Защита мобильных устройств кратко

Обновлено: 05.07.2024

В данной статье мы рассмотрим как различные существующие на сегодня угрозы безопасности смартфонов или планшетов, так и меры, которые можно предпринять, чтобы защитить свои данные. Кроме того, я покажу, как в операционных системах Android и iOS решены проблемы безопасности, с учетом преимуществ и недостатков каждой платформы

Поскольку смартфоны и планшеты становятся неотъемлемой частью нашей повседневной жизни, количество персональных данных, которые обычно хранятся на них, постоянно растет. В отличие от традиционных компьютеров, телефоны и планшеты легко могут быть украдены. Или их можно просто потерять. Если это произойдет, ваши персональные данные — пароли, номера кредитных карт и адреса — будут полностью доступны тому, в чьи руки попадет ваше устройство.

Риски использования мобильных устройств

Прежде чем обсуждать способы блокирования смартфона под Android или iOS, полезно вспомнить, какие же угрозы безопасности существуют для современного смартфона.

1.Утечка данных, следующая из потери или кражи устройства (высокий риск)

Беспрепятственный доступ к вашему смартфону может оказаться золотой жилой для любого злоумышленника, получившего доступ к частной информации. Если вы потеряете свое устройство, не заблокировав его с помощью PIN-кода или пароля, то у нового владельца вашего телефона будет доступ ко всем данным в том числе:

• вашей электронной почте, включая любые пароли или информацию об учетной записи, которую вы сохранили на устройстве;
• вашим учетным данным в социальных сетях, таких как Facebook, Google + или Twitter;
• паролям, сохраненным в браузере;
• информации о кредитной карте и паролям, сохраненным в таких приложениях как Amazon и Google Wallet;
• адресам электронной почты и номерам телефонов ваших контактов;
• пути к защищенным сетям Wi-Fi, которые вы сохранили;
• Фотографиям и видео, сохраненным на устройстве.

2.Неумышленное раскрытие данных (высокий риск)

Разработчики часто предоставляют больше функций, чем может отследить пользователь. Например, вы можете даже не знать о том, что ваше устройство передает сведения о вашем расположении всякий раз, когда вы отправляете фотографию, используя приложение средств социального общения. Вот некоторые способы, которыми вы можете неумышленно сообщать миру о том, где находитесь в данный момент:

3.Атаки на использованное или отказавшее устройство (высокий риск)

Если вы не стерли информацию со своего старого мобильного устройства должным образом, следующий владелец может легко получить доступ к огромному количеству ваших персональных данных. Согласно исследованиям European Union Agency for Network and Information Security (ENISA), ненадлежащим образом списанные мобильные устройства могут привести к утечке такой информации, как:

• история вызовов;
• контакты;
• электронные письма.

4.Фишинговые атаки (средний риск)

5.Атаки шпионских программ(средний риск)

• все нажатия клавиш, начиная с момента заражения;
• имена, номера телефонов и адреса электронной почты ваших контактов;
• информацию о вашей кредитной карте.

6.Использование спуфинга сети (средний риск)

Хакеры иногда охотятся на тех, кто использует общедоступные сети Wi-Fi. Если вы не применяете VPN (или заходите на сайты, требующие пароль, но не использующие SSL), ваши данные могут быть просто украдены. Вот некоторые примеры информации, которую вы могли случайно раскрыть:

• пароли к незашифрованным веб-сайтам;
• пароли к почте, передаваемые через незашифрованное соединение на веб-сайт (авторизация на очень многих почтовых серверах – по plaintext-паролю).

Что касается рисков вообще, то необходимо помнить об атаках man-in-the-middle. Такие атаки являются технически сложными, и соответственно их вероятность очень низка – только если охотятся за вами персонально. Но зато от нее не спасет никакой SSL.

Общие подсказки по мобильной безопасности

Хотя и Android, и iOS предоставляют собственные средства защиты вашего устройства, есть определенные меры, которые каждый пользователь должен предпринять, чтобы противостоять рискам, рассмотренным выше.

Утечка данных из-за потери или кражи устройства

Всегда устанавливайте PIN-код, пароль или графический пароль для блокировки своего устройства. Они, возможно, не остановят профессионального хакера, но средней руки злоумышленник уже не получит доступа к важной информации, такой как ваш номер кредитной карточки и сохраненные пароли для онлайновых учетных записей. Настройте свой экран таким образом, чтобы заблокировать телефон после нескольких минут неактивности. Эта функция часто включается по умолчанию в более новых телефонах. Используйте различные пароли для каждой из служб на своем устройстве, таких как электронная почта, учетные записи социальных сетей и т.д. Это поможет смягчить последствия кражи персональных данных. Не храните информацию о кредитной карте на своем устройстве. Хотя это может принести вам определенные неудобства, но вор будет не в состоянии использовать ваш телефон или планшет для хищения ваших данных.

Что нужно сделать перед продажей iPhone, iPad или iPod touch

Прежде чем продавать или дарить свое устройство iOS, убедитесь, что вы удалили с него все личные данные. Чтобы защитить данные и вернуть устройство к заводскому состоянию перед передачей новому владельцу, выполните следующие действия:

Важно! Не удаляйте вручную контакты, календари, напоминания, документы, фотопотоки и другие данные iCloud, когда вы подключены к учетной записи iCloud, поскольку в этом случае содержимое также будет удалено с серверов iCloud и всех ваших устройств с поддержкой iCloud.

Если приведенные выше инструкции не выполнены перед продажей или передачей устройства iOS, сделайте следующее:

Зашифруйте данные на телефоне или планшете. Устройства под управлением iOS будут зашифрованы автоматически, как только вы включите PIN-код или пароль. Пользователи Android должны зашифровать телефон самостоятельно. Шифрование затрудняет злоумышленнику считывание данных с телефона при присоединении к компьютеру через USB.

Неумышленное раскрытие данных

Отключите geotagging на своем приложении камеры и любых других приложениях, которые могут получить доступ к камере. Это защитит приложения от автоматического тегирования вашего расположения.

