說到App安全漏洞，大家并不陌生，網(wǎng)上關(guān)于App安全漏洞、用戶信息泄露的新聞層出不窮。安全就像空氣，雖然看不見摸不著，一旦出現(xiàn)安全問題沒有及時(shí)修復(fù)，對于企業(yè)來說將是致命傷害。接下來火貓君就帶你來看看App在安全性上可能存在的風(fēng)險(xiǎn)有哪些？

 一、弱服務(wù)器端控件

在移動(dòng)設(shè)備之外，應(yīng)用程序和用戶之間的通信是通過服務(wù)器進(jìn)行的，這些服務(wù)器是全世界黑客的主要攻擊目標(biāo)，服務(wù)器漏洞背后的主要原因是因?yàn)橛袝r(shí)開發(fā)人員忽略了必要的服務(wù)器端安全性考慮。或者用于安全防護(hù)預(yù)算不足、系統(tǒng)差異等都有可能造成安全漏洞。

二、缺乏二進(jìn)制保護(hù)

如果一個(gè)移動(dòng)應(yīng)用程序缺乏二進(jìn)制保護(hù)，任何黑客或?qū)κ侄伎梢暂p松地利用反編譯工具向應(yīng)用中插入廣告代碼與相關(guān)配置，他們也可以在第三方應(yīng)用市場、論壇重新發(fā)布盜版應(yīng)用程序。

這種行為不僅會(huì)造成數(shù)據(jù)泄露，危害產(chǎn)品和用戶利益，同時(shí)也會(huì)影響到企業(yè)的品牌口碑。為避免這種情況，部署二進(jìn)制強(qiáng)化過程很重要。

在二進(jìn)制強(qiáng)化下，二進(jìn)制文件將被分析并相應(yīng)地修改，以保護(hù)它們免受常見的移動(dòng)應(yīng)用程序安全威脅，同時(shí)也允許在不需要源代碼的情況下修復(fù)遺留代碼本身中的漏洞。

三、數(shù)據(jù)存儲安全

另一個(gè)常見的移動(dòng)應(yīng)用安全漏洞是缺乏安全的數(shù)據(jù)存儲系統(tǒng)，開發(fā)人員通常依靠客戶端存儲來獲取內(nèi)部數(shù)據(jù)，然而在競爭對手獲取移動(dòng)設(shè)備的情況下，這些內(nèi)部數(shù)據(jù)可以非常容易地訪問、使用或操縱。這可能導(dǎo)致身份盜用，聲譽(yù)受損和外部政策違規(guī)(PCI)，跨平臺保護(hù)數(shù)據(jù)存儲的最佳方法是通過操作系統(tǒng)提供的基本級別加密構(gòu)建額外的加密層，能夠極大地提高數(shù)據(jù)安全性，并減少對默認(rèn)加密的依賴。

四、傳輸層保護(hù)不足

傳輸層是在客戶端和服務(wù)器之間進(jìn)行數(shù)據(jù)傳輸?shù)耐緩剑绻藭r(shí)沒有引入適當(dāng)?shù)囊苿?dòng)應(yīng)用安全標(biāo)準(zhǔn)，任何黑客都可以訪問內(nèi)部數(shù)據(jù)，竊取或修改它，這會(huì)導(dǎo)致身份盜竊和詐騙等威脅。

為了加強(qiáng)傳輸層安全性，可以在iOS和Android應(yīng)用程序中加入SSL固定。除此之外，還可以使用行業(yè)標(biāo)準(zhǔn)的密碼套件代替常規(guī)的密碼套件。

五、數(shù)據(jù)泄漏

當(dāng)關(guān)鍵的移動(dòng)應(yīng)用程序存儲在移動(dòng)設(shè)備上易受攻擊的位置時(shí)，就會(huì)發(fā)生意外數(shù)據(jù)泄漏。例如：一個(gè)應(yīng)用程序被存儲在可以被其他應(yīng)用程序或設(shè)備訪問的地方，這最終會(huì)導(dǎo)致應(yīng)用程序的數(shù)據(jù)泄露和未經(jīng)授權(quán)的數(shù)據(jù)使用。監(jiān)控常見的數(shù)據(jù)泄露點(diǎn)，如日志、應(yīng)用后臺、緩存、本地存儲等。

關(guān)注火貓網(wǎng)絡(luò)，一個(gè)帶你看透互聯(lián)網(wǎng)的開發(fā)者。