एंड्रॉइड के लिए सुरक्षित एप्लिकेशन कैसे विकसित करें। यांडेक्स वर्कशॉप

अपने दैनिक जीवन में मोबाइल उपकरणों का उपयोग करने वाले उपयोगकर्ताओं का अनुपात लगातार बढ़ रहा है। इनमें से ज्यादातर डिवाइस आईओएस, एंड्रॉयड और विंडोज पर आधारित स्मार्टफोन और टैबलेट हैं। गतिशीलता, डिवाइस और नए ऑपरेटिंग सिस्टम के साथ उपयोगकर्ता की बातचीत की विशिष्ट विशेषताएं ऐसे कारक हैं जो सूचना सुरक्षा से संबंधित असामान्य समस्याओं के उद्भव की ओर ले जाते हैं। हम इनमें से कुछ समस्याओं, उनके समाधानों पर विचार करेंगे, और व्यवहार में हम देखेंगे कि मोबाइल अनुप्रयोगों के विश्लेषण के लिए उपकरणों का विकास इतना मुश्किल नहीं है।







शुरू करने के लिए, हम कुछ विशेषताओं को सूचीबद्ध करते हैं जो अधिकांश मोबाइल उपकरणों की विशेषता हैं, जो अन्य चीजों के साथ, सुरक्षा को प्रभावित कर सकते हैं:

• छोटे आकार;
• जन चरित्र;
• बहुमुखी प्रतिभा;
• उपयोगकर्ता के लिए महत्वपूर्ण डेटा का भंडारण;
• स्थायी नेटवर्क कनेक्शन (GPRS / 3G / EDGE / WiFi)।

तो क्या जोखिम इन सुविधाओं को जन्म देते हैं। लघुकरण इस तथ्य की ओर जाता है कि डिवाइस को खोना आसान है, जिसके बाद यह संभावित रूप से एक हमलावर के हाथों में हो सकता है। विमुद्रीकरण की व्यापकता और सरलता हमलावरों के लिए उपकरणों को आकर्षक बनाती है। बस फोन को एक भुगतान किए गए नंबर पर एसएमएस भेजने के लिए, आप एक अच्छा लाभ प्राप्त कर सकते हैं। बड़ी संख्या में उपयोगकर्ताओं का यह भी मतलब है कि तकनीकी रूप से सक्षम उपयोगकर्ताओं का प्रतिशत पर्याप्त नहीं है। मोबाइल उपकरणों की सार्वभौमिकता का अर्थ है कि वे लगभग पूरी व्यक्तिगत जानकारी संग्रहीत कर सकते हैं जिनका उपयोग किया जा सकता है: बैंक ग्राहकों तक विभिन्न महत्वपूर्ण सेवाओं से संपर्क, पत्राचार, फोटो, वीडियो, पासवर्ड और टोकन। नेटवर्क के लिए एक स्थायी कनेक्शन एक अतिरिक्त जोखिम है, क्योंकि हमलावरों को हमले के लिए क्षण प्राप्त करने की आवश्यकता नहीं है।



दुर्भाग्य से, इस तथ्य के कारण कि मोबाइल डिवाइस बाजार ने इस तरह के विस्फोटक विकास का अनुभव किया है, सुरक्षा गार्ड विरोध पक्ष से थोड़ा पीछे हैं, इसलिए अब उनके और हमलावरों के बीच लगभग एक अस्तित्व की दौड़ चल रही है। यह आसान नहीं है। डिवाइस दर्जनों विभिन्न विक्रेताओं का उत्पादन करते हैं, वे विभिन्न प्लेटफार्मों के नियंत्रण में काम करते हैं, उन पर बड़ी संख्या में एप्लिकेशन इंस्टॉल किए जाते हैं, जिनमें से कई में कमजोरियां होती हैं। यह सब समस्याओं की एक बड़ी संख्या बनाता है।

Android सुरक्षा

बेशक, मोबाइल प्लेटफ़ॉर्म डेवलपर्स इन सभी जोखिमों से अवगत हैं और उनके खिलाफ सुरक्षा प्रदान करने का प्रयास करते हैं। आइए विचार करें कि एंड्रॉइड में सुरक्षा के स्तर क्या हैं। सबसे पहले, भौतिक पहुंच के खिलाफ सुरक्षा है: पिन, पासवर्ड, बायोमेट्रिक्स, स्ट्रोक। हालांकि, बायोमेट्रिक्स बहुत विशिष्ट हैं, और पासवर्ड और स्ट्रोक के साथ कुछ समस्याएं हैं: जब आप स्क्रीन पर प्रवेश करते हैं, तो ध्यान देने योग्य निशान हो सकते हैं जिसके द्वारा आप पुनर्स्थापित कर सकते हैं कि वास्तव में क्या टाइप किया गया था।







