- اكتشف باحثو الأمن السيبراني في شركة Symantec 9 تطبيقات تعرض بيانات الملايين من مستخدمي Android وiOS للخطر من خلال بيانات الاعتماد المشفرة.
- تشير بيانات الاعتماد المشفرة إلى كلمات المرور والتفاصيل الحساسة المضمنة مباشرة في الكود المصدري للتطبيق.
- من السهل اختراق هذا النوع من المعلومات أثناء الهجوم.
وجد تحليل حديث أجراه باحثو الأمن السيبراني، يوانجينج جو وتومي دونج، في شركة سيمانتيك”https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps”>بيانات الاعتماد المشفرة في التطبيقات الشائعة (متوفر على متجر Google Play وApple App Store). يعرض الملايين من مستخدمي iOS وAndroid للخطر.
“إن الطبيعة واسعة النطاق لهذه الثغرات الأمنية عبر منصات iOS وAndroid تؤكد الحاجة الملحة للتحول نحو ممارسات تطوير أكثر أمانًا” – تقرير بحثي لشركة Symantec
بالنسبة لأولئك الذين لا يعرفون، تشير بيانات الاعتماد المشفرة إلى كلمات مرور نصية عادية أو بيانات حساسة أخرى مضمنة مباشرة في الكود المصدري للتطبيق.
التشفير الصلب يجعلها أكثر عرضة للهجمات وبمجرد تعرضها للخطر، ستكون جميع حسابات المستخدم عبر الإنترنت التي تشترك في نفس كلمة المرور معرضة للخطر.
قائمة التطبيقات التي تحتوي على بيانات اعتماد مشفرة
فيما يلي قائمة بجميع التطبيقات التي تحتوي على بيانات اعتماد مشفرة، وفقًا لشركة Symantec. يرجى ملاحظة أن هذه القائمة ليست شاملة، فقد تكون هناك تطبيقات أخرى تواجه نفس المشكلة.
- ميرو سيارات الأجرة – إنها خدمة هندية لطلب سيارات الأجرة مع أكثر من 5 ملايين عملية تنزيل. كان يحتوي على بيانات اعتماد مشفرة لـ Microsoft Azure.
- يوريكا – هذا هو تطبيق لإجراء الاستطلاعات، حيث يقوم بتشفير بيانات اعتماد AWS في التطبيق، إلى جانب الوصول والمفاتيح السرية التي كانت مخفية في نص عادي.
- غرزة الموافقة المسبقة عن علم – هذا تطبيق لتحرير الصور المجمعة يضم أكثر من 5 ملايين مستخدم ويحتوي أيضًا على بيانات اعتماد AWS مشفرة والتي لن تمنح المهاجم حق الوصول إلى بيانات اعتماد الإنتاج فحسب، بل ستمنح أيضًا اسم حاوية Amazon S3 المرتبط ومفاتيح الوصول والمفاتيح السرية.
- صليخة الأعمال – هذه منصة رقمية للشركات المحلية. وفقًا للتحليل، فإنه يحتوي على سلسلة اتصال نص عادي واحدة على الأقل لبيانات اعتماد Azure والتي تتيح الوصول إلى حاويات تخزين Azure Blob.
- فيديوشوب – هذا هو محرر فيديو يحتوي أيضًا على بيانات اعتماد AWS مشفرة والتي لن تسمح للمهاجم بسرقة البيانات فحسب، بل ستسمح أيضًا بالوصول إلى البنية التحتية الخلفية وتعطيلها.
- كرامبل – هذا تطبيق شائع لطلب ملفات تعريف الارتباط لمستخدمي iOS. يحتوي على بيانات اعتماد النص العادي لـ AWS بالإضافة إلى مفتاح الوصول والمفتاح السري. هناك ثغرة أمنية رئيسية أخرى – تم تضمين نقطة نهاية WebSocket Secure (WSS) داخل الكود – wss://***.iot.us-west-2.amazonaws.com.
- نظام تحديد المواقع للدراجات النارية EatSleepRIDE – يحتوي تطبيق المنتدى هذا الذي يضم أكثر من 100000 مستخدم على بيانات اعتماد Twilio المشفرة.
- ReSound تخفيف طنين الأذن وBeltone طنين الأذن أكثر هدوءًا – يحتوي تطبيق العلاج الصوتي هذا على أكثر من 500000 بيانات اعتماد Azure Blob Storage للمستخدمين.
إذن ما الذي يمكن للمستخدمين فعله الآن؟
أفضل حل لهذه المشكلة يمكن أن يأتي فقط من مطوري التطبيقات. إنهم بحاجة إلى ذلك قم بتعديل الكود وقم بعمل أفضل لإخفاء بيانات الاعتماد. ومع ذلك، حتى يحدث ذلك، يمكن للمستخدمين استخدام تطبيقات الطرف الثالث لمنع أي خطر قد يحدث نتيجة لخطأ الترميز هذا.
بخلاف ذلك كن فقط كن حذرًا من التطبيقات التي تقوم بتنزيلها وتأكد من أنك تقوم بتنزيلها فقط من مصادر موثوقة. وأيضًا، قم بمشاركة الأذونات المطلوبة تمامًا لتشغيل التطبيق فقط، ولا داعي لمشاركة مجموعة من الأذونات دون داع.