что такое защищенное приложение

В Android есть надёжная система защиты от вредоносных приложений

Несмотря на то что вирусов под Android действительно не существует, даже в Google Play периодически проникают троянские программы, которые могут нанести ничуть не меньше вреда. Другое дело, что для того, чтобы они причинили вам вред, нужно не просто загрузить их самостоятельно, но и фактически разрешить им хозяйничать на вашем устройстве. Однако немногие знают, что вы сами можете без особых трудностей, даже не удаляя троян или программу-шпион из памяти, просто запретить им действовать у вас на устройстве. Объясняю, как это работает.

Android защищён лучше, чем вы думали

Google раскрыла подробности о системе слежения за больными коронавирусом для Android

Речь, конечно, идёт о системе привилегий, которая появилась в Android в 2015 году. С тех пор любое приложение, которое вы устанавливаете на своё устройство, для доступа к тем или иным инструментам ОС будет вынуждено запросить соответствующее разрешение. Это могут быть телефонные звонки, SMS-сообщения, обращение к службам геолокации или встроенной памяти и много чего ещё. Google продумала систему привилегий таким образом, что в Android попросту не осталось ни одной функции, с помощью которой приложение могло бы совершать значимые действия без разрешений. Это нам и нужно.

Разрешения приложений Android

Каждый раз, когда вы устанавливаете ту или иную программу независимо от источника, вы всегда раздаёте ему определённое количество разрешений. Допускаю, что вы даже этого не замечаете, давая согласия на все запросы, которые появляются на экране в виде небольшого диалогового окна. Но таким образом вы зачастую открываете полный карт-бланш тем программам, которым его давать нельзя совершенно. Только подумайте, ну зачем калькулятору доступ к вашим SMS-сообщениям и зачем фоторедактору возможность совершать телефонные звонки? Понятно, что незачем и здесь что-то не так.

Ты уже подписался на наш чат в Telegram? Давай-ка, не затягивай.

Если вы знаете за собой, что не всегда ответственно подходите к вопросу раздачи привилегий софту либо вообще не обращали внимания на эту процедуру, вам нужно срочно проверить все разрешения, которые вы вольно или невольно раздали установленным приложениям.

Как убрать разрешения приложений

Найдите меню с разрешениями и настройте всё так, как хочется именно вам

Вы — хозяин положения. Раздавайте привилегии приложениям и лишайте их по-своему усмотрению

Блокировка вредоносных приложений на Android

Не уверены в надёжности приложения? Тогда лишите его всех привилегий

Несмотря на то что описанный метод может показаться слишком простым и даже примитивным, его эффективность по-настоящему сложно переоценить. Дело в том, что, запретив приложению обращаться к той или иной системной функции, вы, по сути, ограничите её рабочий потенциал. Допустим, вас всегда смущало, что приложение камеры имеет возможность читать и отправлять сообщения. Не исключено, что таким образом разработчики просто шпионят за вами, а, лишившись соответствующей привилегии, они перестанут отслеживать вашу переписку.

В этом смысле система привилегий может оказаться очень успешным инструментом в борьбе с троянскими программами. Ведь даже если вредоносное ПО попадает на устройство, ему, как и доброкачественному, потребуются все те же привилегии. Поэтому, отыскав в списке потенциально небезопасную программу, просто лишите его данных по собственной невнимательности разрешений. В конце концов, это самый простой способ защиты от вредоносного и не очень софта, который вы имели неосторожность загрузить себе на устройство.

Новости, статьи и анонсы публикаций

Свободное общение и обсуждение материалов

Не знаю, как у вас, а у меня Google Play всегда вызывал ассоциации с каким-то вольным городом, где почти нет ограничений, но и опасностей тоже немало. Однако, если быть достаточно аккуратным и внимательным, не лезть куда не следует, то в нём можно преспокойно жить и наслаждаться его преимуществами, которых нет в App Store, который больше походит на полицейское государство. Тем удивительнее наблюдать за тем, что Google Play почему-то настойчиво хочет превратиться в App Store. Так, как сейчас.

