Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Fantasy Hub: scoperto un nuovo RAT Android che prende il controllo totale del dispositivo
Torna GlassWorm, il primo worm che colpisce le estensioni di VS Code
Knownsec colpita da un catastrofico breach: esposti oltre 12.000 documenti sensibili
CERT-AGID 1–7 novembre: phishing su Banca d’Italia e Agenzia delle Entrate
In aumento gli attacchi russi e lo spionaggio contro Ucraina ed Europa. Il report di ESET

Le app per smartphone sono piene di falle di sicurezza

Giu 24, 2019 Marco Schiaffino Gestione dati, In evidenza, News, RSS, Vulnerabilità 0

Prima di installare una nuova app pensiamoci bene. Ci sono buone probabilità che apra una voragine a livello di sicurezza.

La strada per avere app sicure sui nostri dispositivi mobile è ancora lunga e accidentata. A confermarlo, oltre alla cronaca, è una ricerca pubblicata da Positive Technologies che mette in fila una serie di dati piuttosto inquietanti.

Partiamo dal dato più generico: secondo gli autori dello studio, che hanno analizzato in profondità 17 applicazioni per dispositivi mobile, ci sono falle ad alto rischio nel 43% delle applicazioni Android e nell 38% di quelle per iOS.

I problemi relativi alla sicurezza sono di varia natura, ma il più comune è quello relativo a una carenza di sicurezza nella gestione dei dati memorizzati, tra cui il più rilevante riguarda la pessima abitudine di registrare i PIN di accesso sul dispositivo al posto che sui server.

Anche la sicurezza nelle connessioni non raggiunge livelli eccelsi. Nel report si spiega che il 38% delle app per Android e il 22% di quelle per iOS utilizzano connessioni che non soddisfano criteri di sicurezza.

Le carenze sono rilevanti anche in altri ambiti, come la protezione dagli attacchi di Brute Forcing o l’attenzione per evitare di memorizzare informazioni sensibili nel codice delle app.

A livello di gravità, però, c’è di molto peggio. L’uso degli snapshots, cioè la registrazione dello stato di un’applicazione che viene normalmente eseguita quando l’utente passa a un’altra app, viene gestito in maniera piuttosto approssimativa dalla maggior parte degli sviluppatori.

In particolare, nel 65% dei casi nessuno si preoccupa di escludere informazioni sensibili (come il numero di carta di credito) da queste “immagini”.

E fin qui ci siamo occupati solo del “lato client”. Quando si passa alla gestione dei dati “lato server”, le cose non vanno molto meglio.

I maggiori problemi sono rappresentati dalle vulnerabilità cross-site scripting (XSS), seguite dagli errori nelle configurazioni dei server stessi, che in molti casi consentono di rubare informazioni utili per sottrarre le credenziali di accesso ai servizi.

Insomma, gli sviluppatori delle app mobile, secondo gli esperti di Positive Technologies, hanno ancora parecchia strada da fare per imparare a sviluppare applicazioni che corrispondano al concetto di “secure by design”.

Chi le utilizza, invece, dovrebbe semplicemente tenere presente che queste falle dovrebbero far scattare un campanello di allarme ogni volta che un’applicazione sul nostro smartphone ci chiede l’accesso a informazioni in qualche modo sensibili. Forse, prima di concedere il permesso, è meglio pensarci due volte.

Condividi l'articolo