《行动装置app之安全导览》由会员分享，可在线阅读，更多相关《行动装置app之安全导览（7页珍藏版）》请在金锄头文库上搜索。
1、36 財金資訊季刊 / No.79 / 2014.07資訊分享行動裝置App之安全導覽行動裝置App之安全導覽黃建隆 / 財金資訊公司安控部資訊安全組高級工程師一、 前言西元 2008 年 Apple 公司第一代 iPhone誕生，Google 公司的 Android 手機與微軟公司的 Windows Phone 亦隨之而起，直至今日智慧型手機 (Smart phone) 市場已是百家齊鳴。另一方面，2010 年第一代 Apple iPad 問世，為行動裝置開啟另一新頁，掀起平板電腦的戰場風雲，Google、微軟等公司也紛紛推出搭載自己作業系統的平板電腦。從全球出貨量亦可觀察行動裝置的變化，根
2、據美國國際數據資訊公司 (International Data Corporation，簡稱 IDC) 的手機市場調查報告顯示，智慧型手機的出貨量在 2013年第一季首次超過傳統功能手機 (Feature phone)。另一方面，2013 年平板電腦的全球出貨量正式超越筆記型電腦，預估 2014 年有機會超越桌上型電腦與筆記型電腦的總和，在在顯示行動裝置是未來主流趨勢。在行動應用程式 (Mobile applications，簡稱 App) 方面，Apple 官方於 2013 年 5 月 16日宣布 App Store 下載次數突破 500 億次，而同時間 Google 也宣布 Play St
3、ore 下載量已達480 億次。行動裝置 App 逐漸融入日常生活，對民生之影響日益加深，尤以智慧型手機 App為甚。近來常有智慧型手機遭受惡意程式攻擊的相關消息，行動裝置 App 的安全議題實在不容小覷。誠如 Apple 公司在 iOS 安全白皮書中所言，App 已是現代行動作業系統安全體系結構中最關鍵的要素。本文相關討論將以目前市占率最高的 Google Android 與 Apple iOS兩大陣營為主軸。二、 行動裝置 App 之安全威脅依 據 2012 年 智 慧 型 連 網 裝 置 (Smart connected devices) 分布統計，桌上型電腦與筆記型電腦約占 28.7%
4、，平板電腦約 11.8%，智慧型手機約 59.5%。預估 2017 年時，整體電腦所占比例將下降至 13%，平板電腦提升至 16.5%，智慧型手機則高達 70.5%。換言之，未來有高達 87% 的智慧型連網裝置是行動裝置，由於這些裝置有以下特點，其安全威脅將更甚於傳統個人電腦。 行動裝置持續處於開機狀態，且可能一直連上網路，不像家中電腦可能閒暇之餘才會開機上網。持續開機時間拉長，風險暴露機會自然竄升。 行動裝置可能存有惡意軟體覬覦的標的，例如：通訊錄的個人資料、銀行帳戶資訊等有價值的資訊。 行動裝置的輸出入管道多元，例如：電話、藍牙、NFC (Near Field Communication，
5、近場通訊 )、相機等，可能遭受攻擊的管道.tw 37行動裝置App之安全導覽資訊分享較多。例如：以相機掃描包含惡意網址的QR Code (Quick Response Code， 一 種二維條碼 )，手機可能被植入木馬程式，但事前單從 QR Code 本身卻無法分辨內容是否有害；另以 NFC 掃描 Tag ( 標籤 ) 亦有類似的風險。圖 1 行動裝置之威脅來源Google Play Store 或 Apple App Store 的App 上架流程與審核方式也是行動裝置安全威脅的一環，概述如下：(一) Google Play StoreGoogle Play Store 的 前 身 是 An
6、droid Market， 於 2012 年 改 版 更 名。 只 要 擁 有Google 帳號，並繳交 25 美元 ( 只須繳一次 )，便可註冊成為 App 開發人員。完成註冊 48 小時後，即可將自己的 App 發布至 Play Store，而 App 上架相關作業也大約只要 24 小時就可完成。Google 對於 App 的審核方式主要是採取自動掃描，分析潛在的安全威脅，已上架的App 則可經由檢舉而下架。對開發人員而言，這種審核方式較為友善且寬鬆，然而惡意軟體趁虛而入的機會也較高。因此，Play Store 的軟體品質較為參差不齊，發現惡意程式的情事偶有所聞。38 財金資訊季刊 / N
7、o.79 / 2014.07資訊分享行動裝置App之安全導覽(二) Apple App StoreApple App Store 的 App 上架審核非常嚴格，開發人員每年必須繳交 99 美元，Apple公司不僅審查 App 用途，也會監控程式原始碼，以防範惡意程式上架。此外，App 必須使用 Apple 公司中央控管的憑證進行簽章，不可使用第三方憑證。因此，App 上架所需時間較長，但軟體品質較高，罕有惡意程式。依據芬蘭網路安全服務商 F-Secure 發布 的 一 份 研 究 報 告 指 出，2013 年 Android平台共發現 804 個惡意程式，約占全球總量 97%，較 2012 年
8、增加 23%。不過，只由Google Play Store 下載軟體的使用者不必太擔心，大部分惡意程式會被及時刪除，其實還算安全。第三方應用商店才是惡意程式四處流竄的淵藪。圖 2 詐騙簡訊圖 3 惡意程式下載三、 行動裝置 App 安全機制之建構傳統的資訊系統開發生命週期 (System Development Life Cycle，簡稱 SDLC) 較注重於短時間內完成系統開發與功能實作，但行動以下介紹一些行動裝置惡意程式案例： Super Clean：一種橫跨行動裝置與個人電腦的 Android 惡意程式，使用者安裝之後，行動裝置 SD 卡的根目錄會出現 autorun.inf、folde