Защита списанных мобильных устройств

Всегда возвращайте устройство к заводским настройкам, прежде чем продать или отнести в мастерскую свой телефон. Это гораздо более эффективно, чем попытка очистить данные каждого приложения.

Покупая новое устройство, сбросьте настройки вашего старого устройства до заводских, даже если вы хотите его оставить у себя. Кража вашего старого телефона или планшета, все еще содержащего персональные данные — даже если он больше не используется — может быть столь же опасна, как утрата текущего устройства.

Защита от фишинговых атак

Устанавливайте приложения только из доверенных источников.

Защита от атак шпионского программного обеспечения

• Анализируйте полномочия приложения для устройств Android, прежде чем устанавливать их. Если приложение требует доступа к персональным данным или хочет выполнить определенные функции по отношению к вашему телефону или планшету, удостоверьтесь, что эти полномочия соответствуют формулируемой цели выполняемого приложения.
• Не изменяйте настройки безопасности своего телефона. Процессы разблокировки (Rooting или jailbreaking) вашего устройства могут сделать его более восприимчивым к атаке.
• Используйте наиболее актуальные версии программного обеспечения на своем устройстве. Производители часто узнают об ошибках в программном обеспечении уже после запуска, и загрузка обновлений программного обеспечения позволяет повысить уровень безопасности вашего телефона или планшета.
• Не забудьте о необходимости установки межсетевого экрана и антивируса.

Защита от спуфинга сети

Как защитить iPhone и iPad

Эта возможность особенно удобна для корпоративного применения, поскольку администраторы могут заранее указать требуемую сложность passcode, устанавливая минимальную длину passcode, минимальное число сложных символов и максимальное количество неудачных попыток.

Впрочем, на мой взгляд, для iPhone данная функция смысла не имеет. Для моделей до поколения 4 включительно с телефона можно вытащить почти всю информацию, вне зависимости от сложности пароля (его даже ломать не надо). Для iPhone начиная с 4S невозможно сломать даже простой пароль из четырех символов.

В iPhone 5s разработчики Apple добавили дополнительное удобство аутентификации — сенсорный считыватель отпечатков пальцев. Apple превозносит безопасность данной уникальной функции, но на самом деле это всего лишь удобство, безопасности она не добавляет вообще. Отпечаток можно добавить только в том случае, если уже используется пароль. При этом можно войти и с паролем; по отпечатку пальца просто быстрее и удобнее. Скорее, безопасность даже снижается, поскольку отпечаток можно подделать (это уже демонстрировали). Правда, это нужно сделать в течение 48 часов (если телефон в течение двух суток не разблокировали, дальше можно войти только по паролю).

Используя математические методы fuzzy hatching и secure sketch, программное обеспечение преобразовывает цифровой отпечаток в двоичную строку, эквивалентную по сложности паролю из пяти или шести алфавитно-цифровых символов.

Это менее безопасно, чем длинный, полностью случайный алфавитно-цифровой passcode, но более безопасно, чем четырехразрядный PIN-код или основанный на словаре алфавитно-цифровой пароль. Сенсорный ID требует, чтобы вы ввели четырехразрядный PIN-код как резервный вариант.

Поместите палец на кнопку возврата несколько раз, не надавливая на кнопку. Поскольку вы продолжаете касаться кнопки возврата, серые строки постепенно краснеют. Когда все строки покраснеют, телефон успешно получит ваш цифровой отпечаток.

Затем держите телефон, как вы обычно делаете, разблокировав его, и проведите краем пальца по кнопке возврата. Это гарантирует, что iPhone разблокируется, даже если вы не нажимаете кнопку возврата одним и тем же способом каждый раз.

Если вы теряете свой iPhone или iPad, вы можете удаленно очистить устройство, используя встроенное программное обеспечение.

Конечно, если вам когда-либо придется очистить свое устройство под управлением iOS, вы захотите оставить свои данные, чтобы потом их восстановить. К счастью, iCloud облегчает поддержку и восстановление контента.

Браузер Safari на iOS обеспечивает встроенную защиту от фишинга, которая включена по умолчанию. Данная функция выведет на экран предупреждение, когда вы посетите сайт, подозреваемый в фишинге.

Вместе с тем необходимо включить функцию Activation Lock:

Как защитить телефон или планшет под управлением Android

Защита информации на Android-устройствах встроенными средствами

Рассмотрим, что и от кого вы должны защищать.

Что защищаем?

1. Данные об учетных записях. В случае если вы настроили синхронизацию с Facebook, Dropbox, Twitter, учетные записи и пароли для этих систем хранятся в открытом виде в папке профиля телефона /data/system/accounts.db.
2. История SMS-переписки и телефонная книга.
3. Данные веб-браузера. В браузере могут храниться ваши данные для авторизации на сторонних веб-серверах. В случае если вы синхронизируете мобильный браузер (Google Chrome, Firefox, Maxton и т.д.) с настольной версией браузера, следует учесть, что с вашего смартфона (планшета) можно получить доступ ко всем вашим паролям.
4. Карта памяти. Как правило, на карте хранят фото и видеофайлы.

Что угрожает вашему смартфону

1. Кража (утеря). Сомневаюсь, что ваши данные будут нужны нашедшему. Разве что это будет целенаправленная атака на ваше предприятие. Хотя, безусловно, исключать такой вариант я не стану. Скорее всего, ваш телефон будет переформатирован, может быть, перепрошит.
2. Защита от любопытных. К вашему смартфону могут захотеть получить доступ ваши дети (близкие), либо сослуживцы. Ведь вам случалось оставлять свой смартфон без присмотра?
3. Целенаправленная кража вашего смартфона. В данном случае вас спасет только полное шифрование.
4. Атака вредоносного программного обеспечения.
5. Фишинговая атака.

Для решения этих и других проблем применяются как встроенные средства безопасности, так и программы сторонних разработчиков. Обсудим некоторые способы защиты.

Встроенные средства защиты

Встроенные средства защиты мы рассмотрим на примере планшета Samsung Note 10.1.

