Η Check Point Research (CPR) objevil citlivá data v mobilní aplikace nechráněné a dostupné komukoli s a Prohlížeč.
Ψukazující na „VirusTotal", CPR našel 2.113 XNUMX mobilních aplikací, jehož databáze v mrak byly nechráněné a vystavené, to vše během tříměsíční výzkumné studie. Mobilní aplikace se pohybovaly od 10.000 10.000.000+ stažení až XNUMX XNUMX XNUMX+ stažení.
Η Check Point Research (CPR) zjistili, že citlivá data řady mobilních aplikací byla odhalena a dostupná komukoli, kdo má prohlížeč. The VirusTotal, přidružená společnost Google, je bezplatný online nástroj, který analyzuje soubory a adresy URL za účelem zjišťování virů, trojských koní a dalších forem malwaru.
Citlivá data, která odhalil CPR zahrnuta: osobní rodinné fotografie, ID kupónů ve zdravotnické aplikaci, data z platforem pro výměnu kryptoměn A mnohem víc. CPR poskytuje několik příkladů aplikací, jejichž data byla shledána vystavena.
U jednoho z nich bylo zjištěno, že KPR je vystaveno více než 50.000 XNUMX soukromých zpráv z oblíbené seznamovací aplikace. THE CPR varuje před tím, jak snadno může dojít k porušení dat prostřednictvím popsané metody a co mohou vývojáři cloudového zabezpečení udělat pro lepší ochranu svých aplikací. Aby se předešlo zneužití, CPR v současné době neuvádí názvy mobilních aplikací zapojených do vyšetřování.
Metodika přístupu
Pro přístup k exponovaným databázím je metodika jednoduchá:
- Vyhledejte mobilní aplikace, které komunikují s cloudovými službami na VirusTotal
- Archivujte ty, které mají přímý přístup k datům
- Procházejte odkaz, který jste obdrželi
Komentář: Lotem Finkelsteen, vedoucí zpravodajství a výzkumu hrozeb ve společnosti Check Point Software:
Hacker se může zeptat VirusTotal úplná cesta ke cloudovému backendu mobilní aplikace. Sami sdílíme některé příklady toho, co bychom tam mohli najít. Vše, co jsme našli, je dostupné komukoli. Konečně tímto výzkumem dokazujeme, jak snadno může dojít k narušení nebo zneužití dat.
Množství dat, která jsou otevřená a dostupná komukoli v cloudu, je šílené. Zlomit je mnohem snazší, než si myslíme.
Jak zůstat v bezpečí:
Zde je několik tipů, jak zajistit, aby byly vaše různé cloudové služby bezpečné:
Amazon Web Services
Zabezpečení AWS CloudGuard S3 Bucket
Specifické pravidlo: „Zajistěte, aby kbelíky S3 nebyly veřejně přístupné“ ID pravidla: D9.AWS.NET.06
Specifické pravidlo: "Ujistěte se, že kbelíky S3 nejsou přístupné široké veřejnosti." ID pravidla: D9.AWS.NET.06
Google Cloud Platform
Zajistěte, aby databáze Cloud Storage DB nebyla anonymně nebo veřejně přístupná ID pravidla: D9.GCP.IAM.09
Ujistěte se, že databáze cloudového úložiště není anonymní nebo veřejně přístupná ID pravidla: D9.GCP.IAM.09
Microsoft Azure
Ujistěte se, že výchozí pravidlo přístupu k síti pro účty úložiště je nastaveno tak, aby odmítalo ID pravidla: D9.AZU.NET.24
Ujistěte se, že výchozí pravidlo síťového přístupu pro účty úložiště je nastaveno na odmítnutí ID pravidla D9.AZU.NET.24
tisková zpráva
Nezapomeňte se jím řídit Xiaomi-miui.gr na zprávy Google abyste byli okamžitě informováni o všech našich nových článcích! Můžete také, pokud používáte RSS čtečku, přidat naši stránku do svého seznamu jednoduše kliknutím na tento odkaz >> https://news.xiaomi-miui.gr/feed/gn
