Безпека мобільних пристроїв: Android, iOS та захист мобільних додатків

📋 TL;DR - Основні моменти

Мобільна безпека - захист смартфонів, планшетів та мобільних додатків

Android безпека - захист від малериційного ПЗ, root атак та вразливостей

iOS безпека - sandbox, App Store перевірка та системні захисти

MDM - управління корпоративними мобільними пристроями

Мобільні загрози - малериційне ПЗ, фішинг, атаки на додатки

Біометрична аутентифікація - відбитки, обличчя, голос

Мобільний пентест - тестування безпеки мобільних додатків

📱 Що таке мобільна безпека?

Мобільна безпека — це комплекс заходів, технологій та політик, спрямованих на захист мобільних пристроїв (смартфонів, планшетів, носимих пристроїв) та мобільних додатків від кіберзагроз. Вона включає захист даних, програмного забезпечення та апаратного забезпечення.

Сучасні мобільні пристрої містять велику кількість чутливої інформації: контакти, повідомлення, фотографії, фінансові дані, місцезнаходження та інше. Тому їх захист є критично важливим для особистої безпеки та приватності користувачів.

🤖 Безпека Android

Архітектура безпеки Android

Android використовує багаторівневу архітектуру безпеки:

1. Linux Kernel Security

Process Isolation - ізоляція процесів

User-based Permissions - дозволи на основі користувачів

SELinux - примусовий контроль доступу

ASLR - рандомізація адресного простору

2. Android Runtime (ART)

Sandboxing - ізоляція додатків

Permission Model - модель дозволів

Code Signing - підписання коду

Bytecode Verification - перевірка байт-коду

3. Application Framework

Intent System - система повідомлень

Content Providers - захищені провайдери контенту

Binder IPC - міжпроцесна комунікація

Activity Manager - управління активностями

Модель дозволів Android

Android використовує систему дозволів для контролю доступу додатків до системних ресурсів:

Типи дозволів:

Normal Permissions - автоматично надаються

Dangerous Permissions - вимагають підтвердження користувача

Signature Permissions - тільки для системних додатків

System Permissions - тільки для системи

Приклади небезпечних дозволів:

READ_CONTACTS - читання контактів

ACCESS_FINE_LOCATION - точне місцезнаходження

RECORD_AUDIO - запис аудіо

CAMERA - доступ до камери

READ_SMS - читання SMS

Загрози для Android

1. Malware (Малериційне ПЗ)

Trojans - троянські програми

Adware - рекламне ПЗ

Spyware - шпигунське ПЗ

Ransomware - програми-вимагачі

2. Root атаки

Root Exploits - експлуатація вразливостей

Privilege Escalation - підвищення привілеїв

Custom ROMs - небезпечні прошивки

Bootloader Unlocking - розблокування завантажувача

3. Side-channel атаки

Timing Attacks - атаки по часу

Power Analysis - аналіз споживання енергії

Cache Attacks - атаки через кеш

Electromagnetic Attacks - електромагнітні атаки

Заходи захисту Android

Для користувачів:

Оновлення системи - регулярні оновлення безпеки

Google Play Protect - вбудований захист

Антивірусне ПЗ - додатковий захист

Обмеження дозволів - мінімальні дозволи

VPN - захист мережевого трафіку

Блокування джерел - заборона встановлення з невідомих джерел

Для розробників:

Code Obfuscation - заплутування коду

Certificate Pinning - закріплення сертифікатів

Runtime Application Self-Protection (RASP) - самозахист додатку

Anti-tampering - захист від модифікації

Root Detection - виявлення root

🍎 Безпека iOS

Архітектура безпеки iOS

iOS має більш закриту та контрольовану архітектуру безпеки:

1. Hardware Security

Secure Enclave - захищений процесор

Touch ID/Face ID - біометрична аутентифікація

Hardware Security Module - апаратний модуль безпеки

Boot Chain - ланцюжок завантаження

2. iOS Security Architecture

Sandboxing - ізоляція додатків

Code Signing - підписання коду

Entitlements - дозволи додатків

Keychain Services - безпечне зберігання

3. App Store Security

App Review Process - процес перевірки додатків

Code Signing - підписання Apple

Sandbox Restrictions - обмеження sandbox

Runtime Protections - захист під час виконання

Модель дозволів iOS

iOS використовує систему entitlements та privacy permissions:

