Wondershare EdrawMind
Mindmap-Galerie Analyse des exigences de sécurité des applications mobiles et ingénierie de protection de la sécurité
- 6
Analyse des exigences de sécurité des applications mobiles et ingénierie de protection de la sécurité
Pour la sécurité des applications mobiles, NetEase YiDun est un fournisseur de services professionnel de renforcement d'applications avec une compatibilité élevée, aucune perte, une sécurité élevée et un essai gratuit. Pour la sécurité des applications mobiles, NetEase YiDun fournit des services anti-retour, anti-falsification, anti-débogage et anti-débogage. -emballage secondaire en attente d'une solution de renforcement d'application unique.
Bearbeitet um 2022-10-11 17:41:08
Analyse des exigences de sécurité des applications mobiles et ingénierie de protection de la sécurité
- Für Sie empfohlen
- Gliederung
25. Analyse des exigences de sécurité des applications mobiles et ingénierie de protection de la sécurité
1. Analyse des menaces et des exigences en matière de sécurité des applications mobiles
1. Composition du système d'applications mobiles
2. Analyse de la sécurité des applications mobiles
Les principaux types de menaces de sécurité pesant sur les applications mobiles sont les suivants.
(1) Menaces de sécurité pesant sur les plates-formes de systèmes d'exploitation mobiles.
(2) Attaques de réseau sans fil. Tels que les stations de base contrefaites, la fraude aux noms de domaine, le phishing et d’autres activités d’attaque.
(3) Ingénierie inverse du code d’application mobile. Les attaquants décompilent et analysent le code binaire des applications mobiles pour obtenir les idées clés de l'algorithme du code source de l'application mobile ou voler des données sensibles.
(4) Modification illégale des applications mobiles. Falsification illégale des applications mobiles et vol d'informations sur les utilisateurs. Cela peut également constituer une menace pour le serveur.
2. Mécanisme de sécurité et de protection du système Android
1. Présentation de la composition du système Android
Android est un système d'exploitation de terminal mobile open source. Sa structure système est divisée en couche de noyau Linux (Linux Kenel), couche de bibliothèque d'exécution du système (Bibliothèques et Android Runtime), couche de cadre d'application (Application Framenork) et couche d'application (Applications).
Chaque couche du système Android est confrontée à différents degrés de menaces de sécurité. Parmi elles, la menace de sécurité de base du système Android provient des attaques du noyau Linux. Les formes courantes incluent le reconditionnement d'APK, les attaques de mise à jour, etc. ---Par exemple, implantez un cheval de Troie puis emballez-le
2. Mécanisme de sécurité du système Android
（1） couche d'application
Couche application : mécanisme de déclaration des autorisations. Certaines restrictions sont définies entre les autorisations d'opération et les objets. Ce n'est qu'en liant les autorisations aux objets que vous pouvez avoir le droit d'utiliser des objets. Les autorisations au niveau de la couche application incluent les autorisations normales, les autorisations dangereuses, les autorisations de signature et les autorisations signature0rSystem. Les autorisations normales ne causeront pas de dommages substantiels aux utilisateurs ; les autorisations dangereuses peuvent entraîner des menaces potentielles pour les utilisateurs, telles que la lecture des informations de localisation de l'utilisateur, la lecture des annuaires téléphoniques, etc. ; sont principalement utilisés par les vendeurs de matériel.
（2） couche de structure d'application
Couche de structure d'application : mécanisme de signature d'application. AToutes les applications installées sur le système Android doivent disposer d'un certificat numérique. Ce certificat numérique permet d'identifier la relation de confiance entre l'auteur de l'application et l'application.
（3） Couche d'exploitation du système
1||| Machine séparée par bac à sable.
2||| Utilisez le protocole SSL/TSL pour crypter la transmission des données réseau.
（4） La couche noyau du système
Couche noyau : sécurité du système de fichiers, randomisation de la disposition de l'espace d'adressage, SELinux.
La couche noyau du système Android adopte des mécanismes de contrôle des autorisations de partition et Linux ACL. Le mécanisme de contrôle des autorisations Linux ACL signifie que les autorisations de contrôle d'accès de chaque fichier sont contrôlées conjointement par son propriétaire, le groupe auquel il appartient et l'exécution en lecture-écriture. . Les fichiers se voient attribuer différents ID d'application lors de leur création. Ils ne sont accessibles par d'autres applications que s'ils ont le même ID d'application ou s'ils sont définis pour être globalement lisibles et inscriptibles. Chaque application possède son propre identifiant utilisateur et son propre répertoire de fichiers privé. Lorsque le système est en cours d'exécution, la protection de sécurité la plus externe est fournie par Linux. La partition où se trouve system.img est en lecture seule et la partition où se trouve data.ing est en lecture-écriture et est utilisée pour stocker les données utilisateur.
