Πολλές δημοφιλείς εφαρμογές για κινητά iOS και Android συνοδεύονται από hardcoded, μη κρυπτογραφημένα Azure auth keys για υπηρεσίες cloud, όπως το Amazon Web Services (AWS) και το Microsoft Azure Blob Storage, εκθέτοντας τα δεδομένα χρήστη και τον πηγαίο κώδικα σε παραβιάσεις ασφαλείας.
Δείτε επίσης: Η Google κατηγορεί τη Microsoft για αντιμονοπωλιακές πρακτικές
Η έκθεση αυτού του τύπου διαπιστευτηρίων μπορεί εύκολα να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση σε buckets αποθήκευσης και βάσεις δεδομένων με ευαίσθητα δεδομένα χρήστη. Εκτός από αυτό, ένας εισβολέας θα μπορούσε να τα χρησιμοποιήσει για να χειραγωγήσει ή να κλέψει δεδομένα.
Σύμφωνα με μια αναφορά από τη Symantec, αυτά τα Azure auth keys υπάρχουν στις βάσεις κώδικα των εφαρμογών λόγω σφαλμάτων και κακών πρακτικών κατά τη φάση ανάπτυξης.
Η Symantec λέει ότι οι ερευνητές της βρήκαν διαπιστευτήρια για υπηρεσίες cloud στις ακόλουθες εφαρμογές στο Google Play:
- Pic Stitch – πάνω από 5 εκατομμύρια λήψεις – Hardcoded διαπιστευτήρια Amazon
- Meru Cabs – πάνω από 5 εκατομμύρια λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
- Sulekha Business – πάνω από 500.000 λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
- ReSound Tinnitus Relief – πάνω από 500K λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
- Saludsa – πάνω από 100.000 λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
- Chola Ms Break In – πάνω από 100.000 λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
- EatSleepRIDE Motorcycle GPS – πάνω από 100.000 λήψεις – Hardcoded διαπιστευτήρια Twilio
- Beltone Tinnitus Calmer – πάνω από 100.000 λήψεις – Hardcoded διαπιστευτήρια του Microsoft Azure Blob Storage
Δείτε ακόμα: Microsoft: Λανσάρει Windows εφαρμογή για iPhone, Mac & Android
Ανακάλυψαν επίσης τέτοια Azure auth keys, σε πολλές δημοφιλείς εφαρμογές που υπάρχουν στο App Store της Apple:
Crumbl – 3,9 εκατομμύρια αξιολογήσεις – Hardcoded Διαπιστευτήρια Amazon
Eureka: 402,1 K αξιολογήσεις – Hardcoded Διαπιστευτήρια Amazon
Videoshop – Επεξεργαστής βίντεο – 357,9K αξιολογήσεις – Hardcoded Διαπιστευτήρια Amazon
Solitaire Clash: – Κερδίστε πραγματικά μετρητά – 244,8K αξιολογήσεις – Hardcoded Διαπιστευτήρια Amazon
Zap Surveys – Κερδίστε εύκολα χρήματα – 235K αξιολογήσεις – Hardcoded Διαπιστευτήρια Amazon
Η παρουσία οποιασδήποτε από τις παραπάνω εφαρμογές στο τηλέφωνό σας δεν σημαίνει ότι τα προσωπικά σας δεδομένα έχουν κλαπεί, αλλά ότι είναι προσβάσιμα και ότι οι χάκερ θα μπορούσαν να τα διεισδύσουν εκτός εάν οι προγραμματιστές αναλάβουν δράση και αφαιρέσουν τον κίνδυνο.
Δείτε επίσης: Microsoft Patch Tuesday Σεπτεμβρίου 2024: Διόρθωση 79 ευπαθειών
Οι παραβιάσεις ασφαλείας που σχετίζονται με auth keys, όπως στην περίπτωση της Azure, αποτελούν σημαντική απειλή τόσο για άτομα όσο και για οργανισμούς, καθώς μπορεί να οδηγήσουν σε μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες, οικονομικές απώλειες και ζημιά στη φήμη. Τα τελευταία χρόνια, η συχνότητα και η πολυπλοκότητα αυτών των παραβιάσεων έχουν αυξηθεί, με τους εγκληματίες του κυβερνοχώρου να χρησιμοποιούν προηγμένες τακτικές για να εκμεταλλεύονται τρωτά σημεία σε δίκτυα και συστήματα. Είναι ζωτικής σημασίας για τις οντότητες να υιοθετούν ισχυρά μέτρα ασφαλείας, συμπεριλαμβανομένων τακτικών ενημερώσεων λογισμικού, συστημάτων ανίχνευσης εισβολών και ολοκληρωμένης εκπαίδευσης των εργαζομένων, προκειμένου να προστατεύονται από πιθανές παραβιάσεις και να διασφαλίζεται η προστασία των δεδομένων.
Πηγή: bleepingcomputer
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