Всем знакома ситуация, когда вы запускаете Instagram, чтобы ”быстро” просмотреть последние сообщения, и через несколько секунд вы полностью погружаетесь в бесконечный поток контента. Палец сам начинает его пролистывать и дальше, как в старой шутке, когда открыл Instagram в 22:00, чтобы перед сном полистать ленту, и сам не заметил, как до подъема в 07:00 осталось ровно три часа. Удивительно, но Instagram, при всей его заинтересованности в таком поведении пользователей, сам начинает бороться со столь существенной потерей времени пользователями. И новые функции помогут в этом.

Источник

Безопасность приложений для обмена сообщениями: какие приложения лучше всего подходят для сохранения конфиденциальности?

Приложения для обмена сообщениями – это простое средство поддерживать связь с друзьями, семьей и коллегами. Однако при их использовании важно помнить о конфиденциальности и безопасности в интернете.

Основная проблема безопасности приложений для обмена сообщениями – это конфиденциальность. Она отражает, насколько личные сообщения доступны третьим сторонам, какие компании разрабатывают приложения и даже собирают ли государственные органы данные о гражданах. При оценке безопасности приложений для обмена сообщениями необходимо учитывать следующие ключевые моменты:

1. Сквозное шифрование

Используется ли в приложении сквозное шифрование? При сквозном шифровании личных сообщений ключи для и расшифровки есть только у отправителя и у получателя сообщений.

2. Открытый исходный код

Используется ли открытый исходный код? Открытый исходный код означает, что приложение открыто для внешнего контроля и аудита экспертами, что может оказаться полезно для привлечения внимания к слабым местам или уязвимостям в коде.

3. Исчезающие сообщения

Самоуничтожающиеся или исчезающие сообщения исчезают по истечении установленного периода времени, в зависимости от выбранных настроек.

4. Использование данных

Многие приложения для безопасного обмена сообщениями используют сквозное шифрование, однако они могут собирать данные о пользователях, называемые метаданными. Метаданные включают информацию о том, с кем вы разговариваете, как долго, на каком устройстве, ваш IP-адрес и номер телефона.

Какие приложения для обмена сообщениями самые безопасные?

Сейчас доступно множество приложений для обмена сообщениями. Одни из них более безопасны, другие – менее. В этой статье рассмотрено несколько самых популярных приложений для обмена сообщениями и описано, какие из них хранят данные в безопасности, а какие имеют слабую защиту.

(ПРИМЕЧАНИЕ: приложения в приведенном ниже списке перечислены без учета приоритета или предпочтений)

Signal

Что такое Signal?

Signal – это межплатформенная служба обмена зашифрованными сообщениями, предназначенная для голосовых вызовов со сквозным шифрованием и зашифрованных текстовых сообщений. Оно считается одним из самых безопасных приложений для обмена сообщениями на рынке.

Приложение Signal является бесплатным и доступно в операционных системах Android и iOS. Также существует настольная версия приложения для Windows, Mac и Linux. Для использования приложения достаточно только номера телефона.

Пользовательский интерфейс Signal аналогичен другим популярным приложениям для обмена сообщениями, таким как WhatsApp и Facebook Messenger. Возможности включают обмен личными сообщениями, групповые переписки, отправку стикеров, фотографий, передачу файлов, голосовые и видеозвонки.

Signal существует с 2013 года, но его популярность стремительно возросла в 2020 и 2021 годах.

Насколько безопасен Signal?

Telegram

Что такое Telegram?

Telegram, основанный российским предпринимателем Павлом Дуровым, представляет собой кроссплатформенный сервис обмена сообщениями, впервые запущенный на iOS и Android в 2013 году. Основные функции Telegram такие же, как и у большинства других приложений для обмена сообщениями: можно отправлять сообщения другим пользователям Telegram, создавать групповые чаты, выполнять звонки, а также отправлять файлы и стикеры.

