20 мая 2014
Мобильные приложения отечественных банков не отвечают требованиям безопасности
От экспертов поступило предупреждение по поводу небезопасности большинства клиентских приложений мобильного банкинга, предлагаемых российскими финансовыми организациями. В частности в них присутствует уязвимость типа MitM («человек посередине», Man-in-the-Middle), которая содержится практически в каждом седьмом приложении для iOS и каждом четвертом в Android-системах.
Так, в Android-системах уязвимость этого типа имеет 23% клиентских приложений, а в в iOS - 14%. Исследованием данного факта занималась российская компания Digital Security. В процессе работы было изучено 61 приложение, предназначенное для iOS, и 59 – для Android.
По словам аналитиков, проведение проверки на наличие данной уязвимости было неслучайным, поскольку, держа под контролем канал соединения клиента с системой, хакеры имеют возможность похищать денежные средства пользователя, нанося тем самым материальный ущерб. Эта уязвимость представляет собой перехват злоумышленником трафика, передаваемого от отправителя к адресату, при этом ни одна из сторон не знает о существовании перехватчика. Кроме того, хакер имеет возможность не только получать доступ к личным данным, но и изменять трафик.
Наиболее распространенным сценарием, которым пользуются злоумышленники, является процедура подключения клиента банка к ложной точке для доступа Wi-Fi. Хакеры могут легко разворачивать целую сеть, которая не будет ничем отличаться от широко известной сети Wi-Fi. Атака подобного рода может осуществляться в торговых центрах, ресторанах и других объектах инфраструктуры страны.
Уязвимости типа MitM могут применяться к пользователям мобильных устройств как на основе Андроид, так и iOS.
В настоящее время существуют и иные сценарии атаки: посредством подключения к ложной базовой станции, принадлежащей оператору, применение вирусного сетевого оборудования. Важным моментом в этом случае является прохождение трафика через узел, который контролирует злоумышленник.
С целью обеспечения защиты владельцев мобильных устройств, разработчики стремятся зашифровать канал связи при помощи технологии SSL, через которую происходит обмен сертификатами соответствия между сервером и клиентом банка. (На заметку: высокие вклады в банках - залог стабильного дохода)
По словам специалистов компании Digital Security, они были очень удивлены отсутствием данной технологии в системах безопасности интернет-банкинга огромного числа кредитных организаций. Для обмена информацией, в том числе о проводимых транзакциях, использовался протокол HTTP, который предусматривает нахождение всех данных в открытом для посторонних лиц виде. Благодаря этому злоумышленники имели возможность без труда получать доступ к системам, достаточно было всего лишь быть в одной сети с пользователями мобильных приложений.
Несмотря на это, отсутствует какая-либо гарантия в обеспечении высокого уровня безопасности по поводу внедрения технологии SSL. Наиболее популярным классом совершаемых ошибок считается неправильное применение SSL самими разработчиками приложений. Они неспособны правильно учесть особенности библиотек в работе с SSL, а также забывают про наличие тестировочного кода и применяют посторонние коды, имеющие в себе уязвимости.
По словам аналитиков, стало ясно, что многие разработчики из-за своей невнимательности создают все условия для использования проверочного кода для идентификации владельца счета при помощи сверки такого документа, как сертификат соответствия. Из-за этого данный код может обнаружиться в итоговой программе.
Помимо этого, в процессе работы с данной технологией можно использовать два способа для ее организации – сертификатами из центров сертификации и самоподписанных сертификатов. Первый способ имеет более высокую надежность. Максимально надежный метод – это использование SSL Pinning, который предполагает встраивание публичного ключа или сертификата, вызывающего доверие клиента при работе с сервером. Он должен находиться непосредственно в самом приложении, при этом пользователь должен отказаться от встроенного хранилища сертификатов.