La prise en charge matérielle de NX (NoeXecute) a été ajoutée après la version Android 2.3, ce qui ne permet pas l'exécution de code dans la pile. Après Android 4.0, la fonction « Address Space Layout Randomization (ASLR) » a été ajoutée pour empêcher les attaques liées à la mémoire.
3. Mécanisme de sécurité et de protection du système IOS
1. Présentation des composants du système IOS
L'architecture système d'IOS est divisée en quatre niveaux : Core OS Layer, Core Services Layer, Media Layer et Cocoa Touch Layer.
(1) Couche tactile.
(2) Couche multimédia. Fournit une technologie pour les aspects audiovisuels des applications.
(3) Couche de services de base, qui fournit les services système de base requis par les applications, tels que les comptes, le stockage de données, les connexions réseau, la localisation géographique, le cadre de mouvement, etc.
(4) Couche principale du système d’exploitation. Fournir des services d'authentification locale, de sécurité, d'accès externe, de système et autres.
2. Mécanisme de sécurité du système IOS
L'architecture de sécurité de la plateforme IOS peut être divisée en matériel, micrologiciel et logiciel.
Les couches matérielles et micrologicielles comprennent les clés de périphérique, l'acier de chiffrement du groupe de périphériques, la certification racine Apple, le moteur de chiffrement et le noyau.
La couche logicielle comprend le système de fichiers, la partition du système d'exploitation, la partition utilisateur, le bac à sable d'application et la classe de protection des données.
Sur la base de cette architecture de sécurité globale, Apple a intégré une variété de mécanismes de sécurité pour protéger la sécurité de la plateforme IOS. Les principaux mécanismes de sécurité sont les suivants :
(1) Chaîne de démarrage sécurisée. La sécurité de la plateforme IOS repose sur la sécurité de la chaîne de démarrage Afin d'empêcher les pirates d'attaquer le processus de démarrage, les composants utilisés dans le processus de démarrage IOS nécessitent une vérification d'intégrité : garantir que le transfert de confiance est contrôlable. Processus de démarrage IOS : après la mise sous tension d'un périphérique IOS, son processeur d'application exécute immédiatement le code dans la mémoire morte (également appelée ROM de démarrage). Ce code immuable est défini lors de la fabrication de la puce et constitue un code implicitement fiable. Le code de la ROM de démarrage contient la clé publique de l'autorité de certification racine Apple, qui est utilisée pour vérifier que le chargeur de démarrage sous-jacent (LLB) est signé par Apple. à charger. Le chemin de démarrage se divise en deux chemins d'exécution après la sortie de la ROM de démarrage : l'un est un démarrage normal ; l'autre est le mode de mise à jour du micrologiciel de l'appareil, qui est utilisé pour mettre à jour l'image iOS.
(2) Protection des données. Une API de protection des données est fournie pour répondre au risque de fuite de données causée par la perte ou le vol d'appareils mobiles. L'API permet aux développeurs d'applications de protéger de manière aussi simple que possible les données utilisateur sensibles stockées dans les fichiers et les éléments du trousseau.
(3) Mécanisme de cryptage et de protection des données, et toutes les données utilisateur dans IOS sont obligatoirement cryptées (--- aucun paramètre utilisateur n'est requis). Les moteurs de chiffrement et de déchiffrement AES d'Apple sont au niveau matériel et sont situés dans le DMA entre le stockage et le système. Toutes les données entrantes et sortantes du stockage doivent être chiffrées et déchiffrées par le matériel, ce qui offre une efficacité et des performances supérieures. En plus de cela, IOS propose une méthode de protection des données appelée File Data Protection. Tous les fichiers utilisent des clés différentes lors de leur chiffrement. Ces clés sont appelées clés de profil et sont stockées dans Netafile.
(4) Randomisation de la disposition de l'espace d'adressage. Utilisez la technologie ASLR pour garantir que les emplacements des fichiers binaires IOS, des fichiers de bibliothèque, des fichiers de liens dynamiques, des adresses de recherche et de mémoire tas sont distribués de manière aléatoire, améliorant ainsi la résistance aux attaques.
(5) Signature du code. Pour éviter les attaques d'applications, le système iOS exige que tous les programmes exécutables soient signés avec un certificat délivré par Apple.