Насколько безопасен Telegram?

Продажа пользовательских данных не является основой бизнес-модели Telegram, что положительно сказывается на его безопасности.

Что такое Wire?

Wire, запущенное в 2014 году, позиционируется как приложение для безопасного обмена сообщениями. Компания Wire находится в Швейцарии – одной из самых благоприятных стран мира для разработки безопасных онлайн-сервисов и приложений для обмена сообщениями. Wire можно использовать в операционных системах Android, iOS, macOS, Windows и популярных браузерах.

Насколько безопасен Wire?

WhatsApp

Что такое WhatsApp?

WhatsApp имеет 1,5 миллиарда пользователей во всем мире и, вероятно, не нуждается в представлении. WhatsApp был одним из первых приложений для обмена сообщениями со сквозным шифрованием для безопасного общения. Мессенджером WhatsApp владеет Facebook – ассоциация, конфиденциальность учетных данных которой под сомнением.

Насколько безопасен WhatsApp?

Threema

Что такое Threema?

Threema – это приложение для обмена сообщениями со сквозным шифрованием. В отличие от других приложений, для создания учетной записи Threema не требуется указывать адрес электронной почты или номер телефона, что обеспечивает пользователям очень высокий уровень анонимности. Возможности Threema включают обмен текстовыми и голосовыми сообщениями, голосовые и видеозвонки, групповые чаты и списки рассылки. Приложение Threema не является бесплатным. Компания-разработчик приложения Threema базируется в Швейцарии.

Насколько безопасен Threema?

Wickr Me

Что такое Wickr Me?

Компания Wickr была основана в 2012 году группой экспертов по безопасности и защите конфиденциальности. Это одно из немногих приложений для безопасного обмена сообщениями, которое можно использовать действительно анонимно. У компании Wickr есть различные приложения, предназначенные для разных групп пользователей: Wickr Me, Wickr Pro, Wickr RAM и Wickr Enterprise. Wickr Me ориентирован на индивидуальных пользователей.

При регистрации в Wickr Me не требуется указывать адрес электронной почты или номер телефона. Это гарантирует, что приложение не имеет доступа к данным пользователей и не выполняет их сбор. Wickr можно также использовать в качестве инструмента для совместной работы, а не только приложения для обмена сообщениями, поскольку Wickr позволяет предоставлять доступ к экрану, местоположению и онлайн-статусами.

Насколько безопасен Wickr Me?

Viber

Что такое Viber?

Viber – это межплатформенное приложение для голосовой связи по IP и обмена мгновенными сообщениями, разработанное японской международной корпорацией Ratuken. Приложение можно загрузить бесплатно. Оно позволяет совершать бесплатные звонки, отправлять текстовые сообщения, изображения и видео другим пользователям Viber. Viber можно использовать для создания групповых чатов с участием до 250 человек и групповых звонков с участием до 20 человек одновременно.

Насколько безопасен Viber?

Что такое Dust?

Приложение Dust, ранее известное как Cyber Dust предназначено для обмена личными сообщениями. Для обеспечения безопасности коммуникаций в приложении используется сквозное шифрование. На сайте приложения говорится: «Вы можете стирать свои сообщения с телефонов других людей. Они не хранятся на телефонах и серверах постоянно. Сообщения надежно зашифрованы и недоступны никому, даже нам».

Насколько безопасен Dust?

iMessage

Что такое iMessage?

iMessage – это служба обмена мгновенными сообщениями, разработанная Apple и запущенная в 2011 году. iMessage работает исключительно на платформах Apple: iOS, macOS, iPadOS и watchOS.

Насколько безопасен iMessage?

Что такое Line?

Line – это бесплатное безопасное приложение для обмена сообщениями, созданное после цунами 2011 года в Японии. В результате стихийного бедствия многие обычные каналы связи вышли из строя. Приложение Line было разработано интернет-компанией Naver как средство связи для сотрудников.

