Делаем розничные мобильные приложения электронной коммерции более безопасными
Проблемы безопасности, присущие многим розничным мобильным приложениям электронной коммерции, становятся все более серьезной проблемой, поскольку потребители по всему миру застряли дома. Ритейлеры наблюдают рост доходов от цифровых каналов как от электронной коммерции, так и от мобильных приложений, поскольку потребители продолжают совершать покупки со своих телефонов в преддверии праздников. К сожалению, многие розничные продавцы отстают в обеспечении надлежащих протоколов безопасности для обеспечения безопасности платежной информации. Чтобы узнать больше о том, как индустрия розничной торговли в подавляющем большинстве случаев не справляется с защитой своих мобильных приложений, и понять, какие наиболее распространенные подводные камни безопасности встречаются в отрасли розничной торговли, я недавно поговорил с Грантом Гудсом, главным специалистом по безопасности в Guardsquare, фирме, которая специализируется на мобильных приложениях. защита. Грант последние 13 лет специализируется в области SW Security, работая над всеми аспектами защиты приложений от обратной разработки и взлома, включая криптографию Whitebox, обфускацию кода и преобразование данных, а также RASP (самозащита приложений во время выполнения). методы. Он также является автором более 10 патентов, связанных с этой работой, и имеет опыт работы в аэрокосмической отрасли, компиляторах и виртуальных машинах Java.
ГРАНТ: В недавнем прошлом большинство розничных продавцов представляли себе онлайн-опыт через веб-сайт, доступ к которому осуществляется с настольного компьютера. Отчасти это было просто из-за того, что мобильное отображение таких вещей, как каталоги, было намного лучше на большом экране настольного компьютера, а отчасти из-за явного недоверия потребителей к совершению покупок на мобильном устройстве. Однако за последние несколько лет, особенно среди более молодых потребителей, мобильные устройства стали основной платформой для онлайн-действий (не говоря уже о том, что мобильные устройства теперь часто имеют довольно большие экраны!). Эта тенденция значительно ускорилась из-за пандемии и сопутствующих ограничений, которые действительно привели к резкому росту покупок через мобильные приложения электронной коммерции.
ГРАНТ: Мне нравится называть мобильные платформы «враждебными целями», поскольку существует так много инструментов и методов реверс-инжиниринга и подделки, что делает их более уязвимыми для эксплуатации злоумышленниками. Первоначально предназначенные для простых телефонных звонков и отправки текстовых сообщений, а затем расширенные до «смартфонов» с возможностью запуска приложений (сначала в основном игр!) и просмотра веб-страниц, мобильные устройства теперь можно использовать практически для всего, что вам нужно. раньше делали на настольном компьютере, включая выполнение банковских операций или совершение розничных покупок. И, честно говоря, основное внимание в большинстве мобильных приложений уделяется удобству и взаимодействию с пользователем, а не безопасности, поэтому неудивительно, что возникают проблемы, в том числе неадекватное (или отсутствующее!) использование безопасных протоколов связи и криптографии, а также отсутствие защиты». данные в состоянии покоя» на самом устройстве. Такого рода фундаментальные бреши в системе безопасности приводят к относительно простым атакам на связь между клиентом и сервером, таким как MITM (человек посередине), или к возможности эксфильтрации ценной информации, хранящейся на мобильном устройстве (например, данные кредитной карты).
ГРАНТ: Время выхода на рынок и взаимодействие с пользователем считаются двумя наиболее важными движущими силами приложений для электронной коммерции. Время выхода на рынок, потому что в розничной торговле часто действует эффект «победитель получает все» (ритейлер, который первым предоставляет возможность приобрести желаемые товары, быстро доминирует на рынке), и пользовательский опыт, потому что это имеет тенденцию привязывать покупателя. верность. Если есть третий приоритет, то это стоимость, а не безопасность, потому что стоимость первоначальна, а плохая безопасность в конечном итоге влияет на конечный результат только после того, как эксплойт произошел и был опубликован в СМИ, поэтому это не всегда главное. Кроме того, существует тенденция полагаться на безопасность платформы (например, очень хорошая репутация Apple в области безопасности iOS), но на нее нельзя полагаться как на единственное препятствие для злоумышленников, использующих ваше приложение, поскольку доступные инструменты реверс-инжиниринга и подделки недоступны. становится все более изощренным и простым в использовании.
ГРАНТ: Конечно, наиболее очевидное влияние неспособности защитить приложение для электронной коммерции носит финансовый характер: прямое для продавца (например, мошеннические покупки, необоснованные скидки и т. д.) или косвенное (кража учетных данных кредитной карты клиента).. Но, возможно, более важное влияние оказывается на доверие потребителей: если приложение конкретного интернет-магазина подвергается атаке (например, сбор учетных данных кредитной карты), потребители довольно быстро узнают об этом и переведут свой бизнес в другое место. Репутация безопасности этих мобильных приложений электронной коммерции особенно важна, поскольку информация о любых сбоях безопасности в средствах массовой информации практически мгновенна и использует те же платформы социальных сетей, которые многие потребители используют для принятия решений о покупке.
ГРАНТ: Первый и самый важный подход к обеспечению безопасности мобильных приложений — это безопасность по замыслу. Безопасность — это не «соус», который можно лить на приложение в конце разработки: жизненно важно учитывать враждебную среду, в которой работают эти мобильные приложения, и полностью полагаться на безопасность платформы (например, предполагая, что устройства iOS никогда не взламывался) является ошибкой, поэтому особое внимание следует уделить тому, чтобы приложение использовало соответствующие криптографические протоколы и методы защиты данных во время разработки. Во-вторых, как минимум следует применять обфускацию программного обеспечения (такое как Proguard, который является бесплатным и частью Android Studio) и другие методы повышения безопасности приложений, чтобы ограничить возможности реверс-инженеров находить уязвимости (которые присутствуют даже в самых лучших разработках). Приложения). И, наконец, к безопасности следует относиться как к первоклассному гражданину при развертывании приложения на рынке, поэтому точно так же, как качество обеспечивается тщательным тестированием качества, безопасность должна обеспечиваться гарантией безопасности (SA), включая тестирование на проникновение и надежное мошенничество. - и должны быть установлены системы обнаружения угроз.
ГРАНТ: Я хотел бы подчеркнуть концепцию безопасного жизненного цикла разработки программного обеспечения (SSDLC), которая просто добавляет слово «безопасный» к традиционному жизненному циклу разработки программного обеспечения. Безопасность необходимо учитывать на каждом этапе SDLC, от проектирования до разработки, тестирования и, наконец, развертывания. Такой целостный взгляд на безопасность с большей вероятностью приведет к тому, что приложения будут безопасными по своей сути, и их будет намного сложнее реконструировать и подделать, а это означает, что злоумышленники гораздо меньше способны найти эксплойты, что существенно снижает вероятность использования эксплойтов, наносящих ущерб репутации, и мошенничества.
ГРАНТ: Не за что.