Блокировка экрана смартфона (планшета). Разблокирование экрана может производиться:

1. Прикосновением к экрану (проведите по нему пальцем) — фактически, защита отсутствует;
2. Распознавание лица (низкий уровень безопасности);
3. Лицо и голос (низкий уровень безопасности);
4. Подпись (низкий уровень безопасности);
5. Рисунок (средний уровень безопасности);
6. PIN (средний или высокий уровень безопасности);
7. Пароль (высокий уровень безопасности).

Рассмотрим подробнее каждый из вариантов.

Рисунок 1. Распознавание лица

Настройка данного пункта меню ничем не отличается от предыдущего пункта, поэтому не будем рассматривать его подробно.

В данном случае вам необходимо написать ваше ключевое слово (предлагается написать ваше имя) трижды, см. рисунок 2. Именно с помощью данного слова и будет разблокировано ваше устройство.

Рисунок 2. Настройка разблокировки с помощью подписи

Рисунок имеет среднюю степень безопасности. Для этого необходимо соединить в любом порядке не менее четырех точек на рисунке (см. рисунок 3).

Рисунок 3. Разблокировка с помощью рисунка

Внимание! Если вы забыли рисунок:

1. Количество попыток рисования ограничено — 5 раз (в некоторых моделях телефонов количество попыток может доходить до 10).
2. После того как вы исчерпали все попытки, но так и не нарисовали рисунок правильно, телефон блокируется на 30 секунд.
3. Телефон запрашивает логин и пароль вашего Gmail-аккаунта.
4. Этот метод сработает только в том случае, если телефон или планшет подключен к Интернету. В противном случае производится перезагрузка и возврат к настройкам производителя.

PIN – последовательность цифр, не менее четырех символов. Естественно, чем длиннее строка цифр, тем выше уровень безопасности.

Шифрование памяти телефона

Данная функция доступна для смартфонов и планшетов, использующих Android версии 4.0 и выше. В бюджетных моделях смартфонов она может отсутствовать. Вы сможете использовать шифрование только в том случае, если у вас установлена блокировка экрана с помощью пароля. С помощью шифрования вы можете сохранить данные пользователя, находящиеся в памяти смартфона (планшета). Необходимо учесть, что программа при этом не шифрует SD-карту. Шифрование может занять до 1 часа в зависимости от объема памяти устройства, см. рисунок 4.

Если вы забыли пароль, то единственным выходом является сброс до заводских настроек. Естественно, все пользовательские данные будут утеряны.

Шифрование внешней SD-карты

Данная функция входит в стандартный пакет Android 4.1.1 для планшетов. Отсутствует во многих бюджетных сборках. Функция обеспечивает надежную защиту данных на внешней SD-карте (см. рисунок 5). Здесь могут храниться личные фотографии и текстовые файлы с информацией коммерческого и личного характера.

Данная функция позволяет зашифровать файлы на SD-карте, не изменяя их названий, файловой структуры, с сохранением предварительного просмотра графических файлов. Она требует установки блокировочного пароля на дисплей длиной не менее 6 символов (из них не менее одной цифры). При смене пароля происходит автоматическое перешифрование.

Android также более восприимчив к вредоносному программному обеспечению, чем iOS. Компания Google проверяет приложения куда менее строго, чем Apple, и в результате мошеннические приложения, тайно устанавливающие вредоносные программы, часто появляются на Google Play. Кроме того, в отличие от iOS, Android дает пользователям возможность загружать приложения из сторонних источников

Android и iOS – какие устройства более безопасны?

Компания Apple создала, возможно, самую безопасную операционную систему, доступную на рабочих столах и мобильных устройствах. За шесть лет было продано 300 миллионов модулей iPhone, однако не было зафиксировано ни одного случая заражения вредоносным программным обеспечением неразблокированных устройств под управлением iOS.

Это не говорит о том, что iOS неприступна. Просто на сегодня она значительно более безопасна, чем операционная система Android. Несмотря на то, что Android значительно повысила безопасность за прошедшие годы, еще многое требует улучшения. Прежде всего, это разработка и установка обновлений Android на устройства.

Конечно, хотелось бы видеть собственные антифишинговые инструменты для Chrome на Android. Так же было бы желательно иметь более строгий контроль приложений на Google Play. В конечном счете, однако, Android остается менее безопасной, чем iOS, в силу базовых принципов проектирования. Стоит отметить, что сегодня большинство вредоносных приложений разрабатывается именно для устройств под управлением Android.

Современные смартфоны способны выполнять намного больше задач, чем несколько лет назад мобильные телефоны. Однако значительно расширенный диапазон возможностей означает и появление новых рисков.

Поскольку сейчас мы используем наши телефоны для большего количества задач (от общения в социальных сетях до покупок в интернете, банковских операций и просмотра веб-страниц), нам всем необходимо принимать разумные меры предосторожности для защиты наших телефонов и нашей информации от вредоносных атак.

Как сделать использование смартфона более безопасным

• Блокируйте телефон
  Убедитесь, что функция блокировки экрана включена – таким образом можно уменьшить риск при попадании телефона в руки киберпреступника.
• Используйте шифрование для сохранности важной для вас информации
  Проверьте, есть ли на телефоне функция шифрования данных, и убедитесь, что она используется. В случае кражи телефона компьютерные преступники не смогут получить доступ к личной информации, хранящейся на вашем телефоне, если эта информация зашифрована.
• Отслеживайте поведение приложений на телефоне
  Убедитесь в том, что доступ к ресурсам на телефоне предоставлен с вашего разрешения после запроса от приложения. Это особенное важно для смартфонов Android.
• Защитите телефон и вашу информацию
  Многие пользователи, которые даже не стали бы рассматривать возможность использования ноутбука, ПК или компьютера Mac без антивирусного программного обеспечения, забывают о том, что современные смартфоны являются мощными компьютерами, и они подвергаются той же опасности. Убедитесь, что на всех устройствах используется хорошо зарекомендовавшая себя антивирусная программа, а антивирусные базы данных регулярно обновляются.
• Помните об опасности получения доступа уровня root путем джейлбрейкинга
  Несмотря на заманчивость получения прав уровня root с целью получения доступа к специальным приложениям и службам, это может существенно снизить его безопасность. Чтобы ваш телефон и ваши данные находились в безопасности, не пытайтесь получить права уровня root или осуществить джейлбрейк телефона.
• По возможности отключайте Bluetooth
  Если Bluetooth-соединение не используется, лучше всего отключить его. Таким образом можно сделать телефон менее уязвимым к компьютерной атаке и уменьшить расход батареи.
• При выборе антивируса для смартфона убедитесь в том, что оно имеет функцию защиты на случай кражи.
  Некоторые продукты для защиты смартфонов включают широкий набор функций защиты на случай кражи, которые предоставляют хозяину дистанционный доступ к потерянному или украденному смартфону, чтобы его можно было заблокировать, установить местоположение и стереть данные.

