Download to read offline
More Related Content
Similar to Вадим Дробинин. Защищаем себя и пользователей: руководство по безопасности
Вадим Дробинин. Защищаем себя и пользователей: руководство по безопасности
- 1. @Valzevul Вадим Дробинин Защищаем себяи пользователей (руководство по безопасности для iOS)
- 2. @ValzevulЗащищаем себя ипользователей В двух словах • Что мы будем защищать? • Какие бывают атаки? • Примеры атак • Как проверить приложение? • Способы защиты • Что дальше? 2
- 3. @Valzevul Мобильные устройства — основнойисточник личных данных пользователей и мы не умеем их защищать
- 4. @ValzevulЗащищаем себя ипользователей Что мы будем защищать? 4 Стэк мобильной безопасности Уровень инфраструктуры • CDMA, GSM • GPS • SMS, MMS Уровень «железа» • Устройство • Прошивка Уровень ОС • Версия OS • Root-доступ Уровень приложений • ???
- 5. @ValzevulЗащищаем себя ипользователей Уровень приложений Transport Layer Security • NSURLConnection и NSURLSession требуют ATS • ATS требует TLS 1.2 и сертификаты • Приложения должны соответствовать * 5 Защита данных • Всё шифруется с помощью уникального ключа в 256 бит • Ключи «оборачиваются» в ключи классов • Класс = политика безопасности
- 6. @ValzevulЗащищаем себя ипользователей Уровень приложений Transport Layer Security 6 Защита данных С iOS9 сложно налажать в зашифрованной передаче данных Почти все файлы надежно зашифрованы на диске
- 7. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 7 TamperingRepudiation Information Disclosure Denial of Service Elevation of Privilege Spoofing
- 8. @ValzevulЗащищаем себя ипользователей Repudiation Какие бывают атаки? 8 Repudiation (атаки отказа) «Toll Fraud» Внедрение на стороне клиента Утерянный девайс Вредоносная программа
- 9. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 9 Spoofing (атаки подмены) Социальная инженерия Вредоносный QR-код Неправильная обработка сессий Непроверенные NFC-теги Слабая система авторизации Вредоносное приложение
- 10. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 10 Tampering (атаки искажения) Взлом мобильной сети Незащищенная Wi-Fi сеть Изменение локальных данных
- 11. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 11 Information Disclosure (атаки раскрытия) Взлом бэкенда Reverse Engineering приложения Утерянный девайс Вредоносная программа
- 12. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 12 Denial of Service (атаки обслуживания) Спам уведомлениями DDoS Падение приложения Излишнее использование API
- 13. @ValzevulЗащищаем себя ипользователей Какие бывают атаки? 13 Elevation of Privilege (атаки уровня доступа) Скомпромен- тированные credentials (1) Изъяны в аутентификации Выход из Sandbox Jailbreak / Rootkits Слабая система авторизации Скомпромен- тированные credentials (2)
- 14. @ValzevulЗащищаем себя ипользователей Примеры атак • Information Disclosure (1): • Бэкапы в iTunes не шифруются по-умолчанию • Вирус BackStab • Information Disclosure (2): • Никто не шифрует данные под PIN • Elcomsoft iOS Forensic Toolkit 14
- 15. @ValzevulЗащищаем себя ипользователей Примеры атак • Information Disclosure (3): • UIPasteboard (1Password, токены, URLы) • Кэш • Elevation of Privilege: • Ad-hoc → можно использовать Private APIs • Вирусы для EnPublic (CVE-2014-1276) 15
- 16. @ValzevulЗащищаем себя ипользователей Elevation of Privilege 16 github.com/valzevul/ElevationOfPrivilegeHack
- 17. @ValzevulЗащищаем себя ипользователей Как проверить приложение? • White-box vs. Black-box; • Личные данные (PII, personal or identifying information); • Penetration-тесты («пентесты»). 17
- 18. @ValzevulЗащищаем себя ипользователей PII • Логины, пароли, геолокация, адрес, связь с социальными сетями; • Имя девайса, имя сети, UDID; • Данные приложения, логи и cookies. 18
- 19. @ValzevulЗащищаем себя ипользователей Пентесты 19 Взаимодействие с сетью Проблемы с приватностью Reverse Engineering URL Schema (iOS Masque Attack) Анализ Runtime
- 20. @ValzevulЗащищаем себя ипользователей Пентесты • Окружение: • iDevice • Сеть • Jailbreak • Утилиты: • BigBoss Recommended Tools • OpenSSH • Clutch • Class-Dump • Cycript • Keychain dumper • … 20
- 21. @ValzevulЗащищаем себя ипользователей Как защитить приложение? • TLS и Certificate Pinning • Secure Networking by Apple • TrustKit • Шифрование • Шифруйте всё (атрибуты NSData и NSFileManager) • Используйте Keychain • Не используйте Preferences, Cookies, /Library и /Documents 21
- 22. @ValzevulЗащищаем себя ипользователей Как защитить приложение? • Запретите синхронизацию • NSURLIsExcludedFromBackupKey • Очищайте «скриншоты» • applicationDidEnterBackground → hidden • Не пишите в NSLog • Избегайте кэша клавиатуры • secureTextEntry • UITextAutocorrectionTypeNo 22
- 23. @ValzevulЗащищаем себя ипользователей Как защитить приложение? • Jailbreak-detection: • Проверьте наличие файлов MobileSubstrate.dylib, ssh, Cydia.app • Проверьте вызов fork() • Проверьте родителя через sysctl (если не запущен или это ядро, вас дебажат!) • Обфусцируйте код 23
- 24. @ValzevulЗащищаем себя ипользователей Что дальше? 24
- 25. @ValzevulЗащищаем себя ипользователей Что дальше? • Apple Pay: Inspect, Set Up, Promote (Vadim Drobinin, https://vk.cc/6iPXEe) • Usability vs. Security (Josiah Renaudin, https:// vk.cc/6j2i75) • Demystifying Apple 'Pie' & TouchID (Sebas Guerrero, https://vk.cc/6iPY3f) • iOS Headers, http://developer.limneos.net/ 25
- 26.