SourceDNA แพลตฟอร์มวิเคราะห์โค้ด ตรวจสอบ Android/iOS apps เผยรายงาน: >1,000 iOS apps มีช่องโหว่ความปลอดภัยร้ายแรง อาจทำให้ข้อมูลการเงินผู้ใช้รั่วไหล
Bug ป้องกันไม่ให้ Apps ยืนยัน SSL Certificates ได้ถูกต้อง เปิดโอกาส Man-in-the-middle attacks แม้ Bug ไม่ง้อความปลอดภัยของ iOS เอง แต่อาจทำลายข้อมูลผู้ใช้ที่ส่งผ่านแอปที่ได้รับผลกระทบ
Bug เรียบง่ายที่ทำลาย SSL
Bug อยู่ใน AFNetworking package — Open-source networking solution ยอดนิยม ใช้ในหลายพัน App Store apps Bug คือ Logic error เรียบง่าย หยุด SSL check ไม่ให้ทำงานจริง Return ทุก Certificate checks ว่า Valid ไม่ใช่ Disaster ใหญ่อย่าง HeartBleed หรือ ShellShock — แต่เป็นปัญหาถ้าใช้แอปที่มี Bug โชคดี Bug มีอยู่ประมาณ 6 สัปดาห์ เพิ่มใน v2.5.1 แก้ใน v2.5.2 คุณอาจคิดว่าเป็นจบเรื่อง
น่าเสียดาย ไม่ใช่
นักพัฒนาหลายคนไม่ Update apps ตาม Bug fixes อย่างต่อเนื่อง มี Apps เยอะที่ยังใช้ AFNetworking เวอร์ชันพัง แม้มี Patch วางไว้ SourceDNA วิเคราะห์ 20,000 apps ที่มี AFNetworking versions ต่างๆ พบ ~1,000 ยังใช้ SSL check ที่พัง
SourceDNA ทำได้ด้วย Analytics tools วิเคราะห์ Binary files ของพันๆ แอป เทคโนโลยีระบุได้ไม่ใช่แค่ Libraries ที่แอป Compile แต่ Versions ของ Libraries เหล่านั้น ที่มีประโยชน์มากสำหรับระบุ Apps ที่อาจได้รับผลกระทบจาก Bug/Vulnerabilities ที่รู้จัก ตาม Paper ที่เผยแพร่:
"SourceDNA สร้าง Differential fingerprint เพื่อหา Vulnerable code คิดว่าเป็น Unique characteristics ที่มี/ไม่มี เฉพาะใน Targeted version ไม่ใช่เวอร์ชันก่อน/หลัง ด้วย Signatures ชุดนี้ Analysis engine บอกได้แม่นยำว่าแต่ละ App ใช้ AFNetworking version ไหน"
แอปที่ได้รับผลกระทบหลายตัว จัดเก็บและส่งข้อมูล Credit card ผู้ใช้ รวมถึง Alibaba.com mobile app, KYBankAgent 3.0, Revo Restaurant Point of Sale หลายล้านผู้ใช้มี Vulnerable app ติดตั้งบน iOS — การเปิดเผยมหาศาลจาก Bug แค่ 6 สัปดาห์
"5% หรือ ~1,000 apps มีข้อบกพร่อง แอปเหล่านี้สำคัญไหม? เราเทียบกับ Rank data พบ Big players: Yahoo!, Microsoft, Uber, Citrix, ฯลฯ ทำให้ประหลาดใจว่า Open-source library ที่นำ Security flaw มาแค่ 6 สัปดาห์ เปิดโอกาสให้ ล้านๆ ผู้ใช้ถูกโจมตี"
ประเมินผลกระทบของ AFNetworking Bug
ช่องโหว่นี้ร้ายแค่ไหน? Bug อนุญาตให้โจมตีหลอก Apps คิดว่าติดต่อ Secure connection กับ Trusted server ถ้าคุณใช้ Vulnerable app ใครก็ตามบน WiFi เดียวกัน สามารถ Setup Man-in-the-middle attack และ Intercept ข้อมูลจาก Apps รวมถึงข้อมูลละเอียดอ่อน เช่น Credit card info ข้อมูลนี้ใช้ทำ Identity theft และ Fraud อื่นๆ ได้ อาจ Automate โจมตีเป้าหมาย Popular apps
บริษัทหลายแห่งเร่งออก Update/Fix ตั้งแต่อ่าวข่าว รวม Microsoft และ Yahoo แต่แอปส่วนใหญ่ยังไม่ Patch เช็คว่าแอปที่คุณใช้ได้รับผลกระทบไหม ด้วย SourceDNA search tool ถ้าพบแอปของคุณยัง Vulnerable กลยุทธ์ปลอดภัย: ลบชั่วคราว และแจ้ง Developer ให้ Patch เร็วที่สุด
SourceDNA เป็นเครื่องมือฉลาด และแสดงว่าเทคโนโลยีของพวกเขาใช้ได้จริง Computer security ยาก และ Tool ที่ Automate การหา Unpatched bugs — ไม่ว่าจะมีความร่วมมือจาก Developer หรือไม่ — เป็นชัยชนะใหญ่สำหรับความปลอดภัยผู้ใช้ โดยไม่มีการตรวจสอบแบบนี้ Bug แบบแพร่หลายนี้จะคงอยู่ นานมาก การวิเคราะห์แบบนี้ ทำให้ Mass public shaming ทำให้ Developer รับผิดชอบมากขึ้น และดูเหมือน SourceDNA จะค้นพบปัญหาที่ยังไม่ถูกตรวจพบ/แก้ไข อีกมาก
iOS ของคุณได้รับผลกระทบจาก AFNetworking bug ไหม? ตื่นเต้นกับ Analytics tools ใหม่ไหม? บอกเราในความคิดเห็น!
Image credits: "US Navy Cyberwarfare," "iPhone front, "iPhone camera", by Wikimedia
