Риски мобильных приложений

Введение

Цифровые технологии прочно вошли в нашу повседневную жизнь, а то, насколько динамично их использование, можно проследить на примере смартфонов, с помощью которых люди ежедневно выполняют множество задач. Это и хранение копий важных документов, обучение, работа, управление финансами, игры и развлечения, общение с близкими и друзьями, а также заказ продуктов и товаров.

Поставщики услуг и товаров в погоне за меняющимся рынком и для привлечения новых клиентов создают свои мобильные приложения. Каждое из этих приложений собирает и даже хранит персональные данные пользователей, но не каждое обеспечивает их безопасность, чем и пользуются злоумышленники. Ведь именно на эти данные имеется повышенный спрос на «чёрном рынке» хакерских услуг. По сути, персональные данные стали среди них новой валютой, а мобильные приложения – настоящим клондайком.

Почему стоит остерегаться мобильных приложений

Многие приложения не являются вредоносными, а просто разработаны без учёта мер безопасности или содержат уязвимости. По данным прошлогоднего отчёта компании Positive Technologies уязвимости высокого уровня опасности выявлены в 38% мобильных приложений для операционной системы (ОС) iOS и в 43% приложений для ОС Android. Их эксплуатация позволяет злоумышленникам удалённо получить доступ к пользовательским данным, в том числе перехватить персональные данные и финансовую информацию.

Мобильные приложения в большинстве имеют клиент-серверную архитектуру. На устройстве пользователя реализована так называемая клиентская часть – само приложение, которое он загрузил из магазина приложений и через которое взаимодействует с серверной частью. На сервере, находящемся на стороне разработчика (а не в приложении на телефоне), происходит обработка данных. Таким образом, безопасность пользовательских данных во многом зависит от того, как разработчик реализовал защиту клиента, сервера и канала передачи информации между ними.

Например, при работе с приложением интернет-магазина введённые вами логин и пароль или данные банковской карты злоумышленник может перехватить, если разработчик приложения не предусмотрел их передачу на сервер по защищённому протоколу в зашифрованном виде, или хранит в приложении в открытом виде, или не ограничил число неправильных попыток ввода аутентификационных данных.

Помимо упущений со стороны разработчиков, сами пользователи могут своими действиями создавать предпосылки для компрометации собственных устройств, открывая вложения в письмах от неизвестных отправителей, переходя по подозрительным ссылкам в сообщениях, скачивая программы из ненадежных источников, повышая привилегии своих устройств (джейлбрейк или рутирование).

Но основной угрозой для мобильных устройств по-прежнему остаются приложения, в которые внедрён вредоносный функционал, позволяющий похитить или повредить данные пользователя.

Как отличить опасное приложение?

Если уязвимости в легитимных приложениях можно устранить только при помощи своевременной установки обновлений, скачанных с сайта производителя программного обеспечения, то вредоносные приложения можно попробовать распознать на этапе установки.

Одна из самых распространённых рекомендаций по обеспечению безопасности мобильных устройств заключается в необходимости скачивания приложений только из официальных магазинов приложений. Перед размещением в этих магазинах каждое приложение проходит процедуру контроля на соответствие требованиям безопасности. Если приложение нарушает эти требования, оно будет удалено. Тогда как приложения из других источников подобную проверку не проходят. Но даже в официальных магазинах встречаются вредоносные программы, замаскированные под легитимные или же имеющие скрытый функционал. Это происходит из-за того, что количество приложений настолько огромно, что система контроля может допускать сбои в своей работе и пропустить вредоносную программу.

Первое, на что следует обратить внимание в официальном магазине при выборе приложения – это его рейтинг, число скачиваний и оценки других пользователей. Если его скачали несколько десятков раз, а отзывы в большинстве своем отрицательные, такое приложение загружать не стоит.

Вторым признаком того, что приложение может быть опасным, служит появляющийся после установки запрос разрешений, избыточных для его нормальной работы. Многие люди, не задумываясь, нажимают на кнопку «разрешить». Но такое слепое доверие может привести к тому, что приложение получит как повышенные права доступа, так и скрытый вредоносный функционал, заложенный злоумышленниками.

Разрешения приложений – это набор функций и действий, который программа сможет выполнять на вашем устройстве. Некоторые их них являются избыточными для работы приложения и могут нарушить конфиденциальность ваших данных. Избыточными разрешениями для отдельных приложений являются возможность вносить изменения в настройки устройства, а также доступ к интернету и к различным данным: контактам, истории звонков, фотографиям, данным геолокации, календарю, заметкам, камере, микрофону, SMS-сообщениям, уведомлениям. Если приложение получает доступ к этим данным, то оно потенциально сможет без вашего согласия загружать их на сервера разработчиков. Очевидно, что навигатору для нормальной работы необходим доступ к геолокации устройства, но стоит задуматься, если доступ к вашему местоположению запрашивает игра «шарики», а программа для редактирования фотографий хочет просматривать ваш список контактов.

Получив доступ к микрофону и камере, приложение сможет записывать звук, снимать фото и видео без вашего ведома. Доступ к SMS-сообщениям грозит перехватом одноразовых кодов онлайн-банкинга, а список контактов пригодится недобросовестным разработчикам и может быть использован в целях спам-рассылок.

Кроме того, приложение может само по себе не являться вредоносным, но содержать функционал, позволяющий осуществлять полезную нагрузку, т.е. загружать на устройство пользователя другие вредоносные программы, которые могут похитить или уничтожить ваши данные.

Помните, что, как и обычный персональный компьютер, смартфон хранит множество чувствительных данных и нуждается в защите, поэтому следует использовать специально разработанные для мобильных устройств версии антивирусных продуктов и выполнять ряд рекомендаций.

Введение

Почему стоит остерегаться мобильных приложений

Как отличить опасное приложение?

Рекомендации

Материалы по теме

Другие материалы

Статьи по теме: «Информационная безопасность»

Риски мобильных приложений