फिर भी, सुरक्षा है, और अक्सर काम करता है। अनुप्रयोगों के लिए सुरक्षा के कई स्तर भी हैं। सबसे पहले, अनुप्रयोगों में लगभग हमेशा विशिष्ट यूआईडी होते हैं और उन्हें अलग-अलग प्रक्रियाओं और एक पृथक वर्चुअल मशीन द्वारा लॉन्च किया जाता है। एंड्रॉइड की एक दिलचस्प विशेषता अनुप्रयोगों के गैर-गतिशील विशेषाधिकार हैं: स्थापना के दौरान सभी पहुंच का अनुरोध किया जाता है। यानी उपयोगकर्ता तुरंत परिचित है कि कौन से एप्लिकेशन एक्सेस कर सकते हैं। एंड्रॉइड डेवलपर्स ने फाइल सिस्टम सुरक्षा के मुद्दे पर काफी सख्ती से संपर्क किया है। सिस्टम विभाजन को केवल-पढ़ने के लिए मोड में रखा गया है, फ़ाइल सिस्टम में विशेषाधिकारों और अधिकारों का आवंटन लगभग मैन्युअल रूप से किया जाता है, क्योंकि संस्करण 3.0 फ़ाइल सिस्टम एन्क्रिप्शन दिखाई देता है। मैं एक उदाहरण init दे दूंगा। Android संस्करण 4.x के लिए स्क्रिप्ट:

... # create data/gps for GPS demon mkdir /data/gps 771 gps system chown gps system /data/gps chown gps root /sys/class/sec/gps/GPS_PWR_EN/value chmod 660 /sys/class/sec/gps/GPS_PWR_EN/value # for sensor control chown system input /sys/class/input/input0/enable chown system input /sys/class/input/input0/delay chown system input /sys/class/input/input0/wake chown system input /sys/class/input/input0/data ...
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

यह स्क्रिप्ट का केवल एक छोटा सा हिस्सा है, लेकिन यह स्पष्ट है कि सिस्टम के महत्वपूर्ण भागों के लिए फ़ाइलों और फ़ोल्डरों के अधिकारों को बहुत सावधानी से सेट किया गया है। एक हमलावर को उन तक पहुंच नहीं होनी चाहिए।



डेवलपर्स ने एसएसएल को लागू करके यातायात के एन्क्रिप्शन का भी ध्यान रखा। हालांकि, एक विशिष्ट विशेषता है। एंड्रॉइड के पास रूट प्रमाणपत्रों का एक भंडार है, और यदि आप इस भंडार के डंप को देखते हैं, तो आप एक दिलचस्प बात पा सकते हैं: प्रसिद्ध प्रमाणीकरण अधिकारियों के रूट प्रमाणपत्रों के अलावा, काफी अजीब प्रमाण पत्र हैं। उदाहरण के लिए, जापानी सरकार से एक प्रमाण पत्र:

  ... Alias name: 123 Creation date: 30.08.2011 Entry type: trustedCertEntry Owner: C=JP,O=Japanese Government,OU=ApplicationCA Issuer: C=JP,O=Japanese Government,OU=ApplicationCA Serial number: 31 Valid from: Wed Dec 12 18:00:00 MSK 2007 until: Tue Dec 12 19:00:00 MSK 2017 ...
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

चीन की सरकार की ओर से भी ऐसा ही प्रमाण पत्र है। तो, जापान या चीन में होने के नाते, आप बीच में आदमी की तरह हमले का शिकार बन सकते हैं। सौभाग्य से, चौथे एंड्रॉइड में, अंतर्निहित संग्रहण अक्षम किया जा सकता है।



