Pull to refresh

Особенности мобильных приложений на платформе iOS, использующих логин и пароль клиентов для доступа к платному контенту

Инфосистемы Джет corporate blog Information Security *Development for iOS *
Разработчики мобильных приложений зачастую сталкиваются с необходимостью хранить конфиденциальные данные пользователя на пользовательском устройстве. Это могут быть, например, номер кредитной карточки или аутентификационные данные. В этой статье мы поговорим о типичных ошибках реализации хранения конфиденциальных данных с точки зрения информационной безопасности на примере мобильной платформы iOS.
Обычно настройки приложения хранятся в конфигурационных файлах. Библиотека Cocoa Touch, используемая при разработке приложений для мобильной платформы iOS, предоставляет слой абстракции для хранения настроек приложения в классе NSUserDefaults. Класс NSUserDefaults реализует нелюбимый многими шаблон проектирования «Одиночка» (более известный как Singleton), предоставляя доступ к интерфейсу над стандартным конфигурационным файлом приложения.
Стандартный файл конфигурации приложения располагается в его домашней директории по относительному адресу Library/Preferences/<your.company.name>.<app.name>.plist. Как и другие файлы, расположенные в «песочнице», он не доступен на чтение для других приложений пользовательского уровня. Исключения составляют устройства, подвергнутые модификациям политики безопасности системы (jailbroken-устройства).
Многие разработчики по достоинству оценили удобство работы с классом NSUserDefaults. Подавляющее число приложений используют его для хранения внутренних настроек и/или настроек пользователя. К сожалению, удобство использования редко коррелирует с безопасностью. Хранение конфиденциальных данных пользователя в стандартном файле настроек является типичной ошибкой разработчиков, приводящей к утечке пользовательской информации.
В результате исследования исходного кода Приложения А на наличие ошибок в контексте информационной безопасности было выявлено, что приложение сохраняет данные аутентификации пользователя в конфигурационном файле настроек. Загрузив Приложение А на iPad под управление оригинальной операционной системы iOS версии 6.1.3, мы прошли стадию аутентификации и принялись за исследование файла настроек приложения.

image
Рис. 1. Загрузка приложения на iPad
Читать дальше →
Total votes 3: ↑2 and ↓1 +1
Views 6.4K
Comments 0

Утечка конфиденциальных данных при кешировании сетевых запросов на платформе iOS

Инфосистемы Джет corporate blog Information Security *Development for iOS *
Критичным аспектом в контексте информационной защищенности пользовательских данных является конфиденциальность передаваемых данных в процессе взаимодействия защищаемого приложения с веб-сервисами. Например, утрата конфиденциальности в приложениях, манипулирующих номером банковской карты и кодом аутентификации CVV2/CVC2, представляется уязвимостью критичной степени важности. Одной из распространенных ошибок при разработке защищенных приложений для мобильной платформы iOS, приводящих к частичной или полной утрате конфиденциальности передаваемых данных, является чрезмерное кэширование межсетевых запросов.

В контексте разработки приложений для мобильных платформ кэширование межсетевых запросов можно отнести к категории рекомендуемых и наиболее часто используемых практик, поскольку оно позволяет разработчикам значительно улучшить производительность приложения. Наборы средств разработки для современных мобильных платформ обычно включают в себя пакеты, автоматизирующие процесс обработки и кэширования межсетевых запросов, в частности HTTP-запросов.

Подобно кэшированию запросов динамической памяти или условных переходов в микропроцессорах, интерфейсы классов, кэширующих HTTP-запросы, являются прозрачными для разработчика и осуществляют кэширование на фоне. Продолжая аналогию с функциональным блоком кэширования в процессоре, можно отметить, что отсутствие представлений о внутреннем устройстве механизма кэширования зачастую приводит к грубым ошибкам программирования. В контексте мобильных приложений, неправильное использование кэша HTTP-запросов приводит к падению производительности приложения и частичной либо полной утрате конфиденциальности. Примером распространенной ошибки, приводящей к падению производительности, является повторное кэширование запросов приложением (Double caching).

Читать дальше →
Total votes 13: ↑13 and ↓0 +13
Views 6.1K
Comments 10

Анализ защищенности терминалов общего пользования

Журнал Хакер corporate blog Information Security *


Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.
Читать дальше →
Total votes 21: ↑21 and ↓0 +21
Views 20K
Comments 6

Профессиональное тестирование на проникновение: удел настоящих гиков-фанатов командной строки или уже нет?

Эшелон corporate blog Information Security *

Когда речь заходит о хакинге, неважно, об этичном или не очень, многие из нас представляют темное помещение с мониторами и очкастым профессионалом с красными от постоянного недосыпания глазами. Действительно ли систему может взломать только гик-профессионал и действительно ли для того, чтобы протестировать защищенность своих систем необходимо привлекать только таких экспертов? А нельзя ли вооружить грамотного ИТ-специалиста хакерскими инструментами и логичной методологией и получить качественный результат? Попробуем разобраться.


