View
59
Download
1
Category
Preview:
Citation preview
– I N T E R N A L O N LY
Сравнение безопасности мобильных платформ
Андрей Бешков
Microsoft
abeshkov@microsoft.com
– I N T E R N A L O N LY
О чем будем говорить
Безопасность базовых систем мобильных ОСАтаки на приложения Шифрование хранилища
– I N T E R N A L O N LY
Бешков? А это кто?
В прошлом пропагандист опенсорса
Специалист в области UNIX и Windows
Консультант в области телеком и крупных инфраструктур
Ныне сотрудник MS отвечающий за ИБ программы в Центральной и Восточной Европе
– I N T E R N A L O N LY
Уязвимости мобильных ОС
Источники http://secunia.com/ http://www.cvedetails.com/ http://news.cnet.com/8301-30685_3-20021437-264.html
ОС Уязвимости
Apple iOS 5.x 286
Apple iOS 6.x 31
Apple iOS 7.x 37
Windows Phone 7.x 2
Windows Phone 8.x 0
Android 2.x 359
Android 3.x 2
Android 4.x 2
– I N T E R N A L O N LY
Фрагментация Android
Одна версия Android выходит из поддержки каждые полгода. Поддержка заканчивается еще во время активной продажи Android устройств.Entelligence Will Android fragmentation destroy the platformhttp://www.engadget.com/2010/03/05/entelligence-will-android-fragmentation-destroy-the-platform/
Time for Google to Take Control of the Android Update Processhttp://www.zdnet.com/blog/mobile-news/time-for-google-to-take-control-of-the-android-update-process/664
– I N T E R N A L O N LY
Утечка прав приложений Android
Уязвимость в Android позволяет не доверенным приложениям записывать звук, отследить географическое положение пользователя и получать доступ к любым данным без разрешения. Ей подвержены аппараты от HTC, Samsung, Motorola и Google.
Уязвимость позволяет обойти основные разрешения для любых приложений.
http://www.theregister.co.uk/2011/11/30/google_android_security_bug/
– I N T E R N A L O N LY
Android Market
Легко публиковать приложения в Google Play. Особенно атакующим. Защиту с помощью Google Bouncer уже обошли.Все приложения (даже приложения безопасности) созданы равными
Нет никакой особенной защиты для приложений шифрующих данные или передающих данные наружу.
Приложения для взлома ОС легко находятся в Google Play и сторонних маркетах.
– I N T E R N A L O N LY
Зловреды любят Android
Kaspersky Security Bulletin 2013
– I N T E R N A L O N LY
Зловреды любят Android
Kaspersky Security Bulletin 2013
– I N T E R N A L O N LY
Уязвимость Heartbleed в Android
Позволяет веб сайту незаметно читать память из Android 4.1.1 и 4.2.2 Уязвимы десятки миллионов устройств.
Vicious Heartbleed bug bites millions of Android phones
– I N T E R N A L O N LY
Уязвимость в SSL/TLS iOS 7, iOS 6, Apple TV, OS X
Позволяет атакующему перехватывать и модифицировать шифрованный траффик.
Apple's SSL bug
– I N T E R N A L O N LY
Apple AppStore
Чарли Миллер продемонстрировал приложения способные менять свои модули без участия AppStore. Это позволяет мутировать безобидные приложения в зловредный код c помощью JavaScript.
http://www.forbes.com/sites/andygreenberg/2011/11/07/iphone-security-bug-lets-innocent-looking-apps-go-bad/
– I N T E R N A L O N LY
Шифрование данных
Криптография с помощью javax.crypto или других средствДокументация по шифрованию Android и iOS крайне скудна
WP 7 WP8 Android iOSШифрование сменного
хранилища
Нет Да Да. С Android 3.0 Нет
Шифрование
встроенного хранилища
Нет Да Да. С Android 3.0 Да
Централизованное
управление криптографией
Нет Да Нет Нет
Централизованное восстановление крипто ключей
Нет Да Нет Нет
– I N T E R N A L O N LY
http://www.youtube.com/watch?v=uVGiNAs-QbY&feature=player_embedded
http://www.sit.fraunhofer.de/en/Images/sc_iPhone%20Passwords_tcm502-80443.pdf
– I N T E R N A L O N LY
Кажется с Android есть проблемы, но мой iPad ведь безопасен?
Компрометация SIM карт клиентов AT&T использующих iPadhttp://arstechnica.com/security/news/2010/06/atts-ipad-security-breach-could-be-worse-than-initially-thought.ars
Восстановление паролей iPhone за 6 минут: http://technolog.msnbc.msn.com/_news/2011/02/10/6023980-hackers-only-need-six-minutes-to-reveal-your-iphone-passwords?gt1=43001
Recommended