Другие статьи и ссылки, связанные с безопасностью мобильных устройств и компьютеров

Мобильная безопасность и советы по защите смартфона

Современные смартфоны способны выполнять намного больше задач, чем несколько лет назад мобильные телефоны. Однако значительно расширенный диапазон возможностей означает и появление новых рисков.

Избранные статьи

Риски безопасности и конфиденциальности в виртуальной и дополненной реальности

TrickBot – многоцелевой ботнет

Основные атаки программ-вымогателей

Как защитить детей в интернете во время коронавируса

Видеозвонки и видео-конференц-связь: как защититься от хакеров

Продукты для дома

Наши передовые решения помогают защитить то, что для вас ценно. Узнайте больше о нашей удостоенной наград защите.

Бесплатные утилиты

Наши бесплатные утилиты помогают обеспечить защиту ваших устройств на базе Windows, Mac и Android.

Связаться с нами

Наша главная цель - обеспечить вашу безопасность. Мы всегда готовы ответить на ваши вопросы и оказать техническую поддержку.

О компании

Узнайте больше о том, кто мы, как мы работаем и почему наша главная цель - сделать цифровой мир безопасным для всех.

Пробные версии

Попробуйте наши решения. Всего за несколько кликов вы можете скачать бесплатные пробные версии нашего продукта и проверить их в действии.

Сувенирный портал Lab Shop

Современные мобильные устройства очень сложны, и это дает злоумышленникам возможности для проведения атак. Для взлома вашего смартфона может быть использовано буквально все — от Wi-Fi и Bluetooth до динамика и микрофона.

Аналитики Positive Technologies опубликовали исследование распространенных сценариев атак на мобильные устройства и приложения. В
нашей статье – главные тезисы этого документа.

Как атакуют мобильные устройства и приложения

Существует пять основных сценариев атаки. Среди них:

• Физический доступ. Если телефон был украден или потерян, владелец отдал его в сервис или подключил к поддельному зарядному устройству по USB — все это открывает возможность для атаки.
• Вредоносное приложение на устройстве. Иногда такие приложения могут попасть на устройство даже из официальных источников, Google Play и App Store (для Android, для iOS).
• Атакующий в канале связи. Подключившись к недоверенному Wi-Fi, прокси-серверу или VPN, мы становимся уязвимыми для атак в канале связи.
• Удаленные атаки. Атакующий может действовать при этом удаленно, пользуясь серверами мобильных приложений или иными службами для доставки эксплойта.
• Атаки на серверную часть. Отдельно от всего можно рассмотреть атаки на серверную часть мобильных приложений, поскольку в этом случае доступ к устройству злоумышленнику не требуется.

Атаки с физическим доступом

Есть несколько главных сценариев атак с физическим доступом. Как правило, они подразумевают доступ человека напрямую к смартфону: это происходит в том случае, если устройство украли, владелец его потерял или отнес в сервис. Однако есть и достаточно необычный способ атаки, для которого используется вредоносная зарядная станция. Рассмотрим именно его.

Зарядная станция, к которой вы подключаете свой смартфон по USB, вполне может оказаться не совсем безопасной. Для современных версий ОС Android и iOS при подключении с смартфона к ПК по USB требуется разрешение на доступ к устройству. Однако на Android 4.0 и ниже этого не требовалось. В итоге при подключении таких устройств к скомпрометированным или установленным хакерами зарядным станциям, открывается возможность для атаки. Ее сценарий может выглядеть так:

• На вашем смартфоне с версией Android 4.0 или ниже доступна отладка по USB.
• Вы подключаетесь к зарядной станции по USB-кабелю.
• Вредоносная зарядная станция выполняет команду adb install malware.apk, чтобы установить вредонос на ваше устройство.
• Вредоносная зарядная станция выполняет команду adb am start com.malware.app/.MainActivity для запуска этого вредоносного приложения.
• Запущенный троян пробует различные техники повышения привилегий, получает права root и закрепляется в системе. Теперь ему доступны все хранимые данные, включая аутентификационные (логины, пароли, токены) от всех установленных приложений, а также неограниченный доступ к любому приложению во время исполнения.

Как защититься

В первую очередь, будьте внимательны и не оставляйте телефон и планшет без присмотра в общественных местах. Обязательно установите пароль для разблокировки устройства или включите биометрическую защиту, если это возможно. Не повышайте привилегии до административных (jailbreak или root), отключите отображение уведомлений на заблокированном экране.

Атаки с помощью вредоносных приложений

Есть несколько источников таких приложений:

Помимо этого, вредоносное приложение может попытаться получить повышенные привилегии в системе, проэксплуатировав уязвимости, позволяющие получить root-права или jailbreak.

Как защититься

Для защиты от подобных атак рекомендуется в первую очередь избегать установок приложений из недоверенных источников. С осторожностью необходимо устанавливать и приложения с подозрительными названиями даже из официальных магазинов приложений, так как никакие проверки не работают идеально. Своевременно обновляйте ОС и приложения, чтобы исключить возможность атак через известные уязвимости.

