Security labs
Bezpieczeństwo urządzeń mobilnych

Bezpieczeństwo urządzeń mobilnych

Ryzyko kradzieży w niezabezpieczonych sieciach

Korzystając z hotspotów lub innych wolnodostępnych sieci WLAN należy zachować szczególną ostrożność. Takie punkty dostępowe są w większości przypadków niedostatecznie bądź w ogóle niezabezpieczone i umożliwiają przechwycenie danych przesyłanych drogą bezprzewodową. Tym niemniej, niezabezpieczone sieci bezprzewodowe są powszechnie stosowane dla mało istotnych celów, jak sprawdzanie rozkładów jazdy, czy do odwiedzania portali społecznościowych.

Znaczenie kont Google

Konto Google stanowi rdzeń urządzeń działających na oprogramowaniu Android. Przechowuje takie dane jak email, terminarz, kontakty, pobierane aplikacje z Android Market, Google Play Now, a także odpowiada za zdalne sterowanie urządzeniem. Oznacza to możliwość, na przykład, zdalnego wyłączenia urządzenia zainfekowanego złośliwym oprogramowaniem.
Wykorzystując dane logowania konta Google, możliwa jest instalacja programów, bez konieczności fizycznego kontaktu z telefonem. Z jednej strony zyskujemy korzyść z możliwości uruchomienia oprogramowania do geolokalizacji w zagubionych telefonach, z drugiej strony, zdalny dostęp stwarza zagrożenie w przypadku kradzieży hasła. Włamywacz może umieścić w urządzeniu programy szpiegujące, bądź zmodyfikować lub usunąć hasła zabezpieczające. Zbyt krótkie hasła również powodują ryzyko niepowołanego dostępu. Aby do tego nie doszło, należy szczególnie zadbać o bezpieczeństwo stosowanych haseł. (link od “bezpieczne hasła”)

Bądź świadomy: przechowuj dane w chmurze

Obecnie istnieje szeroki wybór spośród serwisów oferujących korzystanie z chmury dla urządzeń mobilnych. Dane przechowywane w wewnętrznej pamięci telefonu mogą zostać całkowicie lub częściowo przesłane na serwer i pozostać tam chronione przed bezpośrednią utratą danych. Koniecznie zapoznaj się z warunkami i zasadami przechowywania danych u konktretnego dostawcy, zwracając szczególnie uwagę:
- Czy serwery znajdują się na terenie Unii Europejskiej i czy podlegają jej kontroli? Jeżeli nie, to czyjej?
- Czy operatorem jest firma amerykańska?
- Czy posiadam prawa do przechowywanych danych?
- Czy dane przechowywane na serwerze są przechowywane w postaci zaszyfrowanej?
- Czy przesyłając dane zapewniane jest bezpieczne połączenie?
- Co nastąpi z danymi w przypadku bankructwa firmy?
- Czy osoby trzecie, jak organy ścigania mają dostęp do moich danych? W jakich warunkach?

Dodatkowo należy się upewnić, czy serwis zapewnia dostateczny poziom bezpieczeństwa oferowanych usług, w tym zabezpieczenie przed włamaniem i nieautoryzowanym dostępem.

Ryzyko kradzieży podczas ładowania

Używając kabla USB można bezpiecznie ładować telefony i tablety z wykorzystaniem własnego komputera. Natomiast należy się wystrzegać używania tej funkcji na obcych jednostkach – włamywacz może użyć połączenie do kradzieży danych przechowywanych w urządzeniu. W przypadku wymiany danych w połączeniach z komputerami kolegów i współpracowników zagrożenie nie występuje, o tyle niebezpieczne jest używanie publicznych stacji ładujących USB, ponieważ nigdy nie mamy pewności, czy połączenie jest rzeczywiście wyłącznie wykorzystywane do ładowania baterii.

Ryzyko włamań przez firmware/software

Odkąd urządzenia mobilne dążą do dorównania funkcjonalnością komputerom, narażają się tym samym na prześladujące PCty zagrożenia. Jeżeli zainstalowane programy lub firmware są nieaktualne, tworzą okazję dla włamywaczy do wykorzystania luk bezpieczeństwa do wyłudzenia danych lub uszkodzenia sprzętu. Dlatego zachowanie aktualności oprogramowania jest kwestią najwyższej wagi.

Ryzyko zwiększania uprawnień

Niektóre aplikacje do pracy wymagają stosowania większych uprawnień, co zwiększa ryzyko utraty danych, wzrostu kosztów połączeń, uszkodzenia sprzętu, a także naruszenia prywatności. Z tej przyczyny należy zwracać uwagę jakie uprawnienia przekazujemy aplikacjom.

Ryzyko kodów QR / ukrytych linków

Kody QR znane są z podobieństwa do kodów kreskowych z jakimi możemy się spotkać w supermarkecie. Te dwuwymiarowe obrazki składające się z białych i czarnych kwadratów reprezentują indywidualny kod. Na przykład, mogą posłużyć do potwierdzania ważności biletów koncertowych, zastąpić bilet lotniczy, a także przechowywać zwykły tekst (informacje, linki, itd.) lub złośliwy kod.

Ze względu na łatwość tworzenia zakodowanych w ten sposób informacji, każdy może zostać autorem kodów QR. Szczególnie narażonymi na szkodliwą treść są urządzenia mobilne posiadające aparaty, jak smartfony, które uruchamiają obsługę odczytanego kodu. Aby móc posługiwać się kodami QR należy posiadać zainstalowaną odpowiednią aplikację.

Jeżeli dany program nie oferuje funkcji podglądu, stwarza tym samym zagrożenie bezpieczeństwa. Przykładowy scenariusz: włamywacz tworzy stronę internetową dokonującą ataków na odwiedzających lub zarażającą złośliwym oprogramowaniem. Następnie, adres internetowy odnoszący się do witryny szyfruje za pomocą kodu QR i umieszcza go na papierze lub naklejkach, a w dalszej kolejności w miejscach publicznych, na bilbordach, itd. Ofiary zaciekawione treścią reklam odczytują kod i trafiają na szkodliwą stronę.