Позже в том же году компания Naver представила приложение широкой публике в Японии, где оно стало невероятно популярным. Затем приложение завоевало популярность в Азии.

Насколько безопасен Line?

Использование безопасного приложения для общения защищает от злоумышленников, пытающихся украсть ваши данные. Разные приложения имеют различные функции безопасности и общие функции, поэтому выбор конкретного приложения зависит от того, какие функции наиболее важны именно для вас.

Безопасность приложения для обмена сообщениями

Безопасность самих приложений очень важна, однако рекомендуется также следовать советам по обеспечению безопасности при обмене сообщениями:

1. Соблюдайте осторожность при использовании публичных сетей Wi-Fi

Публичные сети Wi-Fi часто являются бесплатными, однако они также являются источником проблем с безопасностью. Публичные сети, как правило, используются многими людьми, поэтому они часто становятся целью для злоумышленников. Злоумышленники могут легко перехватить отправляемые по Wi-Fi данные: фотографии, сообщения, пароли, имена пользователей и банковскую информацию. Использование VPN может помочь защититься от нарушений безопасности.

2. Избегайте отправки личной информации в приложениях для обмена сообщениями или в виде текстовых сообщений

Не сообщайте пароли, данные кредитных карт и другие личные данные в сообщениях. Остерегайтесь раскрытия личных данных незнакомцам, с которыми вы общаетесь посредством мгновенных сообщений. Злоумышленники могут использовать против вас даже такую на первый взгляд невинную информацию, как название вашего работодателя.

3. Будьте осторожны при переходе по ссылкам из сообщений

Чтобы не стать жертвой фишингового мошенничества, никогда не переходите по ссылкам в мгновенных сообщениях от людей, с которыми вы не знакомы и которым вы не доверяете и не встречались в реальной жизни.

4. Защитите телефон с помощью программы безопасности

Наряду с защитой устройства паролем или PIN-кодом, рекомендуется также использовать программу безопасности. Например, Kaspersky Internet Security для Android блокирует подозрительные приложения, веб-сайты и файлы, а также не дает шпионским программам отслеживать звонки, текстовые сообщения и местоположение.

Источник

Как защитить Android: 10 советов для максимальной безопасности

Android сильно отличается от устройства к устройству. Тем не менее, мы готовы дать десяток общих советов по повышению безопасности этой ОС

Так-так, десяток настроек iOS для повышения безопасности своего мобильного любимца сделать легко. А что же делать с Android? Беда в том, что Android — он вроде бы один и тот же, но в то же время очень-очень разный. Достаточно высокая открытость платформы позволила ей быстро стать лидер ом на рынке мобильных устройств, но породила пресловутую фрагментацию, которую любят поминать при каждом удобном случае.

Скажем, Android на Nexus-аппарате, в смартфоне Samsung/Sony/HTC и на каком-нибудь неизвестном «китайце» — это таки две большие разницы. Тем не менее некоторые общие советы по повышению безопасности этой ОС дать можно, а часть из них и вовсе совпадает с рекомендациями для iOS. Конечно, надо будет смириться с определенными неудобствами в ежедневной работе, но тут уж придется следовать универсальному правилу — либо комфорт, либо безопасность. В конце концов, можно воспользоваться только частью рекомендаций и найти для себя оптимальный баланс удобства и защиты.

Горячая десятка лучших настроек безопасности для #Android от @Kaspersky_ru

10. Включите двухэтапную аутентификацию для Google и других приложений
Двухфакторная аутентификация — это, пожалуй, единственный на сегодня метод достаточно надежной защиты любых аккаунтов. Работает она довольно просто — помимо ввода пароля от вас требуется предоставить временный одноразовый код, который можно получить по SMS или с помощью специальных приложений или даже устройств. Без этого кода злоумышленник, даже узнав ваш пароль, не сможет войти в аккаунт и натворить бед.
Чем поможет: резко снизит возможность использования аккаунтов посторонними людьми.
Где настроить: зайти в браузере на страничку https://accounts.google.com/SmsAuthConfig и следовать дальнейшим инструкциям.

