasins d'applications ne sont rien de plus que les gestionnaires de packages que les utilisateurs Linux utilisent depuis des années. Oui, ce n'est pas qu'il a trop servi.
Il ya quelques jours, A été publié le rapport d'un groupe de chercheurs qui analysé 515,735 applications Google Play, soit 18% de l'offre disponible. De celles, au moins 4.282 applications avaient des problèmes de sécurité cela permettrait de filtrer les informations sensibles. Si l'extrapolation était valide, un total de 24000 candidatures présenterait le même problème.
Tous les défauts ont une origine commune; une plate-forme appartenant à Google appelée Firebase. Mais, cela ne semble pas être la faute de Google sinon erreurs de configuration par les développeurs.
Firebase est une plate-forme mobile qui aide les utilisateurs à développer des applications rapidement et en toute sécurité. Il offre une base de données en temps réel hébergée dans le cloud qui permet un stockage et une synchronisation faciles des données entre les utilisateurs.
Entre autres, la plateforme fournit aux développeurs des outils pour:
- Authentification.
- Logement.
- Stockage en ligne.
- Bases de données en temps réel.
- Analytique.
- Les messages
- Intégration des avis.
- Apprentissage automatique.
On estime que Firebase Il est utilisé par 30% de toutes les applications du Google Play Store, ce qui en fait la solution de stockage la plus populaire pour les applications Android.
Sécurité des applications Android. Le problème en chiffres
4,8% des applications mobiles qui utilisent Google Firebase pour stocker les données des utilisateurs ne sont pas correctement protégés, ce qui ppermet à quiconque d'accéder aux bases de données contenant les informations personnelles des utilisateurs, pour accéder aux jetons et à d'autres données sans avoir besoin d'un mot de passe ou de tout autre type d'authentification.
Bien que l'étude se soit concentrée sur les applications Android dans le Google Play Store, Gardez à l'esprit que Firebase est un outil multiplateforme utilisé sur divers systèmes d'exploitation et plates-formes. Ces erreurs de configuration affectent probablement de nombreuses autres applications au-delà d'Android.
Applications présentant des problèmes de sécurité identifiés par les chercheurs installé au moins 4.220 milliards de fois par les utilisateurs d'Android. Un smartphone est connu pour avoir entre 60 et 90 applications installées, ce qui implique que chacun de nous a de fortes chances d'avoir au moins une application vulnérable.
Pour avoir un échantillon de l'ampleur des expositions, nous avons ces données:
- +7000000 comptes de messagerie.
- +4400000 noms d'utilisateur.
- +1000000 mots de passe.
- +5300000 numéros de téléphone.
- +18300000 noms complets des utilisateurs.
- +6800000 XNUMX XNUMX messages de chat.
- +6200000 données GPS.
- +156000 adresses IP.
- +560000 adresses civiles.
Sur les 155.066 1 candidatures analysées, XNUMX1.730 9.014 avaient des bases de données exposées publiquement. XNUMX d'entre eux même inclus write, ce qui permettrait à un attaquant d'ajouter, de modifier ou de supprimer des données du serveur, ainsi que de les afficher et de les télécharger.
- Ces vulnérabilités permettraient aux cybercriminels.
- Injectez des données dans une application.
- Utilisez les applications pour les pratiques de phishing.
- Propagez le malware.
- Corrompre la base de données de l'application.
Pour faciliter les choses pour les criminels, ces bases de données peuvent être trouvées dans les moteurs de recherche
En décembre dernier, un chercheur en sécurité a découvert que les bases de données Google Firebase exposées pouvaient être trouvées sur des moteurs de recherche exploités par d'autres sociétés.
Alex "Ghostlulz" Thomas, chercheur indépendant en sécurité et ancien analyste de la société de conseil en cybersécurité Bishop Fox, a publié un article de blog en décembre pour démontrer comment trouver et télécharger les bases de données Firebird les plus configurées. Ajoutez simplement .json à la fin de l'url pour les voir.
En tant qu'utilisateurs, nous pouvons prendre certaines mesures pour nous protéger:
- Ne réutilisez pas le même mot de passe sur plusieurs comptes. Il est recommandé d'utiliser un gestionnaire de mots de passe pour générer et stocker des mots de passe aléatoires forts.
- Utilisez uniquement des applications de confiance avec un nombre élevé de correctifs et d'installations.
- Ne partagez pas d'informations personnelles sensibles telles que des adresses, des photos d'identité gouvernementales, des numéros de sécurité sociale, etc.