Cercetătorii de la Symantec au descoperit că utilizarea datelor de autentificare încorporate în codul sursă în aplicațiile de mobil pentru Android și iOS pun în pericol datele personale ale milioane de utilizatori. În continuare sunt prezentate aplicațiile afectate și măsurile practice pe care utilizatorii le pot lua pentru a se proteja de asemenea vulnerabilități.
TLDR
- Datele de autentificare sunt încorporate direct în codul sursă al aplicațiilor.
- Acestea permit accesul neautorizat la datele utilizatorilor.
- Aplicațiile afectate includ Pic Stitch, Crumbl și altele.
- Utilizatorii sunt sfătuiți să folosească soluții de management al parolelor și să își actualizeze frecvent aplicațiile.
Detalii
Utilizarea datelor de autentificare încorporate în codul sursă în aplicațiile mobile reprezintă o vulnerabilitate majoră. Aplicatii populare precum „Pic Stitch” și „Crumbl” au expus credențiale AWS, precum chei de acces direct în codul lor sursă, permițând potențialilor atacatori accesul la datele utilizatorilor.
Practici nesigure de stocare a datelor
Multe aplicații stochează informații sensibile precum credențiale de acces la bucket-uri AWS S3 sub formă necriptată, făcându-le vulnerabile la analiza binară și examinarea codului sursă. Aceste practici pot conduce la acces neautorizat la resursele cloud și la compromiterea infrastructurii backend.
Cum să vă protejați datele
Pentru a preveni exploatările, utilizatorii sunt sfătuiți să utilizeze variabile de mediu pentru stocarea datelor sensibile, să implementeze soluții de management al parolelor și să cripteze datele sensibile. De asemenea, este esențială realizarea de audituri ale codului și automatizarea scanării de securitate.
Concluzie
Vulnerabilitățile legate de datele de autentificare încorporate în codul sursă evidențiază problemele de securitate din practicile de dezvoltare ale aplicațiilor mobile. Este vital ca dezvoltatorii să implementeze sisteme de management al autentificării și să evite încorporarea credențialelor în codul sursă pentru a proteja datele utilizatorilor și integritatea aplicațiilor.
Sursa articolului:
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