Вышеприведенные советы помогут значительно повысить безопасность Android, но от многих напастей все равно не спасут. Поэтому не поленитесь установить на ваш смартфон пакет программ от известных разработчиков антивирусных решений. Помимо непосредственно антивируса они обычно предлагают множество других степеней защиты — безопасный веб-серфинг, менеджер паролей, фильтрацию SMS и звонков, «противоугонные» функции и так далее.

Ну и самое главное — никогда не теряйте бдительности!

Источник

Безопасность мобильных устройств и приложений: пять популярных сценариев атак и способы защиты

Современные мобильные устройства очень сложны, и это дает злоумышленникам возможности для проведения атак. Для взлома вашего смартфона может быть использовано буквально все — от Wi-Fi и Bluetooth до динамика и микрофона.

Аналитики Positive Technologies опубликовали исследование распространенных сценариев атак на мобильные устройства и приложения. В
нашей статье – главные тезисы этого документа.

Как атакуют мобильные устройства и приложения

Существует пять основных сценариев атаки. Среди них:

Атаки с физическим доступом

Есть несколько главных сценариев атак с физическим доступом. Как правило, они подразумевают доступ человека напрямую к смартфону: это происходит в том случае, если устройство украли, владелец его потерял или отнес в сервис. Однако есть и достаточно необычный способ атаки, для которого используется вредоносная зарядная станция. Рассмотрим именно его.

Зарядная станция, к которой вы подключаете свой смартфон по USB, вполне может оказаться не совсем безопасной. Для современных версий ОС Android и iOS при подключении с смартфона к ПК по USB требуется разрешение на доступ к устройству. Однако на Android 4.0 и ниже этого не требовалось. В итоге при подключении таких устройств к скомпрометированным или установленным хакерами зарядным станциям, открывается возможность для атаки. Ее сценарий может выглядеть так:

Как защититься

В первую очередь, будьте внимательны и не оставляйте телефон и планшет без присмотра в общественных местах. Обязательно установите пароль для разблокировки устройства или включите биометрическую защиту, если это возможно. Не повышайте привилегии до административных (jailbreak или root), отключите отображение уведомлений на заблокированном экране.

Атаки с помощью вредоносных приложений

Есть несколько источников таких приложений:

Помимо этого, вредоносное приложение может попытаться получить повышенные привилегии в системе, проэксплуатировав уязвимости, позволяющие получить root-права или jailbreak.

Как защититься

Для защиты от подобных атак рекомендуется в первую очередь избегать установок приложений из недоверенных источников. С осторожностью необходимо устанавливать и приложения с подозрительными названиями даже из официальных магазинов приложений, так как никакие проверки не работают идеально. Своевременно обновляйте ОС и приложения, чтобы исключить возможность атак через известные уязвимости.

Атаки в канале связи

Для того чтобы злоумышленник смог действовать из канала связи, ему необходимо выполнить атаку «человек посередине», то есть чтобы весь трафик, передаваемый между клиентским мобильным приложением и серверной частью проходил через устройство злоумышленника. Иногда в приложениях встречаются уязвимости, позволяющие такие атаки.

К примеру, обычно при установке защищенного соединения клиентское приложение проверяет подлинность сертификата сервера и соответствие его параметров параметрам сервера. Однако иногда разработчики для удобства при работе над приложением отключают такие проверки, забывая включить их обратно в релизной версии. Как итог, приложение принимает любой сертификат сервера для установки защищенного соединения, в том числе и сертификат злоумышленника.

Даже если проверка сертификатов происходит корректно, у злоумышленника остается лазейка: под неким предлогом вынудить жертву установить на свое устройство сертификат злоумышленника как доверенный. Кроме того, если приложение само по себе безопасно работает с сервером, но содержит ссылки на сторонние ресурсы, загружаемые по HTTP, это все равно составляет возможность для проведения фишинговых атак.