जैसा कि मैंने ऊपर कहा, एंड्रॉइड में विशेषाधिकार तंत्र काफी परिष्कृत है। डेवलपर्स ने शुरू में एपीआई कॉल की पहचान की जो कुछ जोखिम प्रदान कर सकती है और उन्हें समूहों में विभाजित कर सकती है: कैमरा, ब्लूटूथ, जियोलोकेशन, संदेश, कॉल और नेटवर्क तक पहुंच। इन एपीआई का उपयोग करने के लिए, एक एप्लिकेशन को स्थापना के दौरान स्पष्ट रूप से उन तक पहुंच का अनुरोध करना चाहिए। तंत्र लचीला और सुविधाजनक है, लेकिन कुछ समस्याओं के बिना जो डेवलपर्स कभी-कभी मुठभेड़ करते हैं। तथ्य यह है कि यह तंत्र बहुत अच्छी तरह से प्रलेखित नहीं है, बस कुछ पंक्तियाँ प्रत्येक संकल्प का वर्णन करती हैं। और डेवलपर्स को अक्सर इस तथ्य से सामना करना पड़ता है कि निर्मित एप्लिकेशन अनुमतियों की कमी के कारण काम नहीं करता है। कई समझ में नहीं आता है, लेकिन बस के रूप में संभव के रूप में कई अनुमति का अनुरोध। सब कुछ काम करना शुरू कर देता है, लेकिन साथ ही आवेदन में पूरी तरह से अनावश्यक चीजों तक पहुंच है, जो सुरक्षा को बेहद नकारात्मक रूप से प्रभावित करता है। Google ने इस समस्या को महसूस करते हुए एपीआई के अधिक विस्तृत विवरण के लिए बाहरी शोधकर्ताओं को अनुदान आवंटित किया।

उपयोगकर्ता और Android

इसलिए, हम इस निष्कर्ष पर पहुंचे कि ऑपरेटिंग सिस्टम अभी भी अपेक्षाकृत सुरक्षित है। क्या समस्या हो सकती है? अक्सर उपयोगकर्ताओं की गलती के माध्यम से समस्याएं उत्पन्न होती हैं। घुसपैठियों के हस्तक्षेप के बिना, सिस्टम सुरक्षा को तोड़ने के कई तरीके हैं। पहला तरीका जेलब्रेकिंग है। Android पर, यह आश्चर्यजनक रूप से आसान बना है। अक्सर, आप बस बूटलोडर में चुन सकते हैं कि ऑपरेटिंग सिस्टम के सामान्य कर्नेल के बजाय क्या लोड करना है। यह आपको लगभग सभी रक्षा तंत्रों को पूरी तरह से मारने की अनुमति देता है। अक्सर, उपयोगकर्ता पासवर्ड का उपयोग करते हैं जो बहुत सरल होते हैं और घुसपैठियों द्वारा आसानी से क्रैक किए जा सकते हैं। कभी-कभी उपयोगकर्ता अविश्वसनीय स्रोतों से अजीब एप्लिकेशन इंस्टॉल करते हैं। सिद्धांत रूप में, एक ट्रोजन घोड़ा Google Play पर भी पाया जा सकता है, लेकिन जब थर्ड-पार्टी स्टोर्स या पायरेटेड साइटों से इंस्टॉल किया जाता है, तो इस तरह के परिणाम की संभावना काफी बढ़ जाती है। अक्सर, उपयोगकर्ता डिवाइस पर डिबगिंग मोड को बंद करना भूल जाते हैं, जो न केवल जल्दी से जेलब्रेक स्थापित करने की अनुमति देता है, बल्कि डिवाइस के लिए भौतिक पहुंच प्राप्त करते हुए, सभी डेटा को जल्दी से बाहर निकालने की अनुमति देता है। हालांकि, एंड्रॉइड के आधुनिक संस्करणों में डिबगिंग मोड के साथ पहले से ही कम समस्याएं हैं।

डेवलपर्स और Android

दुर्भाग्य से, समस्याएं न केवल उपयोगकर्ताओं की गलती से उत्पन्न होती हैं। इसका कारण डेवलपर्स हो सकते हैं। सबसे पहले, समस्याएं तब पैदा होती हैं जब डेवलपर्स पूरी तरह से समझ नहीं पाते हैं कि मोबाइल प्लेटफॉर्म पर उनके आवेदन कैसे कार्य करते हैं। बहुत बार कोई ऐसा सीमित विश्वदृष्टि देख सकता है जब कोई डेवलपर कुछ सार उपकरण की कल्पना करता है, जिस पर उसका गोलाकार अनुप्रयोग शून्य में काम करता है, जिसके साथ केवल उपयोगकर्ता ही बातचीत करता है। यह एकतरफा तस्वीर है। उदाहरण के लिए, यह ध्यान में नहीं रखता है कि एक हमलावर डिवाइस तक भौतिक पहुंच प्राप्त कर सकता है। अनुप्रयोगों का एक महत्वपूर्ण हिस्सा सर्वर बैकएंड के साथ इंटरैक्ट करता है, जिसे कई लोग सुरक्षा के बारे में भूल जाते हैं। यह अक्सर ध्यान में नहीं लिया जाता है कि आवेदन अन्य स्थापित कार्यक्रमों के साथ बातचीत कर सकता है जो दुर्भावनापूर्ण हो सकते हैं। और एप्लिकेशन सीधे डिवाइस के साथ बातचीत नहीं करते हैं, लेकिन चौखटे, रनटाइम, लाइब्रेरी, ओएस के माध्यम से। इन घटकों में से प्रत्येक में भेद्यता हो सकती है। और ये भेद्यताएं बहुत निम्न स्तर की हो सकती हैं: कर्नेल में, ड्राइवरों में, विक्रेता के गोले में।



