Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate
Iniezione indiretta di prompt: a rischio le informazioni aziendali
Dark Telegram in ritirata: aumentano le chiusure dei canali clandestini
PickleScan, scoperti tre bug 0-day che permettono di iniettare payload malevoli nei modelli ML

Troppi componenti sensibili nelle app Android

Gen 17, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Molti sviluppatori inseriscono nel codice delle app le chiavi per accedere a servizi di terze parti. In molti casi, però, è possibile estrarle e usarle.

L’interazione tra app e servizi diversi è senza dubbio un valore aggiunto, ma la loro implementazione rischia di creare qualche problema sotto il profilo della sicurezza.

L’ammonimento rivolto agli sviluppatori arriva da Fallible, che ha recentemente sviluppato uno strumento online di reverse engineering che consente di dare un’occhiata ai componenti delle app Android.

Il tool, stando a quanto si legge nel loro post, era stato creato per soddisfare un’esigenza interna, ma i ricercatori avevano deciso poi di renderlo disponibile a tutti.

Nel corso degli ultimi 3 mesi è stato utilizzato per “disassemblare” la bellezza di 16.000 app. Dando un’occhiata ai risultati delle analisi, i ricercatori si sono resi conto che una bella fetta delle applicazioni analizzate (circa 2.500) contenevano chiavi o informazioni sensibili di terze parti.

I ricercatori di Fallible hanno stilato una classifica dei servizi che, in qualche modo, rischiano di vedersi esposti a causa dell’utilizzo di chiavi o componenti riservati.

In molti casi si tratterebbe di componenti innocue, o comunque indispensabili per garantire un corretto funzionamento.

In alcune app (304, per la precisione) però, nel codice sarebbero inserite chiavi e componenti che, se estratte, creerebbero qualche problema a livello di sicurezza per i gestori dei servizi a cui fanno riferimento.

Il suggerimento dei ricercatori di Fallible agli sviluppatori, in definitiva, è di valutare con attenzione caso per caso se sia effettivamente indispensabile inserire elementi del genere.

Condividi l'articolo