Атаки в канале связи

К примеру, обычно при установке защищенного соединения клиентское приложение проверяет подлинность сертификата сервера и соответствие его параметров параметрам сервера. Однако иногда разработчики для удобства при работе над приложением отключают такие проверки, забывая включить их обратно в релизной версии. Как итог, приложение принимает любой сертификат сервера для установки защищенного соединения, в том числе и сертификат злоумышленника.

Если злоумышленнику удастся получить контроль над трафиком между клиентским приложением и сервером, то это даст ему целый ряд возможностей:

• подменять ответы сервера, например для подмены реквизитов банковских операций или фишинга;
• подменять запросы клиентского приложения, например изменяя сумму перевода и счет получателя;
• перехватывать данные, например логины, пароли, одноразовые пароли, данные банковских карт, историю операций.

Как защититься

Не подключайтесь к сомнительным точкам доступа, не используйте прокси- и VPN-серверы, которым вы не доверяете свою личную и банковскую информацию. Не устанавливайте сторонние сертификаты на устройство.

Как правило, большинство популярных мессенджеров и приложений соцсетей хорошо защищены от подобных атак; если, например, вдруг какое-то из этих приложений отказывается работать через текущее Wi-Fi-подключение, это может означать, что данная точка доступа небезопасна и лучше от нее отключиться, чтобы не подвергать опасности остальные приложения, в том числе ваш мобильный банк.

Удаленные атаки

Некоторые уязвимости в мобильных приложениях можно проэксплуатировать удаленно, и для этого даже не требуется контролировать передачу данных между приложением и сервером. Многие приложения реализуют функциональность по обработке специальных ссылок, например myapp://. Такие ссылки называются deeplinks, и работают они как на Android, так и на iOS. Переход по такой ссылке в браузере, почтовом приложении или мессенджере может спровоцировать открытие того приложения, которое умеет такие ссылки обрабатывать. Вся ссылка целиком, включая параметры, будет передана приложению-обработчику. Если обработчик ссылки содержит уязвимости, то для их эксплуатации будет достаточно вынудить жертву перейти по вредоносной ссылке.

Для Android-устройств переход по ссылке может спровоцировать загрузку Instant App, что делает возможным удаленную эксплуатацию уязвимостей, связанных с установкой вредоносного приложения.

Как защититься

Своевременная установка обновлений приложений и ОС в данном случае — единственный способ защититься. Если у вас нет возможности установить обновление или оно еще не вышло, можно временно прекратить использование уязвимого приложения: удалить его с устройства или просто разлогиниться.

Атаки на серверную часть

Для атаки на сервер мобильного приложения злоумышленнику, как правило, достаточно изучить, как происходит взаимодействие клиентского приложения с сервером, и уже исходя из собранной информации о точках входа попытаться видоизменять запросы с целью обнаружить и проэксплуатировать уязвимости.

Зачастую устройство серверной части мобильного приложения ничем не отличается от веб-приложения. Как правило, устроены серверы мобильных приложений еще проще и часто представляют из себя json- или xml-api, редко работают с HTML-разметкой и JavaScript, как это часто делают веб-сайты.

Если сравнивать уязвимости веб-приложений и серверных частей мобильных приложений, то мы видим, что следующие уязвимости преобладают в мобильных приложениях:

• недостаточная защита от подбора учетных данных: 24% веб-приложений и 58% серверов мобильных приложений содержат такие уязвимости,
• ошибки бизнес-логики: 2% веб-приложений и 33% серверов мобильных приложений.

Как защититься

В данном случае обычный пользователь мало что может сделать. Однако можно снизить риски пострадать от атак на сервер, если использовать сложный пароль, а также настроить двухфакторную аутентификацию с помощью одноразовых паролей во всех критически важных приложениях, которые это позволяют сделать.

Чтобы минимизировать вероятность успешной атаки на мобильное приложение, его разработчики должны проверять возможность реализации каждого из описанных сценариев. При разработке нужно учитывать различные модели нарушителей, а некоторые меры защиты необходимо предпринять еще на стадии проектирования.

Хорошей рекомендацией для разработчиков будет внедрение практики безопасной разработки (security development lifecycle, SDL) и регулярный анализ защищенности приложения. Такие меры не только помогут своевременно выявить потенциальные угрозы, но и повысят уровень знаний разработчиков в вопросах безопасности, что повысит уровень защищенности разрабатываемых приложений в долгосрочной перспективе.

Автор: Николай Анисеня, руководитель группы исследований безопасности мобильных приложений Positive Technologies

Век мобильных технологий диктует свою моду в отношении гаджетов и устройств, возможностей, интеллекта и прочих особенностей. Современные смартфоны имеют большой экран, весьма тонки и выпускаются в различных вариантах отделки. В то же время растет и опасность повреждения телефона от физического воздействия или действий хакеров.

Как можно защитить смартфон

От взлома личных данных помогают различные программы, которые защищают устройство от заражения вирусами и троянами. На большинстве смартфонов находится масса информации, электронные кошельки и другие важные данные, которые не рекомендуется демонстрировать посторонним. Особенностью устройств на любой операционной системе являются встроенные средства защиты. Те или другие предустановленные программы контролируют действия в интернете, работу приложения, подключение к сети.

Если посмотреть на смартфон, который имеет собственную фирменную оболочку (Asus, Meizu, Xiaomi, Samsung и др.), можно заметить, что здесь установлен собственный лаунчер (launcher – программа запуска). Это настраиваемое приложение, которое по умолчанию ставится поверх основной операционной системы. Здесь предусмотрены различные компоненты, которые могут помочь заблокировать доступ к информации посторонним людям, ускорить работоспособность, произвести глубокую очистку памяти.

