Toen Apple aankondigde dat zijn mobiele apparaten een app store zouden gebruiken om software te installeren, velen dachten dat hiermee een groot deel van de veiligheidsproblemen zou verdwijnen computergebruik. Google adopteerde hetzelfde model voor Android en Microsoft bracht het naar de desktop in Windows 8.
Eigenlijk was het idee van Steve Jobs niet nieuw. Applicatiestores zijn niets meer dan de pakketbeheerders die Linux-gebruikers al jaren gebruiken. Y, het is niet dat het teveel heeft gediend.
Een paar dagen geleden, Werd gepubliceerd het rapport van een groep onderzoekers die analyseerde 515,735 Google Play-applicaties, ongeveer 18% van het beschikbare aanbod Van deze, minstens 4.282 apps hadden beveiligingsproblemen waardoor gevoelige informatie kan worden gefilterd. Als de extrapolatie geldig was, in totaal 24000 aanvragen zouden hetzelfde probleem opleveren.
Alle gebreken hebben een gemeenschappelijke oorsprong; een platform dat eigendom is van Google, Firebase genaamd Maar het lijkt niet de schuld van Google, zo niet configuratiefouten door ontwikkelaars.
Firebase is een mobiel platform waarmee gebruikers snel en veilig applicaties kunnen ontwikkelen. Het biedt een realtime database die wordt gehost in de cloud en die eenvoudige opslag en synchronisatie van gegevens tussen gebruikers mogelijk maakt.
Het platform biedt ontwikkelaars onder meer tools om:
- Authenticatie.
- Accommodatie.
- Cloud opslag.
- Realtime databases.
- Bloedonderzoek
- Berichten.
- Integratie van kennisgevingen.
- Machine leren.
Er wordt geschat dat Firebase Het wordt gebruikt door 30 procent van alle applicaties in de Google Play Store, waardoor het de meest populaire opslagoplossing voor Android-applicaties is.
Beveiliging van Android-applicaties. Het probleem in cijfers
4,8% van de mobiele applicaties die Google Firebase gebruiken om gebruikersgegevens op te slaan, zijn niet goed beschermd, wat pgeeft iedereen toegang tot de databases die de persoonlijke gegevens van gebruikers bevatten, om toegang te krijgen tot tokens en andere gegevens zonder de noodzaak van een wachtwoord of enige andere vorm van authenticatie.
Hoewel het onderzoek zich richtte op Android-applicaties in de Google Play Store, Houd er rekening mee dat Firebase een tool voor meerdere platforms is die op verschillende besturingssystemen en platforms wordt gebruikt. Deze verkeerde configuraties zijn waarschijnlijk van invloed op veel meer apps buiten Android.
Applicaties met beveiligingsproblemen geïdentificeerd door onderzoekers minstens 4.220 miljard keer geïnstalleerd door Android-gebruikers Van een smartphone is bekend dat er tussen de 60 en 90 applicaties zijn geïnstalleerd, wat dat impliceert ieder van ons heeft een grote kans op ten minste één kwetsbare applicatie.
Om een steekproef te hebben van de omvang van de blootstellingen, hebben we deze gegevens:
- +7000000 e-mailaccounts.
- +4400000 gebruikersnamen.
- +1000000 wachtwoorden.
- +5300000 telefoonnummers.
- +18300000 volledige namen van gebruikers.
- + 6800000 chatberichten.
- +6200000 GPS-gegevens.
- +156000 IP-adressen.
- +560000 straatadressen.
Van de 155.066 geanalyseerde aanvragen, 11.730 hadden openbaar gemaakte databases. 9.014 daarvan waren er zelfs bij schrijven, waardoor een aanvaller gegevens van de server kan toevoegen, wijzigen of verwijderen, en deze kan bekijken en downloaden.
- Deze kwetsbaarheden zouden cybercriminelen toelaten.
- Injecteer gegevens in een applicatie.
- Gebruik de applicaties voor phishing-praktijken.
- Verspreid de malware.
- Beschadig de toepassingsdatabase.
Om het criminelen gemakkelijker te maken, die databases zijn te vinden in zoekmachines
Afgelopen december een beveiligingsonderzoeker ontdekte dat de blootgestelde Google Firebase-databases kunnen worden gevonden op zoekmachines die door andere bedrijven worden beheerd.
Alex "Ghostlulz" Thomas, een onafhankelijke beveiligingsonderzoeker en voormalig analist bij het cybersecurity-adviesbureau Bishop Fox, plaatste in december een blogpost waarin hij aantoonde hoe de meest geconfigureerde Firebird-databases kunnen worden gevonden en gedownload. Voeg gewoon .json toe aan het einde van de url om ze te zien.
Als gebruikers kunnen we enkele maatregelen nemen om onszelf te beschermen:
- Gebruik hetzelfde wachtwoord niet voor meerdere accounts. Het wordt aanbevolen om een wachtwoordbeheerder te gebruiken om sterke willekeurige wachtwoorden te genereren en op te slaan.
- Gebruik alleen vertrouwde applicaties met een groot aantal patches en installaties.
- Deel geen gevoelige persoonlijke informatie zoals adressen, identiteitsfoto's van de overheid, burgerservicenummers, enz.