搜索

[10988] 2017-02-04_大量开发者会将访问token和API密钥硬编码至Android应用

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-02-04_大量开发者会将访问token和API密钥硬编码至Android应用 大 量 开 发 者 会 将 访 问 t o k e n 和 A P I 密 钥 硬 编 码 至 A n d r o i d 应 用 c x t   F r e e B u f   2 0 1 7 - 0 2 - 0 4 现 如 今 ， 许 多 开 发 者 仍 然 习 惯 于 将 现 如 今 ， 许 多 开 发 者 仍 然 习 惯 于 将 a c c e s s   t o k e n （ 访 问 凭 证 ） 和 （ 访 问 凭 证 ） 和 A P I   k e y （ （ A P I 密 钥 ） 等 敏 感 内 容 编 码 到 移 动 密 钥 ） 等 敏 感 内 容 编 码 到 移 动 A P P 中 去 ， 将 依 中 去 ， 将 依 托 于 各 种 第 三 方 服 务 的 数 据 资 产 置 于 风 险 中 。 托 于 各 种 第 三 方 服 务 的 数 据 资 产 置 于 风 险 中 。 机 密 信 息 易 遭 泄 漏 机 密 信 息 易 遭 泄 漏 网 络 安 全 公 司 F a l l i b l e 一 项 最 新 的 研 究 结 果 （ 点 击 查 看 ） 显 示 ： 在 统 计 到 的 1 6 ， 0 0 0 多 个 安 卓 应 用 中 ， 有 约 2 ， 5 0 0 个 应 用 都 出 现 开 发 者 将 机 密 凭 证 硬 编 码 进 去 的 情 况 。 统 计 工 具 为 去 年 1 1 月 该 公 司 生 产 的 在 线 扫 描 程 序 。 应 该 说 ， 当 需 要 提 供 的 访 问 只 在 有 限 的 范 围 内 时 ， 将 第 三 方 服 务 的 访 问 凭 证 硬 编 码 到 应 用 程 序 中 的 做 法 还 是 可 以 理 解 的 。 但 在 某 些 情 况 下 ， 开 发 者 如 果 将 允 许 访 问 机 密 数 据 或 关 键 系 统 的 k e y 也 加 入 进 去 ， 就 很 容 易 产 生 问 题 。 比 如 ， 在 F a l l i b l e 本 次 的 统 计 中 ， 有 3 0 4 个 A P P 就 出 现 了 这 种 情 况 。 这 些 A P P 包 含 了 为 如 T w i t t e r ， D r o p b o x ， F l i c k r ， I n s t a g r a m ， S l a c k ， A W S （ 亚 马 逊 云 计 算 ） 等 服 务 准 备 的 a c c e s s   t o k e n 和 A P I   k e y 。 对 比 对 比 1 6 ， ， 0 0 0 的 统 计 总 数 ， 这 的 统 计 总 数 ， 这 3 0 0 多 个 应 用 可 能 不 算 多 ， 但 是 从 它 们 所 牵 涉 的 服 务 类 型 和 访 问 权 限 来 看 ， 一 个 小 小 的 多 个 应 用 可 能 不 算 多 ， 但 是 从 它 们 所 牵 涉 的 服 务 类 型 和 访 问 权 限 来 看 ， 一 个 小 小 的 k e y 就 可 就 可 能 会 导 致 大 量 的 数 据 泄 漏 。 能 会 导 致 大 量 的 数 据 泄 漏 。 就 拿 S l a c k （ 流 行 的 办 公 交 流 应 用 ） t o k e n 来 说 ， 这 种 t o k e n 可 允 许 你 访 问 开 发 团 队 使 用 的 聊 天 日 志 ， 而 这 些 日 志 中 很 可 能 包 含 如 数 据 库 ， 持 续 集 成 平 台 和 其 他 内 部 服 务 的 更 多 凭 证 ， 更 不 要 说 访 问 共 享 文 件 等 内 容 。 去 年 ， 网 站 安 全 公 司 D e t e c t i f y 就 曾 发 现 超 过 1 ， 5 0 0 个 S l a c k   t o k e n 被 硬 编 码 到 G i t H u b 上 的 开 源 项 目 中 。 （ 了 解 更 多 详 情 ） 不 仅 如 此 ， A W S 访 问 凭 证 也 曾 被 大 量 发 现 于 G i t H u b 的 项 目 中 ， 这 使 得 亚 马 逊 不 得 不 主 动 出 击 扫 描 这 些 漏 洞 并 弃 用 遭 泄 漏 的 密 钥 。 据 F a i l l i b l e 的 研 究 人 员 在 博 客 中 介 绍 ， 许 多 被 发 现 的 A W S 服 务 密 钥 都 提 供 了 可 以 创 建 和 删 除 实 例 （ i n s t a n c e ） 的 权 限 。 删 除 A W S   i n s t a n c e 会 导 致 数 据 损 失 和 服 务 停 止 ， 而 创 建 i n s t a n c e 则 在 给 黑 客 带 来 便 利 的 同 时 ， 由 受 害 者 来 买 单 。
不 过 ， 这 也 不 是 人 们 第 一 次 在 移 动 应 用 中 发 现 A P I   k e y ,   a c c e s s   t o k e n 等 机 密 凭 证 。 2 0 1 5 年 德 国 达 姆 施 塔 特 市 科 技 大 学 的 研 究 人 员 曾 在 安 卓 和 i O S 系 统 中 发 现 超 过 1 ， 0 0 0 个 用 于 B a a S （ 后 端 即 服 务 ） 框 架 的 访 问 凭 证 。 这 些 凭 证 允 许 访 问 超 过 1 8 5 0 万 条 数 据 库 记 录 ， 包 含 应 用 开 发 者 存 储 在 P a r e s ， C l o u d M i n e ， A W S 等 B a a S 服 务 提 供 商 那 里 的 5 6 ， 0 0 0 ， 0 0 0 个 数 据 项 目 。 T r u f f l e   H o g 本 月 的 早 些 时 候 ， 一 名 安 全 研 究 人 员 曾 公 布 了 一 款 叫 做 “ T r u f f l e   H o g ” （ 松 露 猪 ， 专 门 在 秋 天 嗅 探 埋 藏 在 土 里 的 松 露 ） 的 工 具 。 此 款 工 具 能 帮 助 公 司 及 独 立 开 发 者 扫 描 他 们 的 程 序 ， 寻 找 那 些 可 能 早 些 时 候 添 加 之 后 却 又 忘 记 了 的 秘 密 t o k e n 。 如 果 你 有 兴 趣 了 解 这 款 工 具 的 话 ， 点 击 这 里 。 * 参 考 来 源 ： N e t w o r k W o r l d ， F B 小 编 c x t 编 译 ， 引 用 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理