Вразливості системи безпеки в додатках ОС ANDROID

Abstract

Впродовж останніх років підприємства все частіше розробляють та використовують мобільні додатки для збільшення ефективності своїх бізнес-процесів. Співробітники, клієнти та постачальники в результаті отримують підвищення продуктивності робочих процесів за рахунок обміну інформацією в режимі реального часу, мобільності та кращої функціональності. Незважаючи на переваги мобільних додатків, їх використання може призвести до потенційних серйозних збоїв у системі безпеки. Подібно до застарілих корпоративних рішень, мобільні додатки можуть містити вразливості, що піддаються атакам. Вразливості та ризики, пов’язані з конфіденційністю, які присутні в додатках для ОС Android, що встановлені на мільйонах пристроїв, можуть використовуватися зловмисниками для отримання несанкціонованого доступу до інформаційних ресурсів організації або даних користувача. Більшість мобільних додатків для ОС Android ініціюють з’єднання з мережею, іншими додатками або сторонніми сервісами, що робить необачного користувача більш вразливим до атаки зловмисників. Тому забезпечення захисту, мобільне шифрування та ретельна перевірка додатків на вразливості необхідна на стадії розробки додатку. В роботі продемонстровано деякі стандартні засоби для проведення статичного аналізу додатків для ОС Android без запуску на пристрої користувача. Позаяк соціальні мережі в наш час є найзначущим медіа-місцем у світі і найпоширенішим каналом для передачі даних, відео та аудіо, за допомогою вищезгаданих методів статичного аналізу, перевірено вісім додатків популярних соціальних мереж, якими на сьогоднішній день користуються мільйони користувачів, та продемонстровано типи вразливостей, які виявлено в цих додатках. Також в роботі проаналізовано загрози з найбільшим потенційним впливом на бізнес-середовище та сформульовано рекомендації щодо зменшення ризиків їх виникнення.

During the past few years, commercial organizations and businesses are actively developing and using mobile applications to increase the efficiency of their business processes. As a result, employees, customers and suppliers get increased productivity in the work environment through real-time information exchange, mobility, and better functionality. Despite the advantages of mobile apps, their usage can lead to potentially dangerous security issues. Like legacy enter-prise solutions, mobile apps can contain vulnerabilities that can be attacked and lead to leaks of data. Vulnerabilities and privacy risks that are present in Android apps that are installed on millions of devices can be used by hackers to gain unauthorized access to an organization’s information resources or private user data. Most Android mobile apps initiate connections to the network, other apps, or third-party services, making a reckless user more vulnerable to malicious attacks. Therefore, security, mobile encryption, and thorough application vulnerability testing are required at the application development stage. This work demonstrates some standard tools for performing static analysis of Android OS applications without running them on the user’s device. Social networks are currently the most important media place in the world and the most widely used channel for data, video, and audio transmission. Therefore, the above-mentioned static analysis methods were used to test eight popular social network applications that are currently used by millions of users. The paper demonstrates the types of vulnerabilities that were found in these applications, also analyzes the threats with the most significant potential impact on the business environment and provides recommendations for reducing the risks of their occurrence.

В последние годы предприятия все чаще разрабатывают и используют мобильные приложения для повыше-ния эффективности своих бизнес-процессов. Сотрудники, клиенты и поставщики в результате получают по-вышение производительности рабочих процессов за счет обмена информацией в режиме реального времени, мобильности и лучшей функциональности. Несмотря на преимущества мобильных приложений, их использование может привести к потенциальным серьезным сбоям в системе безопасности. Подобно устаревшим корпоративным решениям, мобильные прило-жения могут содержать уязвимости, подвергающиеся атакам. Уязвимости и риски, связанные с конфиденциальностью, которые присутствуют в приложениях для ОС Android, установленных на миллионах устройств, могут использоваться злоумышленниками для получения несанкционированного доступа к информационным ресурсам организации или данных пользователя. Большин-ство мобильных приложений для ОС Android инициируют соединение с сетью, другими приложениями или сто-ронними сервисами, что делает опрометчивого пользователя более уязвимым к атаке злоумышленников. По-этому обеспечение защиты, мобильное шифрование и тщательная проверка приложений на уязвимости необ-ходима на стадии разработки приложения. В работе продемонстрированы некоторые стандартные средства для проведения статического анализа приложений для ОС Android без запуска на устройстве пользователя. Так как социальные сети в наше время являются наиболее значимым медиа-пространством в мире и наиболее широко используемым каналом для пере-дачи данных, видео и аудио, с помощью вышеупомянутых методов статического анализа, проверено восемь приложений популярных социальных сетей, которыми на сегодняшний день пользуются миллионы пользовате-лей, и продемонстрированы типы уязвимостей, выявленных в этих приложениях. Также в работе проанализиро-ваны угрозы с наибольшим потенциальным влиянием на бизнес-среду и сформулированы рекомендации по уменьшению рисков их возникновения.