Читать дальше →
Total votes 22: ↑12 and ↓10 +2
Views 40K
Comments 10

Отчет по пентесту: краткое руководство и шаблон

Эшелон corporate blog Information Security *
Tutorial

Во вчерашней статье мы подробно разобрали методологию комплексного тестирования защищенности и соответствующий инструментарий этичного хакера. Даже если мы с вами в совершенстве овладеем методикой взлома и проведем тестирование на самом высоком уровне, но не сможем грамотно представить результаты заказчику, то проект будет «так себе». Как написать грамотный отчет по тестированию защищенности – об этом мы и поговорим сегодня.


Читать дальше →
Total votes 12: ↑10 and ↓2 +8
Views 14K
Comments 4

SOC for beginners. Задачи SOC: контроль защищенности

Ростелеком-Солар corporate blog Information Security *IT Infrastructure *SaaS / S+S *
Продолжаем цикл наших статей о центрах мониторинга кибератак для начинающих. В прошлой статье мы говорили о Security Monitoring, инструментах SIEM и Use Case.

Термин Security Operations Center у многих ассоциируется исключительно с мониторингом инцидентов. Многим сервис-провайдерам это, в принципе, на руку, поэтому мало кто говорит о том, что мониторинг имеет ряд серьезных ограничения в плане защиты от кибератак.

В этой статье мы на примерах продемонстрируем слабые места мониторинга инцидентов ИБ, расскажем, что с этим делать, и в конце, как обычно, дадим несколько практических рекомендаций на тему того, как провести аудит защищенности инфраструктуры своими силами.


Читать дальше →
Total votes 26: ↑26 and ↓0 +26
Views 12K
Comments 4

«Взломайте нас, чтобы было красиво»

Information Security *IT systems testing *IT Infrastructure *Web services testing *


Дисклеймер


Данная статья отражает личный опыт и мнение её авторов и написана с целью призвать сообщество к обсуждению. Здесь не будут называться имена, ни на кого не будут показывать пальцем.


Мы попытаемся обратить внимание на то, что считаем проблемой современного российского рынка услуг в сфере информационной безопасности.


Введение


Чтобы читателям был понятен контекст, мы решили начать с бэкграунда. Статья написана аналитиком информационной безопасности (мной) и специалистом по тестированию на проникновение (моим коллегой InfiniteSuns ).


Работая с заказчиками, мы систематически сталкиваемся с непониманием сути оказываемых нами услуг. Нередко это непонимание вызвано тем, что оно перенеслось на заказчика от компании, которая оказывала эти услуги. Однажды в ходе проведения внутреннего пентеста повышение привилегий и устранение средств защиты на предоставленной заказчиком офисной машине вызвало недоумение у начальника службы ИБ.


Далее в ходе обсуждения выяснилось, что до этого под названием «пентест» заказчику продавали сканирование внутренней сети при помощи «nmap» с параметром «--script vuln». Естественно, в очередной раз заказчик ожидал от пентестеров подобного поведения и искренне удивился, когда они начали захватывать его контроллер домена.

Читать дальше →
Total votes 45: ↑40 and ↓5 +35
Views 34K
Comments 30

Основы безопасности IoT

Information Security *IOT
Sandbox
В этой вводной статье мы рассмотрим основные аспекты безопасности одной из самых популярных тем в последнее время — интернета вещей.

image

Если вы, так или иначе, в курсе новостей в сфере кибербезопасности, то могли заметить, что участились случаи создания ботнетов из ip-камер, специалисты по безопасности чаще находят уязвимости в контроллерах умных домов, взламывают беспроводные замки и многое другое!

Читать дальше →
Total votes 14: ↑12 and ↓2 +10
Views 9.8K
Comments 3

5 Мифов о Red Teaming

Ростелеком-Солар corporate blog Information Security *


Термин Red Teaming слышали все, кто связан с информационной безопасностью напрямую или косвенно. Но не все до конца понимают, что это такое: зачем нужна оценка эффективности команды реагирования на инциденты? Что это за форма обучения команды защитников? Часто Red Teaming выдают за комплексное тестирование на проникновение: предоставляют классическое, хоть и расширенное тестирование на проникновение по цене в несколько раз выше. Некоторые крупные компании ищут своих собственных специалистов по Red Teaming и, скорей всего, тоже не до конца понимают, какие задачи будут решать с их помощью. Что же такое Red Teaming как услуга и что Red Teaming'ом не является? Об этом ниже.
Читать дальше →
Total votes 23: ↑21 and ↓2 +19
Views 4.9K
Comments 4

Red Teaming: планирование проекта, модели и сценарии

Ростелеком-Солар corporate blog Information Security *
Red Teaming — это про обучение и подготовку защитников организации к отражению реальной атаки, а еще, конечно, про оценку общего уровня безопасности в компании. В предыдущем посте мы писали о мифах, которые сложились вокруг Red Teaming. Сегодня мы хотели бы рассказать о том, как его правильно планировать и какая нужна начальная подготовка. Не стоит недооценивать этот этап – ведь в ходе планирования определяется главное: тип работ, модель нарушителя, существенные особенности проекта и общий сценарий Red Teaming.

