Серьезным уязвимостям подвержены десятки тысяч мобильных приложений


Uyazvimost mobil ustroistvИсследователями израильской компании Skycure была обнаружена проблема безопасности в iPhone и iPad, которые подвержены атакам. Данные атаки могут привести к передаче приложениями данных на вредоносные серверы, а также приему вредоносных данных с хакерских серверов, вместо того, чтобы общаться с легитимными удаленными узлами, указанными разработчиками.

Данные нарушения безопасности были обнаружены, когда специалисты столкнулись с неправильными веб-редиректами в мобильном софте. Немного позже те же специалисты обнаружили, что аналогичную ситуацию можно воссоздать и в случае с другими приложениями, спровоцировав аналогичное их поведение.

В результате этого, приложения, отображающие новости, котировки акций, данные соцсетей или даже банковские данные, начинают показывать не подлинные данные, а данные, которые хакеры подсовывают ничего не подозревающим пользователям.

После того, как приложение однажды было обмануто, оно может отображать поддельные данные на протяжении длительного времени, не выдавая никаких сообщений о проблеме. Данная ситуация становится возможной из-за атак HRH или HTTP Request Hijacing. По предположительным оценкам израильской компании, сейчас в Apple App Store размещены около 10 тыс. приложений с HRH-проблемой.

В связи с тем, что Apple-устройства не принимают приложения с автоматическими даунлоадами и сетевым сканированием, то специалисты вручную протестировали многие из известных приложений. В результате практически половина из них была подвержена HRH. Следовательно, очень большое количество всех других приложений потенциально подвержены проблеме.

Атака сама по себе злоупотребляет простым HTTP-ответом, известным как 301 Moved Permanently, указывающим на изменение адреса целевой страницы на сервере. Браузеры и приложения, как правило, хранят инструкции по редиректам в кеше для автоматического использования обновленных адресов, если пользователь попытается вновь обратиться к уже несуществующему адресу. Механизм переадресации легко наблюдать в браузере, когда адресная строка видна. Для приложений, где работа с URL-адресами происходит на заднем фоне и видеть процесс смены адресов невозможно.

Из-за этого хакер может провести разновидность атаки man-in-the-middle в незащищенной беспроводной сети. Когда конечный пользователь приложения открывает уязвимое приложение, атакующий перехватывает HTTP-трафик и предоставляет клиенту поддельный ответ в виде 301-й ошибки для веб-сервера. В итоге приложение переводит клиента на указанную злоумышленником страницу, причем, этот вариант работает даже в случае защищенной сети или межсетевого экрана.

Конечно, данную атаку можно свести на нет при использовании HTTPS-защиты, которая строже относится к редиректам, так как сертификаты не сработают на подложные адреса. Однако HTTPS-соединения используют немногие приложения.


Обновлено (04.11.2013 14:27)