практика организация и управление
Безопасность мобильного банкинга: защита от «краж по воздуху»
Исследовательский центр Digital Security проводит независимый анализ безопасности приложений для мобильного банкинга (МБ) российских кредитных организаций. Тема последнего исследования - «Безопасность мобильного банкинга: возможность реализации атаки MitM». Было проанализировано примерно по 60 приложений МБ крупнейших российских банков для двух основных операционных систем - Android и iOS. Результаты исследования приведены в статье.
д. а. евдокимов, директор исследовательского центра Digital Security
У
некоторых специалистов по банковской безопасности в
России существует мнение, что мобильный банкинг еще не заслужил такого внимания, как, например, системы дистанционно банковского обслуживания (ДБО). Основным аргументом служит тот факт, что по мобильному банкингу проходит пока очень мало финансовых средств, и поэтому, дескать, злоумышленников МБ не привлекает. Заметим кстати, что Банк России не делает различий между системами ДБО и МБ и в настоящее время регулятор разрабатывает рекомендации по безопасному циклу автоматизированных банковских систем (АБС).
Злоумышленникам неважно, какой объем трансакций совершается ежедневно в приложениях для мобильного банкинга. Пусть даже пользователи всего лишь кладут деньги на свой счет для оплаты услуг оператора связи. Важно то, что через уязвимости в приложении можно получить доступ к счету, где хранятся деньги. Достаточно взломать счет крупного клиента, чтобы оказать существенное влияние на всю деятельность финансовой организации,
нанести значительный денежный и репутационный урон.
Тем, кто считает, что нужно уделять больше внимания ДБО, а не МБ, стоит знать, что эти системы взаимосвязаны. Не раз мы убеждались в этом на практике в ходе тестирования на проникновение и аудита. Удавалось обнаруживать уязвимости и вспомогательную информацию в системах МБ, которую в дальнейшем можно использовать для атак на ДБО. И вообще следует помнить о том, что популярность мобильного банкинга стремительно растет. В дальнейшем проблемы, связанные с его использованием, будут все более актуальными.
Проблемы
мобильного банкинга
Организационные трудности. В своих технических заданиях заказчики часто просто игнорируют пункты, связанные с мобильной безопасностью или ограничиваются общими пожеланиями, что с практической точки зрения бесполезно. Понятно, что в банках нет отдельных специалистов по мобильной безопасности со знанием платформ iOS, Android или
WindowsPhone. А как известно, механизмы безопасности надо закладывать сразу в архитектуру и думать на всех стадиях разработки, как сохранить деньги в будущем. В разговорах с разработчиками выясняется, откуда берутся многие уязвимости в МБ. К примеру, при создании приложений клиентскую часть «пишет» одна компания, а серверную - другая. Наладить взаимодействие между ними не всегда возможно. Банки часто не могут предоставить оптимальную тестовую среду для разработки клиентской части, что тоже ведет к появлению различных ошибок. К сожалению, далеко не у всех присутствует процесс SDL, что тоже ведет к уязвимости МБ.
Проблема избыточности приложений. Зачастую приложения для МБ снабжаются избыточными функциями, которые служат для работы с различными социальными сетями, сервисами файлов, заметок и т. д. Это делается для того, чтобы создать более интересный и привлекательный для клиентов продукт. Между тем увеличение числа функций повышает не только сложность приложения, но и вероятность возникновения оши-
I 70 I БАНКОВСКОЕ ДЕЛО I №8 2014
бок: реализация атак за счет «связки» со сторонними сервисами становится проще.
Проблема хранения данных. Мобильные устройства ежедневно преодолевают большие расстояния в карманах своих владельцев. Находясь в офисе или в кафе, можно легко потерять или просто на время упустить из виду свой телефон или смартфон. А они могут очень многое сказать о владельцах. Так что проблема хранения данных на мобильных устройствах - одна из самых важных.
Проблема работы в недоверенной среде. Порой пользователи сами ставят свои устройства под угрозу, открывая root-доступ на своем Android-устройстве или устанавливая jailbreak на iOS-устройство. При этом они чаще всего не понимают, что при получении различных бесплатных «бонусов» встроенные механизмы безопасности ОС частично или полностью отключаются, из-за чего увеличивается вероятность заражения устройства вредоносным кодом и реализации успешной атаки злоумышленником.
Опыт показывает, что лишь несколько приложений для МБ, используемых в России, проверяют, в каком состоянии находится мобильное устройство - есть ли там jailbreak или root-доступ. Затем они выводят сообщение об этом на экран, информируя пользователя. И если ранее такое приложение отказывалось работать на подозрительном устройстве, то теперь оно просто вносит определенный лимит на проводимые операции.
Проблема многофакторной аутентификации. В классической системе ДБО сообщение часто приходит в виде SMS на телефон, и пользователь таким образом подтверждает проведение трансакции. В случае мобильного банкинга сообщения приходят /вводятся на одно устройство. И если есть вирус, что особенно актуально для Android-устройств, вредоносное программное обеспечение (ПО) может перехватывать SMS-сообщения.
