Add Thesis

Sicherheitsanalyse von mobilen Geschäftsanwendungen

Written by Christian Liebig

Paper category

Master Thesis

Subject

Computer Science

Year

2014

Abstract

Masterarbeit: Angriffsvektoren in mobilen Geschäftsanwendungen Dieses Kapitel behandelt Angriffsvektoren in mobilen Geschäftsanwendungen. Dazu wird zunächst das Ziel möglicher Angreifer im Kontext der Geschäftsanwendung detailliert beschrieben und auf dieser Basis verschiedene Angriffsbereiche im Android-Anwendungsumfeld vorgestellt. 3.1 Motivation von Angreifern Der Angriff auf Geschäftsanwendungen auf mobilen Geräten kann unterschiedliche Motivationen haben und auf Arten ausgeführt werden. Mögliche Motive können beispielsweise sein: • Informationen über das Unternehmen sammeln: Die Motivation für einen Angriff kann darin bestehen, Informationen über das Unternehmen zu erhalten. Dies kann {wie bereits beschrieben{ jede Form von Dokument sein, das finanzielle oder strategische Informationen enthält. Dies können auch weniger wichtige Informationen sein, wie Abteilungsnamen, Mitarbeiternamen sowie deren E-Mail-Adressen und interne Telefonnummern. • Daten manipulieren: Ziel des Angriffs kann auch sein, gezielt Informationen zu manipulieren, beispielsweise dem Unternehmen zu schaden • Informationen über Smartphone-Nutzer sammeln: Der Angreifer kann auch daran interessiert sein, gezielt Informationen über Smartphone-Nutzer zu sammeln, dabei auch daran interessiert, Informationen über seine Arbeit im Unternehmen zu sammeln. Heutige Smartphones verfügen meist über komplexe Hardwaregeräte, die von Angreifern zu diesem Zweck genutzt werden können: GPS-Sender, mit denen Nutzer geortet und damit Bewegungsprofile erstellt werden, Kameras, um heimlich die Umgebung der Nutzer zu fotografieren, Telefonmikrofone oder das Mikrofon der Freisprechanlage dient zum Abhören von Smartphone-Nutzern und ihrer Umgebung. Angreifer können an Kommunikationsbeziehungen in Form von E-Mails, SMS oder Telefonaten interessiert sein, weil sie auf der Suche nach einem guten wirtschaftlichen Nutzen Einblick in die Arbeit des Benutzers und die Kommunikation mit Kollegen und Kunden gewinnen können: Denkbar ist es am Ende auch dass der Zweck des Angreifers darin besteht, wirtschaftliche Vorteile durch Manipulation von Transaktionen zu erzielen. 3.2 Übersicht möglicher Angriffssektoren In diesem Abschnitt sollen mögliche Angriffssektoren betrachtet werden, die durch die oben genannten Prinzipien verursacht werden, insbesondere die oben genannten Angriffsziele. Die hier aufgeführten Angriffsvektoren sind nicht allumfassend zu verstehen, sondern sollen die Angriffsvektoren dieser Arbeit definieren. Angriffsvektoren sind auf sehr unterschiedlichen Ebenen zu finden. 3.3 Angriffsvektor-Anwendungen Android-Anwendungen haben viele verschiedene Angriffsvektoren, unter anderem deshalb, weil die Anwendungen in Android nicht nur mit Java mit dem Android SDK entwickelt werden dürfen (siehe Abschnitt 2.2). Klassische Angriffsvektoren, die aus dem Desktop-Bereich bekannt sind, sind auch auf mobile Anwendungen anwendbar, wie die Ausnutzung von Bus-Überstrom-Schwachstellen20, deren Zweck es ist, Programmierfehler im Zusammenhang mit der Speicherverwaltung zum Einschleusen von Code auszunutzen, oder SQL-Injection-Angriffe zur Manipulation von Datenbankabfragen. Die Pufferüberlauf-Schwachstelle hängt insbesondere mit der Programmiersprache zusammen, die vom Entwickler verwendet wird, um den in der Anwendung verwendeten Speicher zu verwalten.Beispielsweise in C/C++, also etwa Android, insbesondere der Anwendungs-/Anwendungsteil,der mit dem Android-NDK geschrieben wurde (siehe Abschnitt 2.2) ). Andererseits beziehen sich SQL-Injection-Angriffe auf alle Anwendungen, die auf die Datenbank zugreifen, unabhängig von der verwendeten Programmiersprache. Wenn alle externen Anwendungen freigegeben werden, kann dies zu einer gefährlichen Schwachstelle und einem Einstiegspunkt für Angreifer werden. Der Vollständigkeit halber wird diese Angriffsform hier erwähnt, aber in diesem Artikel nicht weiter diskutiert. Der interessierte Leser kann beispielsweise auf [7], [10] verweisen, die ausführlich die Schwachstellen diskutiert haben, die auf die Interprozesskommunikation zurückzuführen sind. [11] beschreibt auch viele andere Android-spezifische Schwachstellen und Angriffsvektoren genauer. Neben der Anzeige statischer Webinhalte können Hybridanwendungen auch dynamische Inhalte, insbesondere JavaScript, ausführen. Daher sind auch Angriffsvektoren aus der Webanwendungsdomäne relevant, insbesondere Cross-Site-Scripting (XSS) 22 bzw. Dabei handelt es sich in der Regel um die Einführung von Code (Code Injection), insbesondere JavaScript-Code basierend auf Android. Obwohl das Einschleusen von Code in native Anwendungen (z. B. die Verwendung von Office-over-ow-Schwachstellen) sehr kompliziert ist, ist es in Webanwendungen häufiger und einfacher zu implementieren, unter anderem weil JavaScript-Code direkt vom Browser interpretiert und ausgeführt wird Der Angreifer muss dies nicht tun zunächst in einen für das Zielsystem geeigneten Binärcode übersetzen, um beispielsweise Benutzerdaten oder andere vertrauliche Daten der Webanwendung an einen vom Angreifer kontrollierten Webserver zu übertragen. Read Less