Рекомендации по защите личных данных

Когда на смартфоне находится масса важных данных, платежные сервисы, коды доступа, нужно максимально защитить сохранность информации. Для этого существует несколько приемов:

1. Создать пароль. Смартфоны предлагают несколько типов разблокировки:
   . Через девять предложенных точек предлагается провести линию. Она может ломаться в любом направлении, пересекаться, но не повторять уже определенный путь. Задействовать необходимо не менее четырех точек. . Для разблокировки предлагается придумать собственную комбинацию из 4-8 цифр. . Здесь можно придумать целое слово с использованием цифр, букв верхнего и нижнего регистра или символов.
   • Самым надежным способом является создание пароля, где присутствуют цифры, большие буквы и цифры.

После применения определенного способа блокировки нужно убрать галочку в графе “показывать пароль”, тогда во время ввода символы не будут видны, в результате пароль подсмотреть становится сложнее.

В устройствах на базе Android программы можно скачать из магазина Play Маркет или отдельным файлом Apk в память устройства и последующего запуска. Если вы даете свой смартфон в пользование третьим лицам, то лучше подстраховаться от неприятностей. Злоумышленнику достаточно ввести адрес в поисковой строке браузера, чтобы установить вредоносную программу. Необходимо отключить установку из неизвестных источников и активировать проверку приложений.

В некоторых оболочках имеются установленные программы, позволяющие задать дополнительный код для входа в приложение. Если предустановленной функции нет, то можно скачать аналог в магазине. Использование программы позволит заблокировать отдельные разделы, при этом пароль может отличаться.

Сканер отпечатка пальца, функция распознавания лица или сетчатки глаза дают возможность использовать личные физические данные для обеспечения безопасности. В данном случае злоумышленник может добавить отпечаток или другие данные к образцам телефона и получит доступ ко всем функциям.

Одной из особенностей современных смартфонов, имеющих сканеры, является то, что после перезагрузки обязателен ввод пароля для запуска системы + ввод пароля каждые 72 часа.

Физическая защита телефона

Физическую защиту устройства обеспечивают специальные усовершенствования корпуса:

Corning Gorilla Glass – алюмосиликатное стекло, имеющее особую прочность. По заверению производителя, этот тип покрытия в три раза прочнее, чем обработанное натриево-кальцивое стекло. Современные устройства, начиная со среднего ценового сегмента, оборудуются им по умолчанию, что позволяет защитить дисплей от царапин, например, если телефон находится в одном кармане со связкой ключей. Толщина стекла составляет 0,3-0,5 мм, поэтому не увеличивает габариты смартфона или его вес.

• Защита от влаги и попадания воды.

Каждый мобильный телефон имеет несколько отверстий в корпусе. Динамики, микрофоны, камеры, разъемы питания, порт для наушников и прочие наружные элементы являются уязвимыми для пыли и жидкости. Попадание внутрь лишних частиц может привести к замыканию и выходу из строя устройства. Нежелательные последствия предупреждаются путем уплотнения уязвимых мест, чем обеспечивается высокая степень защиты. Это может быть сделано как скрытыми уплотнителями, так и специальными накладками на корпус.

Уровень защищенности IP телефона

Уровень защищенности указывается в характеристиках устройства. Обозначение происходит в виде двух букв (IP) и следующих за ними пары цифр. Смысл маркировки установлен международным стандартом.

Первая цифра обозначает защищенность от пыли и проникновения твердых посторонних предметов. Определив значение, можно понять, на каком уровне защита предмета:

• 1 – ограничения в проникновении предметов размером более 5 сантиметров;
• 2 – защита от твердых частиц размером выше 12 мм;
• 3 – устройство или механизм недоступно для предметов более 2,5 мм диаметром;
• 4 – препятствие для элементов размером 1 мм и больше;
• 5 – предмет частично защищен от проникновения пыли (частицы не нарушают работу устройства);
• 6 – полная защита от попадания пыли.

В смартфонах для защиты устанавливается максимальный уровень.

Вторая цифра в показателе указывает на защиту от воды и влаги:

• 1 – защита от вертикально капающей воды;
• 2 – ограждение устройства от вертикальных и попадающих под углом 15 градусов капель;
• 3 – защита от брызг или дождя падающих под углом 60 градусов;
• 4 – устройству не вредят брызги, попадающие с любой стороны;
• 5 – защита от струи воды с любого направления;
• 6 – охрана от волн и струй;
• 7 – устройство можно погружать на глубину до 1 метра, но непродолжительное время;
• 8 – смартфон может погружаться в воду более чем на 1 метр и на долгое время.

Таким образом, устройство, имеющее уровень IP68 максимально защищено от проникновения пыли и воды.

Цены на защищенные телефоны

Ориентируясь на максимальную степень защиты, приведем несколько примеров устройств:

• Runbo F1 Plus – 27950 руб.
• Runbo F1 MAX – 34990 руб.

Две версии усиленного смартфона от китайского производителя. Обе модели имеют класс защиты IP67, отличаются массой, габаритами и размером батареи (plus – 5000мАч, max – 10000 мАч). С таким устройством можно путешествовать по горам под проливным дождем и при этом оставаться на связи.

• Ginzzu RS97D – 9960 руб.
• Ginzzu RS9602 – 14990 руб.

Еще два представителя надежных помощников. Модели имеют аккумуляторы 4000 мАч и 5000 мАч, что позволяет им оставаться на связи не одну неделю. Компания известна на российском рынке уже долгое время и имеет массу поклонников, потому как производит устройства доступные для среднего класса.

• Blackview BV7000 – 8790 руб.
• Blackview BV9000 Pro – 19290 руб.

Устройства от проверенной временем компании, которые не боятся суровых испытаний. Аккумуляторы заявлены 3500 мАч и 4100 мАч, этого вполне достаточно, чтоб не думать о подзарядке несколько дней. У старшей модели установлено стекло Corning gorilla glass, про младшего брата это не заявлено.

Среди современных смартфонов, обладающих защитой от воды и пыли, с громким именем можно выделить:

• Sony Xperia Z3 Dual– 29990 руб.
• Sony Xperia Z5 Compact– 19990 руб.

Отличные аппараты не способные подвести пользователя даже при попадании в воду или песчаную бурю, при этом имеющие весьма привлекательный дизайн.