Если злоумышленнику удастся получить контроль над трафиком между клиентским приложением и сервером, то это даст ему целый ряд возможностей:

Как защититься

Не подключайтесь к сомнительным точкам доступа, не используйте прокси- и VPN-серверы, которым вы не доверяете свою личную и банковскую информацию. Не устанавливайте сторонние сертификаты на устройство.

Как правило, большинство популярных мессенджеров и приложений соцсетей хорошо защищены от подобных атак; если, например, вдруг какое-то из этих приложений отказывается работать через текущее Wi-Fi-подключение, это может означать, что данная точка доступа небезопасна и лучше от нее отключиться, чтобы не подвергать опасности остальные приложения, в том числе ваш мобильный банк.

Удаленные атаки

Некоторые уязвимости в мобильных приложениях можно проэксплуатировать удаленно, и для этого даже не требуется контролировать передачу данных между приложением и сервером. Многие приложения реализуют функциональность по обработке специальных ссылок, например myapp://. Такие ссылки называются deeplinks, и работают они как на Android, так и на iOS. Переход по такой ссылке в браузере, почтовом приложении или мессенджере может спровоцировать открытие того приложения, которое умеет такие ссылки обрабатывать. Вся ссылка целиком, включая параметры, будет передана приложению-обработчику. Если обработчик ссылки содержит уязвимости, то для их эксплуатации будет достаточно вынудить жертву перейти по вредоносной ссылке.

Аналогичный образом в мобильных устройствах могут обрабатываться более привычные ссылки http:// и https:// — они могут быть переданы приложению вместо браузера, в некоторых случаях это может происходить без подтверждения со стороны пользователя.

Для Android-устройств переход по ссылке может спровоцировать загрузку Instant App, что делает возможным удаленную эксплуатацию уязвимостей, связанных с установкой вредоносного приложения.

Как защититься

Своевременная установка обновлений приложений и ОС в данном случае — единственный способ защититься. Если у вас нет возможности установить обновление или оно еще не вышло, можно временно прекратить использование уязвимого приложения: удалить его с устройства или просто разлогиниться.

Атаки на серверную часть

Для атаки на сервер мобильного приложения злоумышленнику, как правило, достаточно изучить, как происходит взаимодействие клиентского приложения с сервером, и уже исходя из собранной информации о точках входа попытаться видоизменять запросы с целью обнаружить и проэксплуатировать уязвимости.

Зачастую устройство серверной части мобильного приложения ничем не отличается от веб-приложения. Как правило, устроены серверы мобильных приложений еще проще и часто представляют из себя json- или xml-api, редко работают с HTML-разметкой и JavaScript, как это часто делают веб-сайты.

Если сравнивать уязвимости веб-приложений и серверных частей мобильных приложений, то мы видим, что следующие уязвимости преобладают в мобильных приложениях:

Как защититься

В данном случае обычный пользователь мало что может сделать. Однако можно снизить риски пострадать от атак на сервер, если использовать сложный пароль, а также настроить двухфакторную аутентификацию с помощью одноразовых паролей во всех критически важных приложениях, которые это позволяют сделать.

Чтобы минимизировать вероятность успешной атаки на мобильное приложение, его разработчики должны проверять возможность реализации каждого из описанных сценариев. При разработке нужно учитывать различные модели нарушителей, а некоторые меры защиты необходимо предпринять еще на стадии проектирования.

Хорошей рекомендацией для разработчиков будет внедрение практики безопасной разработки (security development lifecycle, SDL) и регулярный анализ защищенности приложения. Такие меры не только помогут своевременно выявить потенциальные угрозы, но и повысят уровень знаний разработчиков в вопросах безопасности, что повысит уровень защищенности разрабатываемых приложений в долгосрочной перспективе.

Автор: Николай Анисеня, руководитель группы исследований безопасности мобильных приложений Positive Technologies

Источник