Evite el phishing móvil sin codificación | por AlanB | la puesta en marcha

Móvil Suplantación de identidad es un delito cibernético en el que un atacante se hace pasar por una institución legítima/confiable y utiliza técnicas de ingeniería social para engañar a los usuarios móviles para que hagan lo que el pirata informático desea. El objetivo del phishing suele ser engañar a los usuarios móviles para que proporcionen información confidencial (por ejemplo, PII, nombre de usuario/contraseña, número de SS, datos bancarios, información de la tarjeta de crédito, etc.) o descargar/instalar malware (por ejemplo, mediante una aplicación falsa o clon o malware incrustado dentro de una aplicación legítima). Hay muchos muchas formas y variantes diferentes de phishing, como spearphishing (objetivos de alto valor, generalmente ejecutivos), vishing (basado en correo de voz), smishing (basado en SMS) y mucho más. El phishing es uno de los métodos de ataque más versátiles y confiables de todos los tiempos, y a menudo se usa como materia prima en ataques combinados (como ataques MitM, ransomware, propagación de malware/troyano, secuestro de sesión, etc.). Puede pensar en el phishing como una ‘navaja suiza’ del delito cibernético, ¡excepto que el phishing realmente funciona! CSO Online publicó un buen artículo sobre el Los 14 principales ataques de phishing en el mundo realpara que pueda tener una idea de cuán práctico, versátil, confiable y lucrativo puede ser el Phishing para un hacker.

El pharming es una variante del phishing en la que la sesión del usuario móvil se redirige a un sitio web falso y malicioso. Por ejemplo, en lugar de que mi banco se resuelva en xxx1, mi banco ahora se resuelve en xxx2, que en realidad es el sitio del banco falso del atacante creado para parecerse al sitio de mi banco.
Hay algunas formas bastante creativas para que pharming y phishing funcionen, como Suplantación de DNS también llamado envenenamiento de caché. Independientemente del método, una vez que el usuario se conecta al sitio malicioso, el atacante intenta recopilar información confidencial.

Fijación de certificados es el proceso de incorporar una aplicación móvil con un certificado SSL válido para servidores confiables conocidos. Una aplicación que fija un certificado o una clave pública ya no depende de elementos externos (como DNS o autoridades de certificación intermedias/públicas) cuando se toman decisiones de seguridad relacionadas con la identidad de un servidor del mismo nivel. En dispositivos móviles, la forma más común de fijación de certificados es incrustar los certificados del servidor dentro de la aplicación móvil para garantizar que el certificado del servidor siempre sea confiable. Esto evitará que los piratas informáticos presenten certificados fraudulentos modificados a la aplicación móvil en un intento de redirigir al usuario móvil a un sitio malicioso. La validación del certificado SSL ayuda a garantizar que los archivos del certificado SSL que vinculan los detalles sobre una organización con una clave criptográfica sean válidos. La validación del certificado SSL ayuda a garantizar que su aplicación utilice un certificado auténtico. Además, puede anclar o vincular un host a un certificado en su aplicación para que una discrepancia, como en el caso de un ataque pharming, genere una alerta o active otra acción según cómo implemente la función en Appdome.

La validación y la fijación del certificado SSL se pueden usar juntas para combatir el pharming móvil al determinar «sí», el certificado es auténtico y «sí», el host esperado es el host al que está conectada la aplicación. Si no coincide, la aplicación debería alertar al usuario. Para una inmersión más profunda en los certificados y la fijación de certificados, mira este video sobre los ataques MitM.

El sistema de construcción de seguridad sin código de Appdome permite a los desarrolladores y a la gente de seguridad implementar su elección de Seguridad de aplicaciones móviles características (incluyendo Validación de Certificado SSL Fijación de certificados y muchas otras características) en cualquier aplicación iOS o Android en minutos, sin codificación. Esto evita el phishing y el pharming móvil al garantizar siempre que el certificado SSL/TLS del servidor sea válido y no haya sido manipulado por atacantes.

Cuando crea una aplicación móvil con validación de certificado SSL, los certificados SSL de la aplicación se validan para garantizar que sean auténticos cada vez que se produce un intento de conexión. Si falla la validación del certificado, por ejemplo, debido a un certificado fraudulento, la sesión se bloqueará o cancelará y se mostrará una notificación al usuario de la aplicación móvil.

Además, también puede agregar la fijación de certificados a cualquier aplicación para una protección adicional. Este es el proceso de vincular un host a un certificado específico o una CA (autoridad de certificación). La fijación ayuda a garantizar que ese destino coincida con el certificado fijado originalmente que espera su aplicación y que el certificado no haya sido falsificado. Esto también es útil para ataques en los que las sesiones terminan en un proxy malicioso como parte de un ataque Mobile MitM (también conocido como ataque Man-in-the-Middle).

Los desarrolladores móviles pueden implementar la fijación de certificados por sí mismos o en combinación con otras funciones de seguridad, como antimanipulación, cifrado de datos en reposo u ofuscación de código, todo sin ningún esfuerzo de codificación o desarrollo. Esto permite a los desarrolladores aumentar la seguridad de sus aplicaciones y crear una defensa en capas en minutos, todo dentro del ciclo de vida de la aplicación existente y los flujos de trabajo de desarrollo.

¡Gracias por leer! Para obtener más información sobre cómo agregar protecciones de seguridad a las aplicaciones móviles sin codificación, visite nuestro Blog de desarrollo y seguridad.

¡Déjame una línea con cualquier comentario!

Fuente del artículo

Deja un comentario