https://twcert2024.informationsecurity.com.tw/

觀點

過半數App 沒正確檢查憑證 使用者帳密恐外洩

2014 / 07 / 28
張維君
過半數App 沒正確檢查憑證 使用者帳密恐外洩

行動上網時代來臨,各種資訊服務、線上交易都陸續推出行動App,包括有政府資訊服務App、金融服務、購物、電信App…等,網路上協助開發製作App的資服廠商也一籮筐。但根據資安服務廠商研究調查顯示,目前超過半數組織的App存在各種安全漏洞,使用者的個資、網路銀行等各種帳號密碼資訊極可能在不知不覺中被從中攔截。

光盾資訊科技近期研究發現,許多金融服務App的HTTPS傳輸協定沒有被正確執行,正常而言用戶端與伺服器端必須驗證彼此的身分,否則很容易遭中間人攻擊。光盾資訊科技技術總監江格表示,許多App伺服器端傳送憑證給用戶端,但用戶端並沒有加以驗證,有心人士就可以在中間攔截各種帳密等敏感資訊,如果用戶端沒有檢查憑證,就完全不會跳出警告訊息(如下圖),使用者即使資料被攔截也毫無所知。江格進一步指出,目前經過檢測,在33支金融業者所發行的App當中有28支有同樣問題,有風險的金融App超過8成!除金融App外,部分政府單位及各大業者推出的App也被發現有此漏洞,且在Android或iOS的行動App上均可發現此問題。

手機Browser示警圖 (圖片來源:光盾資訊提供)

由於此種與協定實作相關的問題無法透過源碼檢測工具找出,加上目前對於行動App安全方面還沒有明確準則,針對行動App的資安檢測仍不普及,且市場上有能力檢測行動App的資安服務廠商也屈指可數,因此目前許多行動App存有各種嚴重漏洞。

除此次光盾所揭露的SSL驗證漏洞之外,江格表示還有非常多種中間人攻擊,其中SSL截斷(SSL Stripping)攻擊也是許多銀行、政府沒有防範的攻擊手法,只要透過工具就可將原本HTTPS網站(如網路銀行)要回應給使用者的封包重新導向到另一網站,使用者與該網站間所傳輸的訊息會被轉成明碼,讓駭客一覽無遺。呼籲各大業者、App開發廠商應特別注意,而在安全漏洞尚未修補前,使用者是否要透過App進行金融交易或購物,可能值得三思。

2014/7/29編註:若是App用戶端有檢查憑證,遇到中間人攻擊時會出現的警告畫面有以下兩種:圖(左) App 呼叫瀏覽器發出警告;圖(右)App直接跳出警告提醒。
  (圖片來源:光盾資訊提供)