Проект "ИТ-Защита"

Мобильные приложения могут быть развернуты с использованием архитектуры толстый клиент (приложение, обеспечивающее расширенную функциональность независимо от центрального сервера), или тонкий клиент (программа-клиент в сетях с клиент-серверной или терминальной архитектурой, который переносит все или большую часть задач по обработке информации на сервер). Выбор типа приложения («толстого» или «тонкого»), зависит от его сложности, используемого устройства, сферы применения, а также наличия или отсутствия сетевого подключения.

Возрастающее применение мобильных информационных технологий вывело вопрос безопасности данных в мобильных устройствах на новый уровень. А так как приложения в смартфонах и других подобных им гаджетах используются не только на потребительском уровне, но и на корпоративном, то безопасность мобильных приложений обращает к себе все более пристальные взгляды и новые решения. Проблемы реализации хранилищ данных и их передачи можно считать самыми важными среди проблем безопасности приложений на смартфонах, потому что две эти проблемы представляют максимальный риск как для индивидуальных пользователей, так и для корпоративных. Несмотря на то, что есть множество атак инъекционного типа, которые проводятся с прицелом на API (Application Programming Interface (англ.) – интерфейс для программирования приложений) и недостатки при организации памяти, глубина такой атаки опирается на скомпрометированный сервер или на не безопасный обмен данными, дающий злоумышленнику возможность манипулирования обменом данными со смартфоном. Средства безопасности, предустановленные в операционной системе создают все больше и больше препятствий, необходимых для преодоления того чтобы атака завершилась успехом, и нарушитель политики безопасности получил доступ к использованию недостатков в организации памяти в устройстве. На практике эти недостатки в сторонних приложениях не несут в себе огромного риска для платформы в целом, до тех пор, пока они не будут скомбинированы с уязвимостями самой ОС.

В последнее время количество мобильных приложения под Андроид множится "ударными темпами". И поэтому привередливому пользователю уже трудно
угодить. Но мы постараемся выделить несколько мобильных приложений "из последнего улова". Итак, советуем обратить внимание на
LEO Privacy Guard.

Угрозы и уязвимости мобильных приложений
В современном мире организации и физические лица все больше полагаются на мобильные программные приложения для поддержки своих критически важных деловых инициатив. Это означает, что защищенность мобильных приложений должна быть главным приоритетом стратегии безопасности бизнес – процессов организаций и частных лиц, использующих технологию мобильных транзакций, включая банковскую.

С ростом популярности разработки мобильных приложений, повышается их капиталоёмкость, а вместе с этим и желание злоумышленников перевести эти капиталы на свои счета. Многие современные мобильные программы предполагают внутренние покупки, а также отправку SMS на платные номера, именно эти лазейки могут использовать хакеры. Одно дело, сколько стоит создание мобильного приложения, а другое – сколько будет стоить сделать его безопасным. Механизмов взлома и вытаскивания денег из мобильных устройств чрезвычайно много, каждый год появляются новые алгоритмы, но вместе с тем растёт и сила противодействия, способная своевременно бороться с угрозами. В наименьшей степени этим тенденциям подвержены закрытые системы, в частности IOS, поскольку архитектура её выполнена так, что в ней практически невозможно появление вирусов.

Стандарт/технология Wi-Fi для для широкополосных беспроводных сетей связи разработан на основе телекоммуникационного стандарта IEEE 802.11 (англ. Institute of Electrical and Electronics Engineers) [5]. Изначально технология Wi-Fi была ориентирована на организацию точек быстрого доступа в Интернет (hotspot) для мобильных пользователей. Преимущества беспроводного доступа очевидны, а технология Wi-Fi изначально стала стандартом, которого придерживаются производители мобильных устройств. Постепенно сети Wi-Fi стали использовать малые и крупные офисы для организации внутренних сетей и подсетей, а операторы создавать собственную инфраструктуру предоставления беспроводного доступа в Интернет на основе технологии Wi-Fi. Таким образом, в настоящее время сети Wi-Fi распространены повсеместно и зачастую имеют зоны покрытия целых районов города.

Сети сотовой связи стандарта GSM.

В Европе принят единый стандарт для систем мобильной связи GSM (groupe special mobile, второе поколение мобильных средств связи). GSM использует диапазоны 900 и 1800 МГц. Это довольно сложный стандарт, его описание занимает около 5000 страниц. Идеологически система имеет много общего с ISDN (например, переадресацию вызовов). GSM имеет 200 полнодуплексных каналов на ячейку, с полосой частот 200 кГц, что позволяет ей обеспечить пропускную способность 270,833 бит/с на канал. Каждый из 124 частотных каналов делится в GSM между восемью пользователями (мультиплексирование по времени). Теоретически в каждой ячейке может существовать 992 канала, на практике многие из них недоступны из-за интерференции с соседними ячейками.

Есть два базовых подхода к управлению мобильными устройствами: использование возможностей сервера обмена сообщениями (часто от того же производителя, что и устройства) или использование стороннего продукта, который разработан для управления несколькими марками устройств. У типичного решения достаточно простая клиент-серверная архитектура. В организации установлен один или несколько серверов, обеспечивающих централизованное управление, а на все мобильные устройства устанавливаются клиенты, которые настраиваются для постоянной работы в фоновом режиме. Если устройство выдано организацией, клиентское приложение обычно управляет конфигурацией и безопасностью всего устройства (режим управления мобильными устройствами, MDM). Если устройство принадлежит сотруднику, то клиентское приложение управляет только конфигурацией и безопасностью самого приложения и корпоративных данных (режим управления мобильными приложениями, MAM). Клиентское приложение и корпоративные данные изолированы от прочих приложений и данных устройства, помогая сохранить конфиденциальность как корпоративных данных, так и личного контента пользователя. Централизованное управление мобильными устройствами может задействовать другие корпоративные службы, такие как доменные службы аутентификации и VPN. Если в организации отсутствует централизованное решение или некоторые мобильные устройства несовместимы с ним, тогда устройствами приходится управлять вручную. Мобильные устройства часто не предоставляют возможности строго настроить средства безопасности, как это делают клиентские приложения централизованных устройств. Например, мобильные устройства часто поддерживают только простой пароль для аутентификации и не поддерживают надежного шифрования хранилища. Это потребует приобретения, установки, настройки и поддержки целого перечня сторонних приложений, чтобы компенсировать недостающий функционал. Управление устройством, физически не находящимся в стенах организации, может оказаться невозможным. Можно установить утилиты для удаленного управления устройствами, но это потребует значительно больше сил для ручного обновления ПО и прочей технической поддержки мобильных устройств, находящихся вне офиса.