امکان نفوذ به بیش از یک میلیارد برنامه‌ی تلفن همراه

۵محققان امنیتی توانسته‌اند راهی را برای هدف حمله قرار دادن برنامه‌های کاربردی اندرویدی و iOS پیدا کنند، راهی که به آن‌ها اجازه می‌دهد از راه دور و بدون اطلاع کاربر، وارد برنامه‌ی تلفن همراه وی شوند.
گروهی از محققان دانشگاه چینی هنگ‌کنگ دریافته‌اند که بیشتر برنامه‌های محبوب تلفن همراه که از سرویس تک‌مرحله‌ای (SSO) ورود به سامانه‌ استفاده می‌کنند، به‌طور کاملاً ناامن OAuth ۲.۰ را در خود تعبیه کرده‌اند.
حتماً می‌دانید که OAuth ۲.۰ یک استاندارد باز برای احراز هویت است که به کاربران اجازه می‌دهد با تأیید هویت کنونی خود در شبکه‌های فیس‌بوک، گوگل یا حساب‌های کاربری شرکت چینی سینا، وارد سایر سرویس‌های شخص ثالث شوند.
این فرآیند کاربران را قادر می‌سازد که بدون نیاز به ارائه‌ی شناسه و گذرواژه وارد هر سرویس دیگری شوند.

توسعه‌دهندگان برنامه‌های کاربردی چگونه OAuth را تعبیه می‌کنند؟ (روش درست)
هنگامی‌که کاربر به وسیله‌ی OAuth وارد یک برنامه‌ی شخص ثالث می‌شود، این برنامه به کمک ارائه‌دهنده‌ی آن ID، مثلاً فیس‌بوک، بررسی می‌کند که آیا جزئیات مربوط به احراز هویت صحیح است یا خیر. اگر صحیح بود، OAuth یک «توکن دسترسی» را از فیس‌بوک دریافت می‌کند که در ادامه به کارگزار آن برنامه‌ی کاربردی تلفن همراه ارسال می‌شود.
هنگامی که توکن دسترسی صادر شد، کارگزار این برنامه اطلاعات احراز هویت کاربر را از فیس‌بوک درخواست می‌کند، آن‌ها را تأیید کرده، و سپس به کاربر اجازه می‌دهد با اطلاعات محرمانه‌ی فیس‌بوک وارد سامانه شود.

توسعه‌دهندگان برنامه‌های کاربردی چگونه OAuth را تعبیه می‌کنند؟ (روش نادرست)
پژوهش‌‌گران دریافته‌اند که توسعه‌دهنده‌ی تعداد بی‌شماری از برنامه‌های اندرویدی به درستی اعتبار اطلاعات ارسالی از سوی ارائه‌دهنده‌ی ID اعم از فیس‌بوک، گوگل یا سینا را بررسی نمی‌کنند.
ممکن است کارگزار این برنامه به جای تأیید اطلاعات OAuth (یعنی توکن دسترسی) مربوط به اطلاعات احراز هویت کاربر برای تأیید این‌که کاربر و ارائه‌دهنده‌ی ID به هم ربطی دارند یا خیر، فقط بازیابی ID کاربر از ارائه‌دهنده‌ی ID مربوطه را بررسی کند. به خاطر همین اشتباه، نفوذگران دارای دسترسی از راه دور می‌توانند این برنامه‌ی آسیب‌پذیر را بارگیری کنند، با اطلاعات شخصی خود به آن وارد شوند، سپس نام کاربری خود را به نام افرادی تغییر دهند که قصد حمله به آن‌ها را دارند، برای این کار می‌بایست کارگزار را به نحوی تنظیم کنند که اطلاعات ارسالی از فیس‌بوک، گوگل یا هر ارائه‌دهنده‌ی ID دیگری را دست کاری نماید.
هر وقت این کار انجام شد، نفوذگران کنترل کامل داده‌های آن برنامه را در دست می‌گیرند.
دوست دارید نتیجه‌ی این ماجرا را بدانید؟ اگر نفوذگران وارد برنامه‌ی سفر کاربر قربانی شوند، می‌توانند از جدول برنامه‌های وی مطلع شوند؛ اگر آن‌ها وارد برنامه‌ی رزرو هتل شوند، می‌توانند اتاقی را برای خود رزرو کرد و پرداخت هزینه را به قربانی محول کنند؛ به بیان ساده نفوذگران می‌توانند داده‌های شخصی قربانی اعم از آدرس محل سکونت یا اطلاعات بانکی‌اش را بربایند.
محققا صدها برنامه‌ی محبوب اندرویدی چینی و آمریکایی را پیدا کرده‌اند که از سرویس SSO پشتیبانی می‌کنند، برنامه‌هایی که مجموع بارگیری‌های آن‌ها به ۲٫۴ میلیارد می‌رسد و نسبت به این موضوع آسیب‌پذیر هستند.
با توجه به تعداد کاربرانی که از ورود مبتنی بر OAuth استفاده می‌کنند، محققان تخمین زده‌اند که بیش از یک میلیارد برنامه‌ی مختلف تلفن همراه در خطر نفوذ قرار داشته باشند.
پژوهش‌گران کدهای نفوذی خود را روی آیفون امتحان نکرده‌اند، اما بر این باورند که حملات آ‌ن‌ها روی هر برنامه‌ی آسیب‌پذیری در سامانه‌ی عامل iOS قابل اجرا خواهد بود.

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

LinkedInFacebookTwitter