Читать дальше →
Total votes 14: ↑14 and ↓0 +14
Views 3.2K
Comments 3

Удобный вид для проверки результатов сканирования Nmap

Information Security *

Введение




Всем привет!

Я работаю в сфере информационной безопасности и занимаюсь анализом защищенности веб приложений. В свободное время я стараюсь повысить свои технические скилы и поэтому практикую bughanting на платформе hackerone или решаю лабы на hackthebox.

Вообще любой анализ web-приложения логично проводить с этапа сбора информации или разведки (кому как нравится, сути это не меняет). На этапе сбора информации о исследуемой системе я использую инструмент под названием nmap. Смею предположить, что данная легендарная утилита не нуждается в представлении, но, если вдруг кто-то не слышал вот ссылка.
Читать дальше →
Total votes 11: ↑11 and ↓0 +11
Views 8.7K
Comments 1

Топ 10 самых интересных CVE за январь 2022

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР: Внимание! Вся представленная ниже информация предназначена только для ознакомительного изучения. Автор не несет никакой ответственности за любой причиненный вред с использованием изложенной информации J

К концу подходит первый месяц 2022. Самое время оглянуться назад и посмотреть на новые и интересные CVE, появившейся в январе этого года.

Читать далее
Total votes 4: ↑4 and ↓0 +4
Views 4.7K
Comments 1

Топ 10 самых интересных CVE за февраль 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненной вред с использованием изложенной информации.

Заканчивается второй месяц 2022 года, пора подвести итоги самых интересных уязвимостей за прошедший период.

Читать далее
Total votes 5: ↑5 and ↓0 +5
Views 4.9K
Comments 0

Лучшая защита – нападение: как моделирование действий злоумышленника помогает укрепить инфраструктуру

Ростелеком-Солар corporate blog Information Security *

Иногда бывает полезно взглянуть на ситуацию под другим углом. Для информационной безопасности это правило работает так: надо посмотреть на свою инфраструктуру с точки зрения потенциального злоумышленника. Как тебя будут ломать? И что будет, когда сломают? Такой подход к оценке уровня защищенности компании называется Offensive – наступательная безопасность. В этом посте мы поделимся нашим опытом подобных проектов и расскажем, как перейти от тестирования на проникновение к моделированию действий злоумышленников.

Читать далее
Total votes 14: ↑14 and ↓0 +14
Views 2.9K
Comments 4

Топ 10 самых интересных CVE за март 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Третий месяц 2022 года подходит к концу, а это значит пора подвести итоги по вышедшим уязвимостям и отобрать самые интересные из них.

Читать далее
Total votes 8: ↑8 and ↓0 +8
Views 4.5K
Comments 0

Топ 10 самых интересных CVE за апрель 2022 года

T.Hunter corporate blog Information Security *

Дисклеймер!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Заканчивается апрель 2022 года, пора подвести итоги и посмотреть на новые и интересные вышедшие CVE за последний месяц.

Читать далее
Total votes 5: ↑3 and ↓2 +1
Views 4K
Comments 3

Топ самых интересных CVE за май 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Подошел к концу май 2022 года, а это значит, что по сложившейся традиции пора посмотреть на самые интересные уязвимости за прошедший месяц.

Читать далее
Total votes 6: ↑5 and ↓1 +4
Views 3.1K
Comments 0

Топ самых интересных CVE за июнь 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Подходит к концу июнь, а это значит пора посмотреть на самые интересные уязвимости за уходящий месяц текущего года.

Читать далее
Total votes 6: ↑6 and ↓0 +6
Views 2.7K
Comments 1

Топ самых интересных CVE за июль 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Заканчивается седьмой месяц 2022 года и подходит пора обратить внимание на самые интересные уязвимости за прошедший период.

Читать далее
Total votes 5: ↑4 and ↓1 +3
Views 2.6K
Comments 0

Топ самых интересных CVE за август 2022 года

T.Hunter corporate blog Information Security *

ДИСКЛЕЙМЕР!

Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.

Подходит к концу восьмой месяц 2022 года, а это значит пора подвести итоги по вышедшим уязвимостям и отобрать самые интересные из них.

Читать далее
Total votes 3: ↑3 and ↓0 +3
Views 2.4K
Comments 0
1