Phần lớn các ứng dụng di động có lỗi bảo mật nghiêm trọng

Các ứng dụng thường có quyền truy cập vào dữ liệu họ không cần hoặc quyền sử dụng phần cứng và dịch vụ không liên quan gì đến những gì họ làm. Một nghiên cứu gần đây cho thấy các vấn đề phổ biến hơn nhiều so với chúng ta nghĩ.

Các nhà nghiên cứu của HP đã kiểm tra hơn 2.000 ứng dụng iOS trong khoảng từ tháng 10 đến tháng 11 và phát hiện ra rằng chín trong số mười ứng dụng có lỗ hổng nghiêm trọng, theo nghiên cứu được công bố vào tháng trước. Các vấn đề nằm trong phạm vi có quá nhiều quyền, dữ liệu không được mã hóa và truyền dữ liệu không an toàn. Các trò chơi không cần phải có quyền truy cập vào sổ địa chỉ của bạn và thực sự không có lý do nào để ứng dụng thời tiết có quyền gửi email. Nếu một ứng dụng không bảo vệ dữ liệu mà nó có quyền truy cập hoặc bảo mật đúng cách nó sử dụng các thành phần hệ điều hành cốt lõi, thiết bị sẽ dễ bị tấn công.

Mike Armistead, phó chủ tịch và tổng giám đốc của nhóm sản phẩm bảo mật doanh nghiệp tại Fortify của HP cho biết, các thiết bị di động là "mục tiêu chính để tấn công, với các ứng dụng dễ bị tấn công cung cấp quyền truy cập vào dữ liệu nhạy cảm".

Trong nghiên cứu, các nhà nghiên cứu đã sử dụng công cụ phân tích động và nhị phân tự động HP Fortify theo yêu cầu để kiểm tra 2.107 ứng dụng, được chọn từ 22 loại khác nhau, bao gồm năng suất và mạng xã hội. Mặc dù nghiên cứu tập trung vào các ứng dụng doanh nghiệp tùy chỉnh, nhưng không có gì phải giả định rằng các vấn đề bảo mật và quyền riêng tư tương tự có trong các ứng dụng chúng ta sẽ tìm thấy trên Apple App Store hoặc Google Play.

Không bảo vệ dữ liệu

Gần như tất cả các ứng dụng được thử nghiệm của 97% 97% đã truy cập ít nhất một "nguồn thông tin cá nhân", chẳng hạn như sổ địa chỉ cá nhân và các trang truyền thông xã hội hoặc tận dụng kết nối Bluetooth hoặc Wi-Fi. Điều đáng lo ngại là 86% các ứng dụng đáng kinh ngạc đó không có các biện pháp bảo mật đầy đủ để đảm bảo dữ liệu riêng tư được bảo vệ, nghiên cứu cho thấy.

Khoảng 75 phần trăm các ứng dụng sử dụng mã hóa không chính xác khi lưu trữ dữ liệu trên thiết bị di động, nghiên cứu cho thấy. Dữ liệu không được bảo vệ bao gồm mật khẩu, thông tin cá nhân, mã thông báo phiên, tài liệu, nhật ký trò chuyện và ảnh.

Thật yên tâm khi thấy rằng chỉ có 18 phần trăm các ứng dụng được thử nghiệm trong nghiên cứu đã gửi tên người dùng và mật khẩu qua HTTP trong khi các ứng dụng còn lại sử dụng SSL / HTTPS. Tuy nhiên, trong số những người sử dụng chế độ truyền bảo mật, gần 20 phần trăm có triển khai SSL / HTTPS không chính xác. Điều này có nghĩa là dữ liệu vẫn dễ bị đánh hơi bởi những kẻ tấn công độc hại.

Các nhà phát triển cần phải đẩy mạnh

Nhìn chung, các hệ điều hành di động, Android Android và iOS giống nhau, đang trở nên tốt hơn về việc mô tả rõ ràng những quyền nào mà ứng dụng yêu cầu. Ngoài ra còn có hướng dẫn chặt chẽ hơn về loại ứng dụng dữ liệu có thể truy cập. Tuy nhiên, gánh nặng vẫn thuộc về người dùng để xem danh sách các quyền, hiểu các hàm ý và đưa ra quyết định rằng các yêu cầu là không hợp lý.

Kịch bản tốt hơn sẽ là nếu các nhà phát triển xây dựng tính bảo mật và quyền riêng tư vào các ứng dụng ngay từ đầu. Họ cần suy nghĩ về cách ứng dụng của họ tương tác với các ứng dụng khác và hệ điều hành. Họ cần xem xét làm thế nào các ứng dụng của họ có thể truy cập dữ liệu một cách an toàn.

Các doanh nghiệp cần chuyển từ "nhanh sang thị trường" sang "an toàn và nhanh chóng sang thị trường", HP nói.