Viimeisten 10 vuoden aikana pilvipalvelujen suosio on kasvanut voimakkaasti. Käytätte todennäköisesti samaa iCloudia, Google Disk tai Yandex.disk olla ottamatta paikkaa tietokoneeseen tai iPhoneen. Erityisen kätevä, että monet sovellukset mahdollistavat tietojen tallentamisen pilvessä. Mutta kuten se osoittautui, tällaiset sovellukset ovat usein tyhjiä, liittyvät näiden käyttäjien turvallisuuteen. Zimperium, joka on mukana matkaviestinnässä, havaitsi, että kymmeniä tuhansia iOS- ja Android-sovelluksia käyttää vääriä pilvipalveluasetuksia, joiden vuoksi käyttäjätiedot voivat ladata lähes mihin tahansa.
Tietoturvaasiantuntijat suorittivat automaattisen analyysin, joka oli yli 1,3 miljoonaa sovellusta Androidille ja iOS tunnistaa yhteiset virheelliset pilvi kokoonpanot, jotka avaavat käyttöoikeuden käyttöoikeuden. Tutkijat ovat löytäneet noin 84 000 Android-sovellusta ja lähes 47 000 iOS-sovellusta, jotka käyttävät julkisia pilvipalveluja, kuten Amazon Web Services, Google Cloud tai Microsoft Azure, eikä sen omia palvelimia. Näistä tutkijat paljastivat virheellisiä kokoonpanoja 14% ohjelmien kokonaismäärästä - Tämä on 11 877 hakemusta Androidille ja 6 608 iOS-sovellukselle. Sovellustiedot paljastavat käyttäjien, salasanojen ja jopa lääketieteellisten tietojen henkilökohtaiset tiedot, kirjoittaa langallinen.
Asiantuntijoiden mukaan monilla näistä sovelluksista on pilvinen arkisto, jota kehittäjä tai joku muu ei ole määrittänyt asianmukaisesti, ja tämän vuoksi käyttäjien käyttäjät näkyvät lähes kaikille.
Uusi sovelluksen haavoittuvuus App Storessa
Tutkijat valittivat useisiin sovellusten kehittäjille, joissa he löysivät pilvien haavoittuvuuksia, mutta niiden mukaan heidät vastasivat hyvin vähän, ja useimmat sovellukset käyttävät edelleen avoimia tietoja. Valitettavasti Zimperium ei soita haasteisiin sovelluksiin raportissaan. Lisäksi tutkijat eivät voi ilmoittaa kymmeniä tuhansia kehittäjille välittömästi.
Ne ovat katsoneet laaja valikoima: sovelluksista, joissa on useita tuhansia käyttäjiä ennen kuin useat miljoonat.
Yksi näistä sovelluksista on mobiili-lompakko yhtiöstä Fortune 500 -luettelosta, joka tarjoaa joitain tietoja käyttäjäyksiköistä ja taloudellisista tiedoista. Toinen esimerkki on kuljetusohjelma, jossa maksut tallennetaan avoimeen muotoon. Tutkijat havaitsivat myös avoimet lääketieteelliset sovellukset testituloksista ja jopa käyttäjän profiileista.
Yhtiö ei ole vielä pystynyt arvioimaan, ovatko hyökkääjät löytäneet asiantuntijoiden haavoittuvuudet. On kuitenkin huomattava, että ne ovat helppoja löytää samoja julkisesti saatavilla olevia tietoja, joita Zimperum käyttää tutkimuksessaan. Hakkeriryhmät ovat jo toteuttaneet tämäntyyppisen skannauksen etsimään virheellisiä pilvi-kokoonpanoja verkkopalveluissa. Lisäksi tutkijat havaitsivat, että jotkut virheelliset kokoonpanot mahdollistavat hyökkääjien muuttamisen tai korvaavat tiedot.
Myös aihe: iOS 14 hakkeroitu ja osoitti sen videota
Kuinka varmistaa tiedot?
Tärkeimmät pilvipalvelujen tarjoajat, kuten Amazon, ovat jo pyrkineet havaitsemaan mahdolliset virheelliset kokoonpanot ja estävät asiakkaita niistä, mutta vielä paljon riippuu kehittäjistä, koska on välttämätöntä poistaa nämä haavoittuvuudet.
Näyttää siltä, että monet palvelut, myös suuret, ovat vakavia ongelmia pilvitietojen turvallisuuden kanssa. Valitettavasti emme vielä tiedä tällaisten sovellusten erityisiä nimiä, mutta mielestäni nämä tiedot tulevat pian.