Kontrole bezpieczeństwa dla aplikacji handlowych na komputer i telefon: co sprawdzić

Jakie kontrole bezpieczeństwa mają znaczenie przy porównywaniu komputera i telefonu?

Kiedy ludzie mówią o „kontrolach bezpieczeństwa”, zwykle mają na myśli praktyczne, weryfikowalne kroki, które potwierdzają, że aplikacja, którą instalujesz i używasz, jest autentyczna, nie może łatwo narazić dostępu do Twojego konta i jest bezpiecznie utrzymywana w czasie. Urządzenia stacjonarne i mobilne różnią się sposobem instalacji aplikacji i działaniem uprawnień, ale podstawowe kontrole są podobne: autentyczne pobieranie, ochrona danych uwierzytelniających i sesji, zakres uprawnień, integralność aktualizacji oraz zachowanie przy tworzeniu kopii zapasowych i odzyskiwaniu danych.

Definicja i zakres: co zmienia się między komputerem a telefonem?

„Aplikacja desktopowa” często opiera się na pliku instalacyjnym, który pobierasz, a następnie uruchamiasz w systemie operacyjnym. „Aplikacja mobilna” jest zazwyczaj instalowana przez sklep z aplikacjami lub mechanizm pakietów mobilnych i wymaga uprawnień egzekwowanych przez system operacyjny.

Ta różnica zmienia to, co możesz zweryfikować:

• Autentyczność instalacji: użytkownicy komputerów muszą zweryfikować pochodzenie pobranego pliku i instalatora; użytkownicy telefonów powinni polegać na tożsamości w sklepie z aplikacjami i informacjach o deweloperze.
• Egzekwowanie uprawnień: mobilne systemy operacyjne zwykle proszą o jawne przyznanie uprawnień (na przykład dostępu do powiadomień lub pamięci lokalnej), podczas gdy aplikacje desktopowe mogą uzyskać szerszy dostęp przez system operacyjny.
• Proces aktualizacji: obie platformy są aktualizowane, ale ścieżka jest inna (aktualizacje w aplikacji vs aktualizacje systemu operacyjnego/sklepu z aplikacjami vs ręczne aktualizacje na komputerze).

Cel jest taki sam w obu przypadkach: zmniejszyć ryzyko zainstalowania zmodyfikowanej lub podszywającej się wersji oraz ograniczyć to, co aplikacja może zrobić z zasobami urządzenia.

Dowody i przykłady: kontrole, które możesz przeprowadzić samodzielnie

1) Autentyczne pobieranie (zapobieganie podszywaniu się)

Komputer: zweryfikuj ścieżkę pobierania i tożsamość wydawcy widoczną na stronie przed pobraniem instalatora oraz upewnij się, że plik instalacyjny pochodzi z oczekiwanej oficjalnej domeny. Po instalacji potwierdź tożsamość aplikacji na liście aplikacji w systemie (pola nazwy i wydawcy).

Telefon: instaluj z oficjalnego kanału dystrybucji mobilnej i potwierdź, że tożsamość dewelopera aplikacji odpowiada temu, co dostawca publicznie opisuje. Unikaj instalowania z przypadkowych linków lub witryn „lustrzanych”.

2) Ochrona danych uwierzytelniających i sesji (ograniczenie przejęcia konta)

Bezpieczeństwo to nie tylko „logowanie”. Obejmuje to, co dzieje się po zalogowaniu:

• Czy aplikacja używa szyfrowanych połączeń (często można to wywnioskować z braku danych uwierzytelniających w postaci zwykłego tekstu i użycia wskaźników bezpiecznego transportu).
• Czy tokeny uwierzytelniające utrzymują się po ponownym uruchomieniu i gdzie są przechowywane (pomagają tu ustawienia zabezpieczeń mobilnego systemu operacyjnego i menedżery poświadczeń na komputerze).
• Czy aplikacja obsługuje wylogowanie i unieważnienie sesji po usunięciu aplikacji lub zmianie urządzenia.

Przydatne założenie do niezależnej weryfikacji: jeśli dostęp do sesji przetrwa, gdy nie powinien, ryzyko wzrasta (na przykład przy korzystaniu ze współdzielonego urządzenia).

3) Uprawnienia i dostęp do danych (ograniczenie nadmiernych żądań)

Porównaj, o co wnioskuje każda aplikacja:

• Telefon: przejrzyj monity o uprawnienia i ustawienia systemu operacyjnego dla aplikacji (powiadomienia, dostęp do pamięci, identyfikatory urządzenia, aktywność w tle). Zbyt szerokie uprawnienia mogą zwiększyć skutki naruszenia bezpieczeństwa.
• Komputer: sprawdź uprawnienia aplikacji lub wszelkie monity o dostęp na poziomie systemu operacyjnego (takie jak dostęp do plików, zakresy dostępu do sieci lub powiadomienia systemowe, w zależności od systemu operacyjnego).

Istotne ograniczenie: same uprawnienia nie dowodzą, jak zachowuje się aplikacja, ale wyznaczają granice potencjalnego dostępu aplikacji przy normalnym egzekwowaniu przez system operacyjny.

4) Aktualizacje i integralność (ograniczenie narażenia na stare słabości)

Sprawdź, jak odbywają się aktualizacje:

• Komputer: potwierdź, czy aktualizacje są automatyczne czy ręczne oraz czy źródło aktualizacji jest oficjalne.
• Telefon: potwierdź, że aktualizacje pochodzą z oficjalnego mechanizmu aktualizacji.

Scenariusz awarii do rozważenia: nieaktualna instalacja pozostaje użyteczna, ale podatna na ataki, nawet jeśli osobiście zachowujesz się bezpiecznie.

5) Kopie zapasowe i odzyskiwanie (unikaj nieaktualnych lub niebezpiecznych przywracania)

Zachowanie przy tworzeniu kopii zapasowych ma znaczenie, ponieważ odzyskiwanie może ponownie wprowadzić ryzyko:

• Jakie dane są objęte kopią zapasową na urządzeniu (na przykład stan aplikacji, buforowane dane uwierzytelniające lub ustawienia lokalne).
• Czy aplikacja obsługuje bezpieczne ponowne uwierzytelnienie po ponownej instalacji.

Istotne ograniczenie: systemy kopii zapasowych różnią się w zależności od urządzenia i wersji systemu operacyjnego, więc weryfikacja ma głównie charakter obserwacyjny—sprawdź, co jest przywracane po ponownej instalacji i czy nadal potrzebujesz świeżego logowania.

Ograniczenia i ryzyka (co nadal może pójść nie tak)

Istnieje co najmniej jedno ważne ograniczenie: niezależne kontrole zmniejszają prawdopodobieństwo, ale nie dają pewności. Nawet przy autentycznym pobieraniu i prawidłowych uprawnieniach ryzyka pozostają:

• Phishing: atakujący mogą imitować strony logowania lub wysyłać zwodnicze linki, które omijają zabezpieczenia techniczne. - Uszkodzone procesy logowania: błąd może umożliwić niepożądane zachowanie sesji (na przykład tokeny niewygasające zgodnie z oczekiwaniami).