Privacy Permissions:

Location Services - доступ до місцезнаходження

Camera - доступ до камери

Microphone - доступ до мікрофона

Photos - доступ до фотографій

Contacts - доступ до контактів

Calendar - доступ до календаря

Загрози для iOS

1. Jailbreak атаки

Jailbreak Exploits - експлуатація вразливостей

Untrusted Apps - недовірені додатки

Privilege Escalation - підвищення привілеїв

System Modification - модифікація системи

2. App Store атаки

Malicious Apps - шкідливі додатки

Fake Apps - підроблені додатки

Supply Chain Attacks - атаки ланцюжка постачання

Developer Account Compromise - компрометація акаунту розробника

3. Network атаки

Man-in-the-Middle - атаки на з'єднання

SSL Pinning Bypass - обхід закріплення сертифікатів

Certificate Spoofing - підробка сертифікатів

DNS Hijacking - перехоплення DNS

Заходи захисту iOS

Для користувачів:

iOS Updates - регулярні оновлення

App Store Only - встановлення тільки з App Store

Two-Factor Authentication - двофакторна аутентифікація

Find My iPhone - пошук пристрою

Screen Time - контроль часу використання

Privacy Settings - налаштування приватності

Для розробників:

App Transport Security (ATS) - безпека транспорту

Keychain Services - безпечне зберігання

Touch ID/Face ID Integration - біометрична аутентифікація

Code Signing - підписання коду

Entitlements - правильні дозволи

📱 Безпека мобільних додатків

OWASP Mobile Top 10

Список найкритичніших вразливостей мобільних додатків:

1. M1: Improper Platform Usage

Неправильне використання платформних можливостей безпеки.

2. M2: Insecure Data Storage

Небезпечне зберігання чутливих даних.

3. M3: Insecure Communication

Небезпечна передача даних між клієнтом та сервером.

4. M4: Insecure Authentication

Небезпечна аутентифікація користувачів.

5. M5: Insufficient Cryptography

Недостатнє або неправильне використання криптографії.

6. M6: Insecure Authorization

Небезпечна авторизація та контроль доступу.

7. M7: Client Code Quality

Низька якість коду клієнтської частини.

8. M8: Code Tampering

Можливість модифікації коду додатку.

9. M9: Reverse Engineering

Можливість зворотного інжинірингу додатку.

10. M10: Extraneous Functionality

Наявність зайвої функціональності в продакшн версії.

Безпечне програмування мобільних додатків

1. Secure Data Storage

Keychain (iOS) - безпечне зберігання

Android Keystore - захищене сховище

Encryption - шифрування чутливих даних

No Plain Text - не зберігати паролі в відкритому вигляді

2. Secure Communication

HTTPS Only - використання тільки HTTPS

Certificate Pinning - закріплення сертифікатів

TLS 1.2+ - використання сучасних версій TLS

Perfect Forward Secrecy - ідеальна секретність вперед

3. Secure Authentication

Biometric Authentication - біометрична аутентифікація

Multi-Factor Authentication - багатофакторна аутентифікація

Session Management - правильне управління сесіями

Password Policies - політики паролів

🏢 MDM (Mobile Device Management)

Що таке MDM?

MDM — це технологія, яка дозволяє IT-адміністраторам керувати, моніторити та захищати мобільні пристрої, які використовуються в корпоративному середовищі.

Функції MDM

1. Device Enrollment

Bulk Enrollment - масове реєстрування

Self-Service Portal - самообслуговування

QR Code Enrollment - реєстрація через QR код

Email Invitation - запрошення по email

2. Policy Management

Password Policies - політики паролів

App Restrictions - обмеження додатків

Network Policies - мережеві політики

Compliance Rules - правила відповідності

3. App Management

App Distribution - розповсюдження додатків

App Updates - оновлення додатків

App Removal - видалення додатків

App Whitelisting - білий список додатків

4. Security Management

Remote Wipe - віддалене стирання

Device Lock - блокування пристрою

Location Tracking - відстеження місцезнаходження

Threat Detection - виявлення загроз

Популярні MDM рішення

Microsoft Intune - хмарне рішення Microsoft

VMware Workspace ONE - комплексне рішення

IBM MaaS360 - корпоративне рішення

MobileIron - спеціалізоване рішення

Citrix XenMobile - рішення для великих підприємств

Jamf - рішення для Apple пристроїв

🔐 Біометрична аутентифікація

Типи біометричних даних

1. Відбитки пальців (Fingerprint)

