:::

社論

【社論】APP曝資安危機 別把手機當麻吉

 近期以來,印度鑑於邊境情勢緊張,加上有愈來愈多官兵,經由網路管道,遭到敵國資訊人員情蒐,印軍安全部門乃要求,所有駐紮在邊界的部隊,必須刪除智慧型手機中微信、微博、UC瀏覽器、UC新聞及Truecaller等42款主要由大陸研製的手機應用軟體,確保資訊安全。

 智慧型手機的發明,以及行動網路服務的普及,大幅提升日常生活的便利性;行動上網的機動力,更成為工作上的利器,只要一機在手,隨處都是辦公室。然而,便利往往與安全成反比,行動App資訊安全的難以維護,已在許多實例中獲得證明。

 2015年《行動App資安狀態報告》即指出,大幅增加的App數量與市值,相較於整體產業在App資安防護所投入的成本,存在巨大落差。同年,一向被認為比Android安全、且有嚴格審核機制的Apple Store,竟也爆發嚴重的資安危機。有駭客透過軟體漏洞,將病毒置入App產品中,竟能通過Apple Store的資安檢測,造成成千上萬個 iOS App染毒,舉世震驚。

 資訊安全的重要性,正因現代人對網路的使用與依賴益增,咸為大眾關切的焦點。網路應用程式安全技術組織OWASP,每年皆會發布十大行動網路資安弱點,讓政府機關與社會大眾了解App的資安風險,進一步制定與部署行動App的資安標準,也讓大眾更為謹慎地使用App。今年行政院曾全面清查所屬部會機關建置的App,在144個應用軟體中,大多皆因軟體設計不當,而潛藏高度資安風險;完全沒有風險的軟體,竟只有20個。多個有問題的軟體,雖然立即被下架處置,卻也提醒我們,在大量使用行動網路服務的今日,對於行動資訊安全的認識,不可掉以輕心。

 由於商業特性考量,App的平均生命週期並不高。在瞬息萬變的市場環境中,開發時間必須大幅壓縮,標準與作業流程很難完備,更別說有餘裕地設計資訊安全性架構。在此一狀態下,除了很難吸引高階人才投入;開發App時需要使用的框架套件,以及新近的行動程式語言,皆無足夠的資安支援。此時若開發者本身資安意識不足,將加深App軟體本身資安風險。因此,App產品的資安檢測以及認證制度亟待落實,開發商也必須以更為嚴謹的標準進行作業。

 此外,由於App經常使用「行程間通訊」(IPC),也就是在服務進行中,不需經由使用者的確認同意,逕行對其他資訊目標,進行連結與溝通。如果App本身設計不佳,就很容易受到各種插入式攻擊(injection),或程式本身遭到纂改。而App在設計上,因為使用者長時間處在登入狀態,許多程序又是自動授權,且網路傳輸的連線與身分識別不嚴謹,因此許多儲存在App當中的資料,會在未經使用者察覺的情形下被轉出。

 當我們了解此一特性後,為免造成資安困擾,即應養成不在智慧型手機上,處理任何機敏的資料或工作的習慣。除了常見的社交媒體App之外,也要注意e-mail、來電辨識系統等通聯App的使用。此外,在安裝與開啟App前,也要確認手機是否裝有並啟用防毒軟體;下載App時,更要確認軟體名稱、版本以及下載位置。

 另一方面,下載並且完全於用戶端執行的App,很容易成為客戶端插入式攻擊的工具。在手機上App的複雜執行程序,反而可能為插入式攻擊,提供更強大的動能,及更直接的攻擊路徑。若App本身資安防護工作做得好,對主機端的系統安全負荷就小;反之若主機端的系統防護不足,則恐提供更直接入侵路徑,對惡意攻擊敞開大門。

 今年度OWASP即特別重視API伺服器資安控管的問題,因應當下開發環境與習慣,許多App已大量使用API,但其管理上,並未受到相對的重視,因此讓許多沒有受到完善保護的API,成為駭客攻擊的目標。在前端開發逐漸脫離後端概念的App浪潮下,我們必須了解,這些應用程式的資料來源,仍舊是主機端的伺服器。而在安全保障上,外門、內門並無區分,都同等重要!

 綜言之,當我們暫時擱下技術面,回到資訊數據本身來看,通過App讓我們「合法」提供給開發商的大數據,本身就是爭議的核心。畢竟資訊是系統與應用程式的目的,過去我們說誰掌握知識,誰就掌握權力;今日,或許應該思考的是,誰掌握了數據,誰就掌握了權力。在大眾習慣於擔心數據被本地的開發商掌握時,卻不知我們的數據正心悅誠服地上繳Apple、Google、Facebook、Line、WeChat等國際巨人。龐大的數據只要搭配時間與地理參數,許許多多的國安機密資訊,都能被推敲出來,或許這才是更重大的資安危機。

友善列印

相關新聞

熱門新聞