2024 OWASP移动应用程序10大安全风险及其防护建议

2024 OWASP移动应用程序10大安全风险是OWASP(全球开放应用软件安全项目组织)基于专家共识，对最关键的移动应用程序安全风险进行的排名。排名中提到的每个风险都代表着一个潜在的弱点，恶意行为者可利用这些弱点破坏移动应用程序数据、功能和隐私的保密性、完整性和可用性。这份名单是通过收集网络安全专家对市场上最关键漏洞的反馈意见整理出来的，是开发人员、测试人员和安全专业人员积极解决移动应用程序中任何安全漏洞的重要资源，下文将详细介绍移动应用程序10大安全风险及其防护建议。

一、凭据使用不当

利用凭据使用不当的漏洞可能导致数据盗窃、公司和客户隐私受到侵犯、经济欺诈导致重大损失以及公司声誉受损。

防护建议：

• 实施稳健的加密：加密是移动安全的基本原则之一。确保使用强大的加密方法传输和存储包括凭证在内的敏感数据。
• 执行强密码策略：强密码要求用户定期创建和更新复杂且唯一的密码。
• 实施安全的身份验证方法：实施多因素和双因素身份验证（2FA）将增加一层额外的安全性。 改进会话管理：实施安全的会话管理实践--会话在短暂的闲置后失效。

二、供应链安全不足

供应链安全不足的漏洞主要针对构建和分发应用程序的活动。黑客可以利用第三方库中的漏洞访问服务器后台、篡改敏感数据并实施拒绝服务攻击。

防护建议：

• 代码签名和完整性检查：定期进行完整性检查和代码签名，以检测对源代码的未经授权的修改。
• 依赖性扫描：定期进行 SBOM 安全分析，更新应用程序中使用的依赖性，跟踪和识别整个软件中的漏洞。
• 安全的构建环境：定期更新和修补所有构建基础架构组件，以防止和尽量减少漏洞。

三、不安全的身份验证/授权

用户身份验证和授权问题会导致执行权限过大的功能操作，进而导致敏感信息被盗。

防护建议：

• 实施基于令牌的身份验证：为每个用户会话生成一个唯一的令牌并进行验证。
• 基于角色的访问控制（RBAC）：定义并执行用户角色和权限。
• 添加多因素身份验证：这将要求用户提供多种形式的身份验证，如密码、OTP 和/或生物识别数据。
• 避免不安全的设计模式：通过认真规划威胁建模、积极主动的漏洞管理、久经考验的架构模式和 SDLC，可以避免不安全的设计模式。

四、输入/输出验证不充分

没有执行充分数据验证的应用程序很容易受到这种威胁，存在 SQL 注入、普通注入或跨站点脚本攻击的风险。

防护建议：

• 输入验证：通过明确定义和遵守适当的数据格式，执行严格的输入验证。使用输入验证库和框架自动检测和过滤恶意输入。
• 参数化查询：这些 SQL 查询使用占位符来表示输入值，而不是直接将值插入查询字符串。然后在执行查询时用实际值替换占位符，有助于防止 SQL 注入。
• 输出编码：在向用户浏览器发送应用程序的输出之前，对其中潜在的危险字符进行编码或转义。这可以防止攻击者在网页中注入恶意脚本或内容。
• 数据白名单：它涉及指定可接受的数据输入，只允许认可的值。数据白名单可过滤用户输入，只允许使用预定义的值，从而提高安全性。

五、不安全通信

不安全通信通常发生在与服务器和外部服务交互的移动应用程序中。如果没有强大的加密和安全措施（如 TLS/SSL），攻击者就可以通过窃听和中间人攻击利用这些弱点，破坏数据的完整性和保密性。

防护建议：

• 使用HTTPS加密：部署SSL证书实现HTTPS加密，确保传输过程中对数据进行加密，实现端到端加密，防止窃听和数据篡改。
• 证书锁定：这将帮助你验证服务器SSL证书的真实性。
•  API 安全措施：为 API 实施强大的身份验证机制，如 API 密钥、OAuth 令牌和其他方法。

六、隐私控制不足

隐私控制不足意味着没有足够的安全措施，如强大的加密、访问控制、会话管理、同意方法等，来保证用户和其他机密信息的安全。

防护建议：

• 采用安全编码实践：对开发人员进行安全编码实践培训，并定期进行代码审查和静态代码分析，以识别和修复源代码中的安全漏洞。
• 采用数据最小化和匿名化技术：采用数据最小化原则，只收集和保留最少的必要数据。数据匿名化有助于通过标记化和哈希算法对敏感数据进行匿名化处理，以减少发生漏洞时的暴露。
• 部署入侵检测和防御系统（IDPS）：安装和配置 IDPS，以监控网络流量并检测未经授权的访问或恶意活动。将 IDPS 与集中式日志和监控系统集成，有助于提供安全事件和事故的全面可见性。
• 实施强大的访问控制和身份验证机制：实施集中式身份管理解决方案，以简化组织的用户身份验证和授权流程。
• 对静态和传输中的敏感数据进行加密：采用强大的加密算法（如 AES-256），对服务器、数据库和存储设备上存储的敏感数据进行加密。

七、二进制保护不足

二进制保护不足会使应用程序面临一系列风险，可能会危及应用程序的机密性、完整性和可用性。

防护建议：

• 代码混淆：通过增加复杂性来掩盖程序逻辑和结构，使逆向工程和利用具有挑战性。
• 二进制加固：应用堆栈金丝雀、地址空间布局随机化（ASLR）、数据执行防护（DEP）和控制流完整性等技术。

八、安全配置错误

常见的安全配置错误是由于未更改默认设置造成的。这些被认为是云计算的首要漏洞。

防护建议：

• 集中式配置管理：利用集中式配置管理工具管理和执行多个系统的安全配置。
• 网络分段和防火墙：将关键系统和敏感数据与安全性较低的网络部分隔离。
• 实施最低权限原则：仅授予用户和流程所需的最低访问权限，以保证系统顺利运行。

九、不安全的数据存储

不正确地存储数据将使系统面临漏洞，使得恶意行为者很容易通过 root 或越狱技术查看应用程序数据。在移动开发过程中，数据泄露最常见于无文档记录或文档记录不足的内部流程中。

防护建议：

• 采用严格的输入验证来阻止 SQL 注入尝试。
• 利用参数化查询或存储过程对用户输入数据进行消毒。
• 实施强大的访问控制和加密机制，并定期更新软件以修补已知漏洞。

十、加密不足

此漏洞可能导致加密密钥薄弱、密码容易被猜到和/或无法实施适当的加密。黑客利用薄弱的加密算法、可预测的密钥生成或有缺陷的实现方式，利用不充分的加密漏洞。他们可以拦截和解密敏感数据、操纵交易或注入恶意代码。不完善的加密协议允许攻击者绕过安全措施，在未经授权的情况下访问系统，并破坏数据的机密性、完整性和真实性，从而给组织和个人带来严重风险。

防护建议：

• 采用强大的加密标准，如AES-256 或 RSA（SSL证书就是采用RSA算法），并提供足够的密钥长度，以抵御暴力攻击。
• 确保安全的密钥生成方法和存储，如硬件安全模块（HSM）。
• 遵循 NIST SP 800-57 等行业标准，实施可信的加密算法和库。
• 定期审核加密协议，及时处理发现的任何弱点，以加强防御，防范潜在漏洞。

参考链接：https://www.appknox.com/blog/the-ultimate-guide-to-owasp-mobile-top-10-2024