(6) Mécanisme bac à sable. Grâce au mécanisme sandbox, le comportement malveillant du processus peut être limité
4. Mécanismes de protection de la sécurité des applications mobiles et solutions techniques
1. Risques de sécurité des applications mobiles
Les applications mobiles sont vulnérables aux menaces de sécurité telles que la décompilation, le débogage, la falsification et le vol de données.
2. Renforcement de la sécurité des applications mobiles
1||| Anti-décompilation. Chiffrez les fichiers d'applications mobiles pour empêcher les attaquants d'utiliser des outils de décompilation statique. L’obscurcissement du code pour les applications mobiles rend plus difficile la lecture du code par les pirates. Les méthodes de confusion courantes incluent la confusion de nom, la confusion de contrôle, la confusion de calcul, etc.
2||| Anti-débogage. L'application configure la fonction de détection de débogage pour déclencher des mesures de protection de sécurité anti-débogage, telles que nettoyer les données utilisateur, signaler la situation de l'appareil sur lequel se trouve le programme, interdire l'utilisation de certaines fonctions ou même quitter directement l'opération.
3||| L'antifalsification, grâce à la signature numérique et aux méthodes de protection multi-vérification, vérifie l'intégrité des applications mobiles et empêche le reconditionnement et le piratage des APK d'applications mobiles.
4||| Antivol : chiffrez les fichiers de données locaux et les communications réseau liées aux applications mobiles pour empêcher le vol de données.
3. Détection de sécurité des applications mobiles
Contenu de détection de sécurité de réseau d'application mobile commune : détection de mécanisme d'authentification d'identité ; détection de mécanisme de sécurité de session de communication ; détection de mécanisme de sécurité de processus de transaction de journal ; détection de mécanisme de contrôle d'accès de serveur ; détection des capacités de falsification ; détection des capacités d'injection SOL : détection des capacités de sécurité anti-hameçonnage ; détection des vulnérabilités de sécurité des applications.
"Spécifications de base de la technologie de sécurité de l'information pour la collecte d'informations personnelles par des applications Internet mobiles (application) (projet)". Parmi elles, pour les autorisations permettant de collecter des informations personnelles dans Android 6.0 et supérieur, la plage de référence d'autorisation minimale nécessaire pour les types de services est donnée. Les exigences spécifiques sont : ① Navigation sur carte : autorisations de localisation, autorisations de stockage ; autorisations de localisation, autorisation de passer des appels téléphoniques ; ③Messagerie instantanée : autorisation de stockage ; ④Forum de blog : autorisation de stockage ; ⑤Livraison express : aucune ; ⑦Achats en ligne : aucune ; : autorisation de localisation, autorisation d'appel ; ⑪Billetterie de transport : aucune ; ⑫Rencontres : autorisation de stockage ; ⑬Recrutement : autorisation de stockage ; ⑮Location et vente de maison : autorisation de stockage ; : autorisations de localisation, autorisations des capteurs ; ⑱ Consultation et enregistrement : autorisations de stockage ; ⑲ Navigateur Web : aucun ; ⑳ Méthode de saisie : aucune ; ⑳ Gestion de la sécurité : autorisations de stockage, obtention de comptes d'application et obtention d'autorisations d'état du téléphone, autorisations SMS.
5. Analyse complète des cas d'application en matière de sécurité des applications mobiles
1. Sécurité mobile financière
Les risques de sécurité courants incluent les chevaux de Troie contrôlant les téléphones mobiles des utilisateurs, les applications de phishing capturant les informations des comptes utilisateurs, ainsi que le vol et le transfert de fonds des utilisateurs.
Plan de protection de la sécurité
1||| Mettre en œuvre la gestion du développement de la sécurité des applications mobiles. Fournir des services de conseil pour les besoins de sécurité financière des entreprises afin d'aider les clients à comprendre les risques de sécurité potentiels et à optimiser la conception commerciale. Lors de la conception d'une application, tenez compte des problèmes de sécurité des applications. Organisez une formation sur la programmation de la sécurité mobile pour sensibiliser à la sécurité. L'application ajoute des fonctions de protection de sécurité et fournit des SDK et des composants de sécurité tels qu'un clavier logiciel sécurisé, un contrôle de mouvement anti-interface, une protection SMS et une autorisation de site. Effectuer des inspections de sécurité et une sélection des risques sur le code source des applications mobiles pour réduire les vulnérabilités de sécurité dans le code de l'application et détecter rapidement les risques de sécurité des entreprises financières.
2||| Le contenu de la communication du réseau de l'application mobile est crypté et protégé de manière sécurisée, et le protocole de communication de l'application mobile Aoo est crypté et protégé.