• Samsung Galaxy A6 – 15990 руб.
• Samsung Galaxy A8 – 18990 руб.
• Samsung Galaxy S8 – 34980 руб.
• Samsung Galaxy S9 – 42655 руб.

Аппараты линейки Galaxy от корейского производителя поддерживают стиль и демонстрируют превосходное качество. Им не страшно оказаться под дождем или окунуться в воду.

• Xiaomi Mi6 – 16649 руб.
• Xiaomi Redmi Note 7 – 17490 руб.

Устройства от популярного китайского производителя, имеющие хорошие характеристики, презентабельный внешний вид и защиту от влаги.

• DOOGEE S60 – 20990 руб.
• DOOGEE S55 – 12710 руб.
• DOOGEE S80 Lite – 23990 руб.

Серия смартфонов от популярного среди ценителей производителя. Отличаются современным функционалом и автономностью.

Настоящие монстры автономности и устойчивости имеют весьма внушительные размеры и массу, это происходит за счет использования объемного аккумулятора, резиновых накладок и прочих средств защиты. Современные элегантные смартфоны пожертвовали емкостью батарей и наличием внешней защиты в угоду моде и легкости.

Аксессуары для защиты смартфона

Бампер – силиконовая или пластиковая накладка на заднюю панель устройства. Защищает от царапин, ударов и потертостей. Могут быть как бесцветными, так и цветными или с принтами. Пластиковые версии менее практичны, хоть и более тонки. Силикон лучше амортизирует и защищает в случае падения.

Флип-кейс или чехол-книжка. Защита устройства от механических повреждений со всех сторон. Могут изготавливаться из кожи, ПВХ, кожзаменителя и других материалов. В зависимости от модели оснащаются заклепкой или магнитной застежкой.

Защитная пленка. Специальная накладка на экран телефона, имеющая клеевую основу. Может различаться по типу поверхности:

• Матовая.
• Глянцевая.
• Зеркальная.

Выпускается как специально для определенных моделей смартфонов, так и универсального типа. Достоинством является низкая стоимость.

Усиленное стекло. Внешне похоже на пленку, но при этом имеет ряд отличий:

• Большая прочность.
• Выпускается только под определенные модели.
• Проще в установке.
• Выше стоимость.

Защищает экран от царапин и обеспечивает четкость картинки.

Защитить свой аппарат можно, не прилагая каких-либо усилий. В магазинах электроники и в интернете найдется тысяча вариантов, подходящих для конкретного случая. Если для какой-то модели нет заводских аксессуаров, то можно подобрать не менее качественную универсальную защиту.

В статье приводятся описание и примеры распространенных мобильных угроз, имеющиеся на рынке средства защиты, а также эффективные личные тактики для снижения рисков компрометации мобильных устройств.

Автор: Михайлова Анна, Angara Technologies Group.

Аннотация

В статье приводятся описание и примеры распространенных мобильных угроз, имеющиеся на рынке средства защиты, а также эффективные личные тактики для снижения рисков компрометации мобильных устройств.

Обзор мобильных угроз

Рынок вирусов для мобильных устройств вырос и усложнился. Мобильным устройствам угрожают уже не только относительно безобидные трояны-кликеры, но и полноценные вирусы и шпионское ПО. Большинство вирусных исследовательских компаний выделяют следующие виды угроз:

Дроппер – ВПО, целью которого является скачивание другого вредоносного ПО.

Вирус – ПО, которое наносит явный вред, например, выводит из строя конкретное приложение или одну из функций устройства.

Бот – агент бот-сетей, ВПО, которое по команде C&C-сервера осуществляет требуемую злоумышленнику сетевую активность.

Мобильные устройства также подвержены и традиционным атакам (например, DNS Hijacking, E-mail Phishing), так как используют те же базовые пользовательские сервисы, что и персональные ПК.

Пользователь скачивает дроппер в составе зараженного приложения (бесплатной игры или приложения с возрастным цензом).

Дроппер проверяет наличие на мобильном устройстве популярных приложений, таких как WhatsApp, MXplayer, ShareIt.

Дроппер скачивает и распаковывает архив, который превращается в APK-файл, при необходимости, обновляет и заменяет легитимное популярное приложение на зараженный вариант.

SockPuppet или Unc0ver – ВПО, позволяющее получить злоумышленнику права суперпользователя для систем iOS и MacOS (Jailbreak). ВПО скачивается в составе зараженного приложения, которое определенный промежуток времени было доступно даже в официальном магазине Apple. ВПО регулярно обновляется и эксплуатирует уязвимость CVE-2019-8605, которая наследуется новыми версиями iOS. В версиях iOS 12.2 и 12.3 уязвимость была закрыта, после чего вновь появилась в версии 12.4 и была пропатчена в версии 12.4.1.

Старый троян Ztorg под ОС Android после установки собирает сведения о системе и устройстве, отправляет их на командный сервер, откуда приходят файлы, позволяющие получить на устройстве права суперпользователя (Jailbreak). ВПО распространяется через зараженные приложения и рекламные баннеры.

Monokle под ОС Android и iOS – троян, позволяющий вести полноценный шпионаж за жертвой: записывать нажатия клавиатуры, фотографии и видео, получать историю интернет-перемещений, приложений социальных сетей и мессенджеров, вплоть до записи экрана в момент ввода пароля. Троян снабжен рядом эксплойтов для реализации необходимых прав в системе, распространяется, предположительно, с помощью фишинга и зараженных приложений. Первые версии ВПО появились под ОС Android, но уже появились версии для устройств Apple.

Источники угроз

На основе анализа описанных примеров мобильного ВПО, а также каналов проникновения других образцов ВПО можно выделить следующие основные пути компрометации устройства:

Установка пакета приложений APK из неофициальных маркетов.

Установка зараженного приложения из официального магазина. В данном случае, после обнаружения зараженного приложения службой безопасности магазина, оно будет оперативно удалено, а установленное пользователями приложение будет обновлено на безопасную версию.