В среде МБ распространены следующие этапы многофакторной аутентификации: SMS-
сообщения с одноразовым паролем (англ. One Time Password, OTP), таблицы одноразовых кодов, специальные мобильные приложения для генерации OTP на устройстве, биометрическая аутентификация. К сожалению, все они имеют один большой общий недостаток - приходят /вводятся на то же устройство и передаются по тому же каналу передачи данных, которые может контролировать вредоносное ПО или злоумышленник при MiTM-атаке. Поэтому особое внимание необходимо уделять существованию второго канала передачи данных.
Проблема распространения приложений. Она касается только мобильных ОС со множеством магазинов приложений. И в первую очередь операционной системы Android, для которой существует огромное число магазинов, часть из них установлена по умолчанию. В итоге в одном магазине может содержаться легитимное приложение, а в другом - его модифицированная вредоносная версия. Также встречаются неофициальные приложения для банков, которые часто представляют собой «обертки» интернет-сайтов. Рекомендуем использовать только официальные приложения.
Проблема защиты кода. Деоб-фускация (раскрытие) кода встре-
ПРАКТИКА
чается в Android-приложениях. В iOS она абсолютно отсутствует. Аналогичная ситуация и с антиотладочными техниками.
Проблема защиты канала передачи данных. Мобильные устройства хороши тем, что обеспечивают свободу передвижения и выбора места подключения к сети. Кафе, рестораны, торговые центры, кинотеатры, общественный транспорт и даже парки предлагают нам свободные WiFi-точки доступа на выбор. Что может произойти при использовании таких каналов передачи данных? Об этом ниже.
MitM-атака: сценарии и последствия
В ходе исследования, посвященного безопасности МБ, основное внимание было сосредоточено на уязвимости, связанной с недостаточной защитой транспортного уровня или ее отсутствием. В исследовании OWASP Mobile Security Project - Top Ten Mobile Risks эта проблема занимает 3-е место. Эту опаснейшую атаку особенно легко произвести именно на мобильном устройстве. Поэтому данная проблема чрезвычайно важна и требует быстрого решения. Данные этого исследования применимы не только к МБ, но и к другим приложениям, требующим
Рис. 1. Подключение к поддельной базовой станции оператора
J i77
Устройства при попытке подключения к банку перенаправляются DNS на сайт злоумышленника
№8 2014 I БАНКОВСКОЕ ДЕЛО I 71 I
ПРАКТИКА организация и управление
Рис. 2. Подключение через зараженное сетевое оборудование Вредоносный сайт
Вредоносный код попадает во внутреннюю сеть и меняет настройки DNS на роутере
высокого уровня безопасности. Также некоторые из упомянутых техник применимы к программному обеспечению для стандартного персонального компьютера.
Проверка возможности реализации МйМ-атаки была выбрана не случайно: при контролировании канала передачи данных между приложением МБ и сервером злоумышленник может украсть деньги со счета клиента, т. е. нанести прямой финансовый ущерб.
Основные сценарии МйМ-атаки следующие.
■ Подключение пользователя к поддельной Т1-точке доступа. Это самый распространенный и реальный сценарий МйМ-атаки. Может произойти в любом общественном месте.
■ Подключение к поддельной базовой станции оператора (рис. 1). Эта схема становится все более доступной благодаря широкому выбору аппаратного и программного обеспечения и его низкой стоимости -ситуацию необходимо взять под контроль как можно быстрее.
■ Использование зараженного сетевого оборудования (рис. 2). Под этим понимается не только исполнение на нем вредоносного кода, но и целенаправленное злонамеренное изменение его конфигурации, например через уязвимость (уже известно немало примеров реализации подобных атак).
Специфика работы мобильных устройств с WiFi-сетями
Особенности МБ при работе с WiFi-сетями:
■ автоматическое подсоединение к известным WiFi-сетям (на основе PNL, Preferred Network List);
■ не везде можно отключить или сконфигурировать каким-либо простым способом;
■ если известных сетей несколько, то выбор подключения у каждой ОС свой;
■ идентификация сети происходит на основании SSID (имени сети) и настроек безопасности;
■ злоумышленник может развернуть собственную WiFi-сеть, полностью идентичную известной сети для мобильного устройства. В результате устройство автоматически подсоединится к такой точке доступа и будет работать через нее. Такая схема и отсутствие простого управления доверенными сетями упрощает реализацию MitM-атаки для злоумышленника.
Возможные последствия MitM-атаки:
■ кража денежных средств со счетов клиента;
■ раскрытие информации о счетах клиента и его прошлых операциях;
■ просмотр данных о текущей операции клиента;
■ отказ в обслуживании клиента.
Об
Для дальнейшего прочтения статьи необходимо приобрести полный текст. Статьи высылаются в формате PDF на указанную при оплате почту. Время доставки составляет менее 10 минут. Стоимость одной статьи — 150 рублей.