3||| Renforcement de la sécurité des applications mobiles. Effectuez un renforcement de la sécurité sur l'application, tel que le cryptage dex, l'obscurcissement des processus smali, donc le cryptage des fichiers, le cryptage des fonctions clés et ajoutez des fonctions d'anti-débogage et de décompilation.
4||| Évaluation de la sécurité de l'Aop mobile. Fournissez des services de tests d'intrusion pour les applications mobiles afin de découvrir les vulnérabilités de sécurité dans les applications mobiles et d'éviter les risques de sécurité. Surveillance de la sécurité des applications mobiles.
5||| Surveillance et réponse au phishing : surveillez et répondez aux applications de contrefaçon et de phishing, et contactez rapidement les canaux pour supprimer les applications contrefaites et de phishing afin d'éviter les impacts sur la sécurité.
6||| Surveillance et réponse aux vulnérabilités des applications, surveillez les vulnérabilités nouvelles et émergentes dans les appareils mobiles, les applications mobiles, les serveurs, etc., et évitez les risques de vulnérabilité en temps opportun. Surveillance et réponse au piratage, surveillez les applications piratées apparaissant sur les canaux de distribution d'applications et supprimez les applications piratées à tout moment.
7||| Connaissance de la situation en matière de sécurité des menaces mobiles.
2. Sécurité mobile de l'opérateur
menaces à la sécurité
1||| Capture secrète du compte et du mot de passe.
2||| Exploiter.
3||| Code malicieux.
4||| Brossage malveillant des commandes et des commandes, forgeant un grand nombre de fausses identités/volant les identités réelles des utilisateurs pour laver automatiquement les commandes et les commandes en grande quantité.
5||| Attaque par déni de service.
6||| Le cracking du SDK de facturation, par le biais de la décompilation, du cracking et d'autres moyens, protège et cracke le SDK de facturation des applications mobiles de l'opérateur.
7||| Attaques de phishing. Contrefaçon d'applications mobiles de phishing authentiques, etc.
8||| La fraude dans les bibliothèques d'ingénierie sociale consiste à collecter des informations sur les utilisateurs via des applications piratées et fortement contrefaites, ainsi que d'autres bibliothèques d'ingénierie sociale divulguées, afin d'escroquer les utilisateurs.
Plan de protection de la sécurité
1||| Renforcez les applications des opérateurs et toutes les applications tierces promues sur le marché des applications des opérateurs.
2||| Fournit des services de détection de virus, de chevaux de Troie et de codes malveillants pour les AOP tiers soumis au marché des applications de l'opérateur.
3||| Fournit des services de protection de renforcement basés sur l'anti-ajustement, l'anti-modification et l'anti-fissuration pour le SDK de facturation de l'opérateur.
4||| Cryptez les protocoles de communication et les certificats de l’opérateur.
5||| Fournit des services de sensibilisation aux situations de menace basés sur des applications mobiles, fournissant des avertissements en temps réel en cas de trafic anormal, d'attaques d'intrusion, d'applications à risque, etc. connectées au réseau.
3. Sécurité du bureau mobile
Le bureau mobile est principalement confronté aux risques suivants
1||| L'appareil est manquant.
2||| Fuite d'informations.
3||| attaquer volontairement. Implantez des programmes malveillants pour mener des attaques d’intrusion sur les serveurs de l’organisation.
4||| Accès partagé. Les employés partagent des appareils, des mots de passe de comptes et divulguent des informations confidentielles sur l'organisation.
5||| Surveillance WiFi, accès aux hotspots de phishing, les données de communication sont détournées et surveillées.
En réponse aux problèmes de sécurité des bureaux mobiles, les fournisseurs de sécurité ont proposé des solutions techniques telles que l'accès sécurisé aux appareils mobiles, la gestion de la sécurité des appareils mobiles, la prévention des codes malveillants mobiles et le renforcement de la sécurité des applications mobiles.
Solution de système de gestion de la sécurité des terminaux mobiles 360
Le système de gestion de la sécurité des terminaux mobiles 360 Tianji se compose de deux parties : la plate-forme de gestion de la sécurité et le client mobile. Grâce à la plate-forme de gestion, les terminaux équipés de clients mobiles sont gérés de manière sécurisée et des services tels que la gestion des périphériques du terminal, la configuration poussée et l'ajustement des paramètres du système sont fournis. En même temps, combiné au mécanisme de politique de sécurité contrôlable par l'administrateur, il permet d'obtenir des fonctionnalités de gestion et de contrôle de la sécurité plus complètes et de résoudre les problèmes de sécurité des données et de gestion des appareils rencontrés par les organisations lors des opérations de bureau mobile.