14

ВЗЛОМ МОБИЛЬНЫХ ПРИЛОЖЕНИЙ

Сегодня с мобильного телефона можно управлять прак- тически всей бытовой техникой. Представьте, что вы готовитесь к романтическому вечеру. Вы приготовили ужин, поместили его в духовку, а инструкции по приго- товлению отправили с телефона. Его же вы используете для

контроля времени. Затем настраиваете обдув, нагрев и охлаждение – опять-таки через приложение на телефоне.С телефона вы включаете воспроизведение фоновой музыки на телевизоре (пульт от которого давным-давно где-то потеряли и так и не удосужились найти). Нако- нец, вы используете мобильное приложение, чтобы приглушить свет в комнате (освещение тоже входит в IoT-систему). Все идеально.

Но если все в вашем доме контролируется с телефона, то любой, кто его взломал, сможет перехватить управление! В этой главе мы представим обзор угроз и уязвимостей мобильных приложений, свя- занных с интернетом вещей. Затем проведем анализ двух преднаме- ренно небезопасных приложений: приложения OWASP iGoat для iOS

и приложения InsecureBankV2 для Android.

Поскольку мы приближаемся к концу книги, мы вкратце перечис- ляем множество уязвимостей, содержащихся в этих приложениях, при этом ссылаясь на многие инструменты и методы анализа. Реко- мендуем вам изучить каждый из них самостоятельно.

А поскольку вы постоянно носите с собой телефон, потерять его до- вольно легко. К тому же его могут украсть, и даже если вора изна- чально интересовал телефон как таковой, он может воспользоваться конфиденциальной информацией и личными данными в хранили- ще сопутствующего приложения IoT. Или же он попытается обойти слабый или неработающий элемент управления аутентификацией в приложении,чтобы получить удаленный доступ к соответствующе- му устройству IoT. Владельцы устройств, которые остаются подклю- ченными к своим аккаунтам приложений-компаньонов IoT, значи- тельно упростят задачу злоумышленнику.

Кроме прочего, мобильные устройства обычно подключаются к ненадежным сетям, например случайным общедоступным точкам доступа Wi-Fi в кафе и гостиничных номерах, а это само по себе от- крываетпутьдляразличныхсетевыхатак(такихкак«человекпосере- дине» или перехватсетевых пакетов).Приложения IoT обычно разра- батываютсядлявыполнениясетевыхподключенийкинфраструктуре поставщика,облачным службам и устройствам IoT.Злоумышленники могут извлекать данные, которыми обмениваются приложения в не- безопасных сетях, или вмешиваться в них.

Приложение также может работать как связующий элемент между устройством IoT, API поставщика, сторонними поставщиками услуг и облачной платформой. Эти внешние системы могут представлять новые угрозы в отношении защиты передаваемых конфиденциаль- ных данных. Злоумышленники могут атаковать и использовать об- щедоступные службы или неправильно настроенные компоненты инфраструктуры для получения удаленного доступа и извлечения хранимых данных.

Процедура установки приложения также может быть подвержена атаке. Не все приложения для интернета вещей поступают из офи- циального магазина мобильных приложений. Многие мобильные устройства могут устанавливать приложения из сторонних магази- нов, некоторые приложения не подписаны действующим сертифи- катом разработчика. Злоумышленники используют эту проблему для доставки поддельных версий приложений,содержащих вредоносные функции.

Угрозы для Android и iOS

Теперьисследуемугрозы,связанныесплатформамиAndroidиiOS.На рис. 14.2 показаны экосистемы обеих платформ.

Программноеобеспечениедляобеихплатформвключаеттриуров- ня: 1) нижний, содержащий операционную систему и интерфейсы для ресурсовустройства; 2)промежуточный,состоящийиз библиотек и фреймворков приложений, которые обеспечивают большую часть функций API; 3) уровень приложений, в котором находятся пользо- вательские приложения и набор системных приложений. Уровень

рудование для устройств Android с различными характеристиками

ибазовыми стандартами безопасности­ . Эти поставщики также несут ответственность за поддержку и развертывание данных в энергоне- зависимой памяти, что лишь усугубляет проблему фрагментации. Пользователи рассчитывают на хорошо протестированное, надежное

истабильное приложение, а также безопасное программное обеспе- чение, но вместо этого разработчики используют не очень надежный API в непредсказуемой среде.

Рис.14.3.Интегрированные меры безопасности­ в архитектурах мобильных платформ

Взлом мобильных приложений  389