Концепция Bring Your Own Device, BYOD (использование для работы с корпоративными документами личного устройства) привносит в корпоративный сегмент целый класс угроз – мобильное устройство сотрудника становится точкой входа во внутреннюю сеть предприятия и источником утечек информации.

Основные методы защиты от мобильных угроз

По версии NIST (NIST SPECIAL PUBLICATION 1800-4 Mobile Device Security, Cloud and Hybrid Builds) для снижения риска заражения мобильного устройства и утечки конфиденциальной информации необходимо реализовать следующие методы защиты:

Шифрование данных на устройстве. Шифровать можно отдельные папки (если позволяет система), данные приложений или все устройство целиком. По возможности, необходимо использовать аппаратные платы шифрования и хранения ключевой информации.

Защита сетевого трафика: шифрование канала передачи данных, использование внешних фильтрующих решений для очистки трафика. Использование корпоративного шлюза, сканирующего web и email-трафик, или использование облачных решений очистки трафика от ВПО.

Обнуление данных на скомпрометированном устройстве (wipe). Уничтожение всех данных или данных отдельного корпоративного приложения при утере или краже мобильного устройства. Обнуление может быть реализовано по удаленной команде или после нескольких неудачных попыток аутентификации.

Использование двухфакторной аутентификации: желательно использовать дополнительные средства аутентификации, в частности, сканирование отпечатка пальца. Необходимо иметь в виду, что некоторые биометрические способы аутентификации пока не очень надежны, например, распознавание лиц. Аутентификация путем ввода кода из СМС в современных условиях многими экспертами также признается недостаточно ненадежной.

Своевременная регулярная установка обновлений ОС, приложений, драйверов. При этом важно использовать официальные источники ПО.

Антивирусная защита: регулярное сканирование системы, файлов, приложений. Сканирование приложений перед их установкой.

Классы решений для защиты мобильных устройств

EMM=MDM+MAM+MCM+EFS

На рынке представлены следующие классы решений для защиты мобильных:

Антивирусные решения. Наиболее популярные среди них: Kaspersky Internet Security, Trend Micro Mobile Security, BitDefender, ESET NOD32 Mobile Security, Avast Mobile Security & Antivirus, Dr.Web Anti-virus, AVG Antivirus, Avira Antivirus Security, Norton Security & Antivirus, McAfee Security & Antivirus.

Mobile Threat Management, MTM (источник термина – IDC) – агент, выполняющий, помимо антивирусной защиты, фильтрацию корпоративного почтового трафика и трафика мессенджеров от вредоносных URL и документов, интеграцию с корпоративным облаком для фильтрации трафика и мониторинга событий. Возможно дополнительное шифрование контейнера данных приложения. На рис. 1 представлен квадрат решений MTM от IDC за 2019 год.

Рис. 1. Квадрат решений MTM 2019, IDC

Mobile Device Management, MDM – средства управления корпоративными мобильными устройствами или пользовательскими устройствами в концепции BYOD. Включает следующие функции: управление конфигурациями прошивок и приложений, инициализация и деинициализация приложений, удаленная очистка данных, настройка проксирования трафика через корпоративный шлюз или облачное решение фильтрации трафика, удаленный мониторинг и поддержка.

Enterprise Mobility Management, EMM – новое поколение средств защиты мобильных устройств, выросшее из MDM-решений и впоследствии влившееся в концепцию Unified Endpoint Management (UEM). EMM, дополнительно к решениям MDM, включает в себя решения MAM (Mobile Application Management), Mobile Content/Email Management (MCM/MEM), Encrypting File System (EFS), централизованное управление и мониторинг, настройку отдельных приложений, в частности, контроль за установкой приложений из определенного репозитория, удаление приложений, шифрование данных, аудит, проверку на соответствие политикам.

UEM-консоли – общие консоли управления мобильными устройствами и ОС пользователей. В сущности, современные производители средств защиты мобильных устройств предлагают решения, совмещающие набор технологий: MDM, MAM, UEM, MCM/MEM, управление конфигурацией и политиками.

Квадрат Gartner по UEM-решениям за 2019 год представлен на Рис. 2.

Рис. 2. Квадрат Gartner по UEM решениям за 2019 год

Основные выводы

Вслед за развитием мобильных технологий, растет количество и разнообразие ВПО, нацеленного на мобильные устройства.

Общеприменимыми рекомендациями по безопасному использованию как личных, так и корпоративных мобильных устройств являются:

Использование только доверенных официальных прошивок и приложений.

Соблюдение физической и логической безопасности устройства: не давайте устройство в руки незнакомым лицам и неофициальным экспертам, не предоставляйте удаленный доступ к устройству недоверенному источнику, например, непроверенному сотруднику банка по телефону.

Периодический мониторинг системных параметров: расхода батареи, сетевой активности. Если приложение создает неадекватный расход ресурсов – это является поводом для проверки или даже удаления приложения, так как оно, возможно, создает вредоносную активность.

Отключение функции платного контента у оператора связи оградит от нелегитимных снятий средств с мобильного счета.

В случае возникновения проблем с приложением – отправка отчетов производителю средствами приложения или через официальный магазин – так вы поможете разработчикам вовремя обнаружить и нейтрализовать возможные заражения.

Для снижения риска заражения вредоносным ПО, обеспечения защиты от утечек конфиденциальных данных и минимизации ущерба в случае потери физического контроля над устройством рекомендуется также использовать специализированные средства защиты – антивирусы, решения класса MTM, а также корпоративные решения классов UEM, MDM, EMM.

Один хакер может причинить столько же вреда, сколько 10 000 солдат! Боитесь что ANONYMOUS опустошат ваши счета ? Хакеры объявили Кибервойну России! Узнай первым , как выжить в цифровом кошмаре!

Читайте также:

  
• Петр зайченко биография и подвиг кратко
  
• Особенности ротового аппарата у ракообразных кратко
  
• Достигнутые успехи оон кратко
  
• Ключевский о павле 1 кратко
  
• Возвышение москвы куликовская битва кратко