ABD’de Columbia Üniversitesi’nden bir grup akademisyen, Android uygulamalarının şifreleme kodlarında güvenlik zafiyeti bulunup bulunmadığını tespit eden bir araç geliştirdi. Eylül-2019 ile Ekim-2019 arasında CRYLOGGER adı verilen araç ile 33 farklı Google Play kategorisinde yer alan toplam 1.780 Android uygulaması analiz edildi.
Uygulamalarda 26 temel şifreleme kuralını tarayan araç, 306 uygulamada güvenlik zafiyeti bulunduğunu ortaya çıkardı. Söz konusu uygulamalarda en çok ihlal edilen kurallar şu şekildeydi:
- 775 uygulamada ‘Güvenli olmayan bir PRNG (sözde rastgele dizi rakam üreticisi)’
- 764 uygulamada ‘Kırılmış hash fonksiyonları (SHA1, MD2, MD5, vb.)’
- 076 uygulamada ‘CBC operasyon modu (istemci/sunucu senaryoları)’ kullanıldığı anlaşıldı.
Güvenlik zafiyeti tespit edilen uygulama geliştiricilerle tek tek temas kurulduğunu kaydedildi. İndirilme sayıları 100 bin ile 100 milyon arasında değişen uygulamalardan maalesef sadece 18’inin geliştiricisi akademisyenlerin uyarısına cevap verdi. Bu 18’i arasından da 8’i bildirilen güvenlik açıkları hakkında çok sayıda geri bildirimde bulunmayı tercih etti.
Bazı şifreleme zafiyetleri uygulamanın kodunda yer alırken, bir kısmı Java kitaplıkları olarak sunulan ortak zafiyetler halinde belirdi. Araştırmacılar, altı popüler Android kitaplığı geliştiricisi ile temas kurulduğunu, ancak sadece ikisinin cevap verdiğini belirtti.
Şifreleme uzmanları tarafından yakından bilinen kurallar olmasına karşın bazı geliştiricilerin güvenlik uygulamalarının (AppSec) çok iyi çalışmadığı veya yazılım geliştirme alanına adım atmadan önce gelişmiş şifreleme konusunda eğitim almadıkları da anlaşıldı.
Uygulama geliştiricilerin büyük kısmının tepkisizliği ile birlikte siber korsanların tespit edilen açıklardan fayda sağlamasını önlemek için zafiyet bulunan uygulamalar ve Android kitaplıklarının hangileri olduğu kamuoyu ile paylaşılmadı.
Sahte Fotoğraf ve Videoları Tespit Etmenin Yolları – 1
Dijital dünyadaki sahte videolar, fotoğraf ve sesleri gerçeğinden ayırt etmeniz mümkün. Kapsamlı bir ‘medya okur-yazarlığı’ okumasına hazır mısınız?
Son Eklenenler
Geliştiriciler Among Us Adlı Oyundaki ‘Evis Loris’ Spam Saldırısı ile Baş Etmeye Çalışıyor
Güvenlik uzmanları, Among Us oyununda beliren riskin fazlasıyla koordineli olduğunu belirtiyor…
Videolar
Haberler
Şirket E-posta Dolandırıcılığı (BEC) Hakkında Her şey
Son dönemin öne çıkan siber tehditlerinden, kısa adı BEC olan şirket e-posta dolandırıcılığına dair ilginç detaylar…
Güvenlik Önerileri
Fidye Yazılım Saldırılarında Bilgisayar Ağlarına Sızılmasına Neden Olan 4 Yöntem ve Alınması Gereken Önlemler
Fidye yazılım saldırıları artmaya devam ederken, güvenlik araştırmacıları bu saldırıların nasıl başladığına işaret eden dört yöntemi tespit etti.