अनुप्रयोगों में भी समस्या हो सकती है। कई डेवलपर्स अपने एप्लिकेशन को न केवल फ़ाइल सिस्टम के अपने अलग-अलग खंड में डेटा स्टोर करने की अनुमति देते हैं, बल्कि सार्वजनिक भंडारण में भी (उदाहरण के लिए, एसडी कार्ड पर)। गोपनीय उपयोगकर्ता डेटा को इस तरह संग्रहीत करने की अनुमति देकर, डेवलपर एक गंभीर भेद्यता बनाता है। साइबर अपराधियों के लिए एक और संभावित चारा खुले चैनलों पर या एसएसएल पर डेटा स्थानांतरित कर रहा है, लेकिन बिना प्रमाणपत्र सत्यापन के। मोबाइल उपकरणों के लिए, उनके बड़े भाइयों की कमजोरियों का लगभग पूरा सेट भी प्रासंगिक है। बहुत से लोग इस बारे में भूल जाते हैं और उपयोगकर्ता इनपुट का स्वच्छताकरण प्रदान नहीं करते हैं। जानकारी प्रदर्शित करने के लिए WebView का उपयोग करके, आप हमलों का पूरा गुच्छा भी प्राप्त कर सकते हैं। एंड्रॉइड-विशिष्ट समस्या फ़ाइलों को लॉग करने के लिए संवेदनशील डेटा का स्थानांतरण है। उपयोगकर्ता अक्सर एप्लिकेशन से सिस्टम लॉग फ़ाइलों को पढ़ने के अनुरोध पर ध्यान नहीं देते हैं। और रिलीज़ संस्करणों में डेवलपर्स अक्सर डिबगिंग जानकारी को कम करने के लिए भूल जाते हैं जो लॉग में जाती है। इस वजह से, वहाँ बहुत महत्वपूर्ण जानकारी दर्ज की जा सकती है। उदाहरण के लिए, टोकन जो हमलावरों द्वारा उपयोग किए जा सकते हैं।



सैंडबॉक्स में एप्लिकेशन चलाना हमलों के लिए रामबाण नहीं है। एक अनुप्रयोग पूर्ण अलगाव में काम नहीं कर सकता है, इसमें अन्य अनुप्रयोगों के साथ और ऑपरेटिंग सिस्टम दोनों के साथ इंटरैक्शन पॉइंट होना चाहिए। एंड्रॉइड में इंटरप्रोसेस संचार काफी लचीला है। उदाहरण के लिए, आपके एप्लिकेशन में सामग्री प्रदाता जैसी कार्यक्षमता हो सकती है, जो तृतीय-पक्ष एप्लिकेशन को डेटा तक पहुंचने की अनुमति देती है। ऐसी सेवाएँ, गतिविधियाँ, और ब्रॉडकास्ट रिसीवर भी हैं जो ऑपरेटिंग सिस्टम के भीतर घूम रहे संदेशों तक पहुँच सकते हैं। वास्तव में, यदि इन घटकों को विशेषाधिकारों द्वारा संरक्षित नहीं किया जाता है, जैसा कि अक्सर होता है, कुछ तृतीय-पक्ष कोड उन्हें संदर्भित कर सकते हैं। नतीजतन, कुछ एप्लिकेशन ऐसी क्रियाएं कर सकते हैं जो इसके लिए उपलब्ध नहीं होनी चाहिए। मान लीजिए कि आपके एप्लिकेशन को एसएमएस पढ़ने और भेजने की पहुंच है। यदि आप सामग्री प्रदाताओं तक पहुंच को प्रतिबंधित करना भूल जाते हैं, तो कोई भी आवश्यक विशेषाधिकार के बिना उपयोगकर्ता के संदेशों को पढ़ सकता है।