9、r.ico、svchosts.exe 等 檔 案。 當行動裝置與個人電腦連結，個人電腦就會自動執行 svchosts.exe，啟動錄音程式進行錄音，並將錄音資料傳送至遠端主機。 Find and Call：一種 iOS 與 Android 均曾出現的惡意程式，也是 iOS 首度發現的惡意程式。該程式會竊取使用者的手機通訊錄，並用以散布垃圾簡訊。 小額付款詐騙：經由簡訊或 Line 訊息，引誘受害者開啟內含惡意程式的網路連結，自動下載安裝惡意程式後，再將小額付款的驗證碼簡訊轉接到詐騙集團，暗中進行交易 ( 如圖 2、3 所示 )。綜上所述，行動裝置的安全威脅來源眾多，無論個人 App 的使用或企
10、業 App 開發的安全機制必須更加審慎，以避免淪為攻擊目標。.tw 39行動裝置App之安全導覽資訊分享裝置面臨眾多新的安全挑戰，App 安全機制之建構更應關注安全系統發展生命週期 (Secure SDLC，簡稱 SSDLC)。系統開發之初，除考量系統功能與開發時程外，架構設計亦應納入安全性思維，以適時採取各項安全防護措施。針 對 行 動 裝 置 App 安 全 機 制 的 開 發規劃，可參考開放網路應用程式安全計畫 (Open Web Application Security Project，簡稱 OWASP) 就技術角度所發布的行動裝置十大風險，以及歐洲網路與資訊安全機構 (Europea
11、n Network and Information Security Agency，簡稱 ENISA) 就用戶端角度所發布的智慧型手機十大風險，以避免落入相關常見的開發威脅中。OWASP 組織將行動裝置可能遭遇的威脅分為偽冒 (Spoofing)、拒絕 (Repudiation)、阻斷服務 (Denial of Service)、竄改 (Tampering)、資訊洩漏 (Information Disclosure) 及 權 限 提 升 (Elevation of Privilege) 六類，再依這些威脅造成之衝擊 (例如：機密性、完整性或可用性) 訂定十大風險。以下是 2012-2013 年
12、版的行動裝置十大風險：(一) M1用戶端資料儲存不安全 (Insecure Data Storage)用戶端裝置未適當保護機敏資料，例如：機敏資料 ( 帳號、密碼等 ) 未加密或誤認資料編碼即已加密，因而可能導致機敏資料外洩。(二) M2 伺服器端控制脆弱 (Weak Server Side Controls)行動裝置 App 可能會與伺服器端的系統互動，而伺服器端可能存在弱點。以日前沸沸揚揚的 OpenSSL Heartbleed 安全漏洞為例，行動裝置就可能因為 App 連結伺服器和網頁服務執行相關功能而遭波及。趨勢科技曾掃描 Google Play Store 上約 39 萬個應用程式，
13、發現大約有 1300 個會連結有安全漏洞的伺服器，其中 15 個與銀行相關，39 個與線上支付有關，10 個與網路購物有關。(三) M3 傳 輸 層 保 護 不 足 (Insufficient Transport Layer Protection)未以加密方式傳輸機敏資料，例如：經由網路傳輸交易資料或帳號密碼時，未以 https或其他加密方式保護，可能遭受中間人攻擊 (Man-in-the-middle attack) 而導致機敏資料外洩或遭竄改。(四) M4 用 戶 端 注 入 變 造 (Client Side Injection)這種網路常見的攻擊方式歷久不衰，行動裝置 App 亦無法倖免
14、。如果網頁程式未妥善防範，攻擊者即可利用 SQL 注入 (SQL Injection) 等攻擊方式，提升權限或存取未經授權的資料。(五) M5 身 分 辨 識 認 證 不 嚴 謹 (Poor Authorization and Authentication)部分行動裝置 App 僅以固定數值進行身分驗證與授權，例如：國際行動設備識別碼 (International Mobile Equipment Identity Number，IMEI)、 國 際 行 動 用 戶 識 別 碼 (International Mobile Subscriber Identity，40 財金資訊季刊 / No.7
15、9 / 2014.07資訊分享行動裝置App之安全導覽IMSI) 或通用唯一識別碼 (Universally Unique Identifier，UUID)。(六) M6 連 線 處 理 不 適 當 (Improper Session Handling)因應行動裝置連接網路的特性，App 連線逾期 (Session timeout) 的設定通常比較寬鬆，以方便使用。這些連線可能經由 Http Cookies、OAuth tokens 或 Single Sign On (SSO) 等方式維護，建議避免使用裝置的硬體識別碼為連線值，以防攻擊者輕易猜到帳號、密碼等機敏連線內容，進而非法提升權限，存取
16、相關重要資料。(七) M7 安全決策輸入不受信任 (Security Decisions Via Untrusted Inputs)經由惡意攻擊者精心佈局，可以略過應用程式的權限檢核或安全控制，各種行動裝置平台 ( 如：iOS、Andriod) 均可能發生。例如：假設 Skype App 有 HTML 或 Script 注入弱點，攻擊者只要先把含惡意連結的 iframe () 寫入某特定網頁中，當行動裝置的瀏覽器讀此iframe 原始碼，Skype App 不需使用者授權，即自動撥打指定的電話號碼。(八) M8 側通道資料洩漏 (Side Channel Data Leakage)側通道可能是行動裝置中的第三方程式或函式庫，會自動儲存一些敏感資料，例如：暫存網頁、日誌檔或暫存資料等，因而導致資料洩漏。(九) M9 加密失效 (Broken Cryptography)此風險可分為兩種狀況：一是使用過時或金鑰長度不足的加密演算法，二是使用過於簡單的加密演算法。OWASP 指出：編碼
