Апликации с милиони сваляния за Android и iOS излагат в открит вид записи за вписване в AWS и Azure

Доклад на компанията за сигурност Symantec разкрива лоши практики на разработчиците на мобилни приложения, които може да доведат до кражба на данни. Специалистите са анализирали кода на множество апликации, както в Play Store, така и в App Store. Някои от тези мобилни апликации са с над 5 000 000 сваляния.

Оказва се, че много разработчици оставят в изходния код на приложението тайни, като записи за вписване в Amazon Web Services (AWS) и Microsoft Azure. Тези данни са в открит вид, незащитени и некриптирани. Свободният достъп на хакери до тях може да доведе до сериозни пробиви, кражбата на информация, компрометиране на бекенд инфраструктурата. Причината, поради която тези записи са оставени в кодовата база на апликацията се дължи на лоши практики и грешки в разработката.

„Тази опасна практика означава, че всеки, който има достъп до изпълнимия файл или изходния код може да ги извлече. Той ще може да извлича информация, която да доведе до сериозни пробиви в сигурността“, пишат Symantec.

Апликация за Android с името Pic Stitch: Collage Maker е с вградени данни за облачния акаунт на разработчика в Amazon. При определени условия (ако булевата стойност е true) се зареждат продуктовите кредитиви, записите за вписване в Amazon S3 акаунта, тайните ключове и тези, даващи възможност за достъп и писане. Pic Stitch: Collage Maker има над 5 000 000 сваляния в Play Store.

Друго приложение – Crumbl (над 3.9 млн. сваляния) излага в открит вид ключовете за достъп и тайния ключ. С тяхна помощ се конфигурират използваните услуги в AWS. Eureka: Earn Money for Surveys (iOS) съхранява в открит вид същата информация, като Crumbl. Те служат за изпращане на запис на събитията към AWS. Това излага на риск критично важни ресурси в AWS.

Освен допълнителен анализ на апликациите, от Symantec посочват и конкретни предпазни мерки и практики, които разработчиците да следват. Пълният текст на проучването може да намерите тук.