Optical Sensors - оптичні сенсори

Capacitive Sensors - ємнісні сенсори

Ultrasonic Sensors - ультразвукові сенсори

Advantages - висока точність, швидкість

Disadvantages - можуть бути підроблені

2. Розпізнавання обличчя (Face Recognition)

2D Face Recognition - двовимірне розпізнавання

3D Face Recognition - тривимірне розпізнавання

Infrared Face Recognition - інфрачервоне розпізнавання

Advantages - зручність використання

Disadvantages - вплив освітлення, макіяжу

3. Розпізнавання голосу (Voice Recognition)

Speaker Recognition - розпізнавання мовця

Speech Recognition - розпізнавання мови

Advantages - не потребує спеціального обладнання

Disadvantages - вплив шуму, хвороб

4. Розпізнавання очей (Iris/Retina)

Iris Recognition - розпізнавання райдужки

Retina Recognition - розпізнавання сітківки

Advantages - висока точність, унікальність

Disadvantages - дороге обладнання, незручність

Безпека біометричних даних

1. Зберігання біометричних даних

Local Storage - локальне зберігання

Secure Enclave - захищене сховище

Template Storage - зберігання шаблонів

Encryption - шифрування даних

2. Захист від підробки

Liveness Detection - виявлення живості

Anti-Spoofing - захист від підробки

Multi-Modal - багатомодальна аутентифікація

Continuous Authentication - безперервна аутентифікація

🔍 Мобільний пентест

Методологія тестування

1. Pre-engagement

Scope Definition - визначення області тестування

Legal Agreements - правові угоди

Environment Setup - налаштування середовища

Tool Selection - вибір інструментів

2. Information Gathering

App Analysis - аналіз додатку

Network Analysis - аналіз мережі

API Discovery - виявлення API

Third-party Services - сторонні сервіси

3. Vulnerability Assessment

Static Analysis - статичний аналіз

Dynamic Analysis - динамічний аналіз

Runtime Analysis - аналіз під час виконання

Network Analysis - аналіз мережевого трафіку

4. Exploitation

Proof of Concept - доказ концепції

Impact Assessment - оцінка впливу

Data Extraction - витягування даних

Privilege Escalation - підвищення привілеїв

Інструменти мобільного пентесту

1. Static Analysis Tools

MobSF (Mobile Security Framework) - комплексний фреймворк

QARK (Quick Android Review Kit) - аналіз Android додатків

iNalyzer - аналіз iOS додатків

AndroBugs - виявлення вразливостей Android

2. Dynamic Analysis Tools

Frida - динамічний інструментарій

Xposed Framework - модифікація Android

Cycript - інструментарій для iOS

Burp Suite - аналіз веб-трафіку

3. Network Analysis Tools

Wireshark - аналіз мережевих пакетів

tcpdump - командний інструмент

mitmproxy - проксі для аналізу

Charles Proxy - веб-проксі

📊 Метрики мобільної безпеки

Ключові показники

Device Compliance Rate - відсоток відповідних пристроїв

App Security Score - оцінка безпеки додатків

Threat Detection Rate - відсоток виявлених загроз

Incident Response Time - час реагування на інциденти

User Training Completion - завершення навчання користувачів

Метрики MDM

Enrollment Rate - відсоток реєстрації пристроїв

Policy Compliance - відповідність політикам

App Distribution - розповсюдження додатків

Remote Actions - віддалені дії

Support Tickets - кількість звернень підтримки

🎓 Висновок

Мобільна безпека є критично важливою складовою сучасної кібербезпеки, оскільки мобільні пристрої стали невід'ємною частиною нашого життя та містять велику кількість чутливої інформації.

Розуміння особливостей безпеки Android та iOS, принципів безпечного програмування мобільних додатків та використання MDM рішень є ключовими елементами для забезпечення безпеки мобільних пристроїв.

Біометрична аутентифікація та інші сучасні технології безпеки надають зручні та ефективні способи захисту, але вони повинні використовуватися в поєднанні з традиційними методами безпеки.

Майбутнє мобільної безпеки пов'язане з розвитком штучного інтелекту, квантових технологій та нових методів аутентифікації. Важливо бути готовими до цих змін та адаптувати стратегії безпеки відповідно.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.