ESET משיקה בלוג חדש העוסק באפליקציות לא-בטוחות לאנדרואיד

ESET

"אפליקציות שפותחו באופן לא-בטוח, כאלה שמסכנות את הפרטיות או הכסף של משתמשיהן, הן בעיה הולכת וגדלה. מצד אחד, אפליקציות כאלה לא נכנסות לקטגוריה של נוזקות, ולכן פתרונות אבטחה שונים לא יכולים לחסום אותן. מצד שני, הסיכון שטמון בהן עדיין יכול להיות גדול מאוד", אומר לוקאש סטפנקו, אחד מחוקרי ESET העומד בראש הפרויקט.

הדוגמאות הטיפוסיות לסיכוני אבטחה באפליקציות כאלה נוגע בעיקר לנקודות תורפה באפליקציות עצמן או בצד השרת שלהן, בתקשורת לא-מוצפנת בין האפליקציה והשרת שלה, דליפה של מידע ונתונים רגישים, עקיפה של מנגנוני ההגנה של האפליקציה, הפעלה מרחוק של קוד ואף SQL Injection.

למעשה, הגנה מפני הסכנות שטמונות באפליקציות לא-בטוחות היא קשה בהרבה, למרות שהאיום שנובע מהסכנות האלה חמור באותה המידה. סקר שהעלה לוקאש סטפנקו בחשבון הטוויטר שלו העלה שמשתמשים רבים ערים לכך. מתוך 3,200 משתתפים, 78% חושבים שאפליקציות לא בטוחות מאיימות במידה רבה יותר על משתמשי המכשירים הניידים, בהשוואה ל-22% הנותרים שחושבים שנוזקות הן איום חמור יותר.

מכיוון שאי אפשר לחסום אפליקציות לא-בטוחות באמצעות פתרונות אבטחה, המשתמשים הם אלו שצריכים להגן על עצמם. הבעיה היא שלמשתמש הפשוט קשה להבדיל בין אפליקציה בטוחה לאפליקציה לא בטוחה. אין חוקים ברורים שניתן ללכת לפיהם, מכיוון שישנם הבדלים רבים מדי בין כל אפליקציה ואפליקציה ואי אפשר לקבוע קריטריונים או תבניות פשוטות שיהיה ניתן לפעול לפיהם.

מה שיכול לסייע במצב כזה הוא רמת חשד סבירה שמתבססת על ידע כללי בנוגע לאופן בו מפתחים אפליקציות, המודל העסקי של אפליקציות ועל מערכת אנדרואיד באופן כללי.

המטרה העיקרית של הבלוג החדש היא לתת למשתמשים מידע ותובנות כדי שיעשו את הבחירות הנכונות בנוגע לאפליקציות האנדרואיד שברשותם. הבלוג מזהיר את המשתמשים מפני אפליקציות לא-בטוחות ופרקטיקות פסולות שנהוגות בתעשייה, אך הוא מתוכנן כך שיסייע גם למפתחי האפליקציות עצמם.

"אנו מדווחים על הממצאים שלנו למפתח האפליקציה לפני שאנחנו מפרסמים אותם, יחד עם עצה שנוגעת לאופן תיקון התקלה. לאחר מכן אנחנו ממתינים לתיקון ומעריכים אותו כדי לראות האם זה פתר את הבעיה", מסביר לוקאש סטפנקו.
ניתן למצוא את בלוג החדש בכתובת androidappwatch.eset.com