Η Цхецк Поинт Ресеарцх (ЦПР) открили осетљиве податке у мобилне апликације незаштићена и доступна свима са а Претраживач.
Ψуказујући на "ВирусТотал", тхе Реанимације затекао 2.113 мобилних апликација, чије базе података у облак били незаштићени и изложени, све током тромесечне истраживачке студије. Мобилне апликације су се кретале од 10.000+ преузимања до 10.000.000+ преузимања.
Η Цхецк Поинт Ресеарцх (ЦПР) открили да су осетљиви подаци низа мобилних апликација били изложени и доступни свима који имају прегледач. Тхе ВирусТотал, подружница Гоогле-а, је бесплатна онлајн алатка која анализира датотеке и УРЛ адресе да би открила вирусе, тројанце и друге облике малвера.
Осетљиви подаци откривени од стране Реанимације укључено: личне породичне фотографије, ИД купона у апликацији за здравствену заштиту, подаци са платформи за размену криптовалута И још много тога. ЦПР пружа неколико примера апликација чији су подаци откривени.
У једном од њих, ЦПР је откривено више од 50.000 приватних порука из популарне апликације за упознавање. ТХЕ Реанимације упозорава на то како лако може доћи до кршења података кроз описани метод и шта програмери безбедности у облаку могу да ураде да боље заштите своје апликације. Како би се избегла експлоатација, ЦПР тренутно неће наводити имена мобилних апликација укључених у истрагу.
Методологија приступа
За приступ изложеним базама података, методологија је једноставна:
- Потражите мобилне апликације које комуницирају са услугама у облаку на ВирусТотал
- Архивирајте оне који имају директан приступ подацима
- Прегледајте везу коју сте добили
Коментар: Лотем Финкелстеен, шеф обавештајне службе и истраживања о претњама у софтверу Цхецк Поинт:
Хакер може питати ВирусТотал комплетан пут до клауд позадинског дела мобилне апликације. И сами делимо неке примере шта смо тамо могли да нађемо. Све што смо пронашли доступно је свима. Коначно, овим истраживањем доказујемо колико је лако доћи до повреде или експлоатације података.
Количина података која је отворена и доступна свима у облаку је сулуда. Много је лакше сломити него што мислимо.
Како остати безбедан:
Ево неколико савета како бисте били сигурни да су различите услуге у облаку безбедне:
Амазон Веб Сервицес
АВС ЦлоудГуард С3 Буцкет Сецурити
Посебно правило: „Уверите се да С3 корпе нису јавно доступне“ ИД правила: Д9.АВС.НЕТ.06
Посебно правило: „Уверите се да С3 корпе нису доступне широј јавности.“ ИД правила: Д9.АВС.НЕТ.06
Гоогле Цлоуд Платформ
Уверите се да Цлоуд Стораге ДБ није анонимно или јавно доступно ИД правила: Д9.ГЦП.ИАМ.09
Уверите се да база података за складиштење у облаку није анонимна или јавно доступна ИД правила: Д9.ГЦП.ИАМ.09
Мицрософт Азуре
Уверите се да је подразумевано правило за приступ мрежи за налоге за складиштење подешено да одбија ИД правила: Д9.АЗУ.НЕТ.24
Уверите се да је подразумевано правило приступа мрежи за налоге за складиштење подешено да одбија ИД правила Д9.АЗУ.НЕТ.24
Саопштење
Не заборавите да га пратите Ксиаоми-миуи.гр у Гоогле вести да будете одмах обавештени о свим нашим новим чланцима! Такође можете, ако користите РСС читач, додати нашу страницу на своју листу, једноставно пратећи овај линк >> https://news.xiaomi-miui.gr/feed/gn