सामग्री प्रदाता विश्लेषण

चलो व्यावहारिक भाग पर चलते हैं। सामग्री प्रदाता आपको एक सार्वभौमिक इंटरफ़ेस के माध्यम से जानकारी तक पहुंचने की अनुमति देते हैं, यह डेटाबेस कर्सर का ऐसा अमूर्तन है। एक सामग्री प्रदाता के रूप में, उदाहरण के लिए, एक पता पुस्तिका उपलब्ध है। उन्हें एक्सेस करने के लिए अनुमतियाँ न तो पढ़ने के लिए निर्धारित की जा सकती हैं और न ही लिखने के लिए, जो किसी हमलावर को कुछ महत्वपूर्ण जानकारी देखने या दर्ज करने की अनुमति देती है। ऐसी कमजोरियों की पहचान करने के लिए कई सॉफ्टवेयर उपकरण उपलब्ध हैं। उदाहरण के रूप में, मैं MWR द्वारा विकसित बुध , और मेरी स्टैंडअलोन उपयोगिता CPA का उल्लेख करना चाहूंगा। यदि आप इस तरह के एप्लिकेशन को स्वयं लिखने के लिए निर्धारित करते हैं, तो आप निम्नलिखित को समझ सकते हैं। चूंकि एप्लिकेशन की स्थापना के दौरान कई चीजें लॉग की जाती हैं, सामग्री प्रदाताओं पर डेटा निकालना बहुत आसान है। वे एप्लिकेशन मैनिफ़ेस्ट में पंजीकृत हैं, सामग्री प्रदाताओं को क्रमशः पंजीकृत किया गया है, उनके बारे में जानकारी मानक एंड्रॉइड पैकेज मैनेजर के माध्यम से उपलब्ध है। इसमें सामग्री प्रदाता के उपलब्ध होने के तरीके और विशेषाधिकारों के बारे में दोनों जानकारी है। तदनुसार, मैं इस डेटा को अपनी उपयोगिता के साथ निकालता हूं और किसी भी सामग्री प्रदाता को चुनने का अवसर देता हूं। स्वाभाविक रूप से, असुरक्षित लोग रुचि के हैं। अगला, आप सामग्री प्रदाता को डेटा स्थानांतरित करने की कोशिश कर सकते हैं, या इसे कुछ फ़ाइल पढ़ सकते हैं। परिणाम काफी अप्रत्याशित हो सकते हैं। उदाहरण के लिए, सैमसंग गैलेक्सी एस स्मार्टफोन में एक बायोमेट्रिक स्क्रीन लॉक होता है, जो तब जारी किया जाता है जब उपयोगकर्ता कैमरे को अपने चेहरे पर लाता है। यह एप्लिकेशन सामग्री प्रदाता com.sec.provider.facekey को इसके साथ रखता है।







उसके पास पढ़ने और लिखने के लिए कोई विशेषाधिकार नहीं है। यदि आप * from sqlite_master--



का उपयोग करके इस प्रदाता से संपर्क करने का प्रयास करते हैं, तो परिणाम बहुत अप्रत्याशित होगा। बल्कि, यह उन लोगों के लिए अप्रत्याशित होगा जो सोचते हैं कि SQL इंजेक्शन केवल वेब अनुप्रयोगों में उपलब्ध हैं। यह क्वेरी आपको पूरे डेटाबेस से परिचित होने की अनुमति देती है, मेरे पास वास्तव में एक SQL इंजेक्शन होगा। और हम देखते हैं कि फेसफिट नामक एक अजीब तालिका है, जिसमें "फेस फीचर्स" और "फेस इमेज" फ़ील्ड हैं। आप उनसे सीधे संपर्क कर सकते हैं और एन्कोडेड डेटा प्राप्त कर सकते हैं। इस प्रकार, कोई विशेषाधिकार नहीं होने पर, हम उपयोगकर्ता के बायोमेट्रिक डेटा तक पहुंच प्राप्त करते हैं।



यांडेक्स में अगला वैज्ञानिक और तकनीकी सेमिनार 10 जून को आयोजित किया जाएगा। यह अनुशंसा प्रणालियों और वितरित एल्गोरिदम के विषय के लिए समर्पित होगा ।