Η Nghiên cứu điểm kiểm tra (CPR) đã phát hiện ra dữ liệu nhạy cảm trong ứng dụng di động không được bảo vệ và có sẵn cho bất kỳ ai có Trình duyệt.
Ψchỉ đến "VirusTotal", các CPR ông đã tìm thấy 2.113 ứng dụng di động, có cơ sở dữ liệu trong điện toán đám mây không được bảo vệ và bị phơi nhiễm, tất cả đều trong quá trình nghiên cứu kéo dài ba tháng. Các ứng dụng di động từ Hơn 10.000 lượt tải xuống lên đến hơn 10.000.000 lượt tải xuống.
Η Nghiên cứu điểm kiểm tra (CPR) nhận thấy rằng dữ liệu nhạy cảm của một loạt ứng dụng di động đã bị lộ và có sẵn cho bất kỳ ai có trình duyệt. Các VirusTotal, một chi nhánh của Google, là một công cụ trực tuyến miễn phí phân tích các tệp và URL để phát hiện vi-rút, trojan và các dạng phần mềm độc hại khác.
Dữ liệu nhạy cảm được tìm thấy bởi CPR bao gồm: ảnh gia đình cá nhân, ID phiếu giảm giá trong ứng dụng chăm sóc sức khỏe, dữ liệu từ các nền tảng trao đổi tiền điện tử Và nhiều hơn nữa. CPR cung cấp một số ví dụ về các ứng dụng có dữ liệu được tìm thấy.
Ở một trong số chúng, CPR cho thấy nhiều hơn 50.000 tin nhắn riêng tư từ một ứng dụng hẹn hò phổ biến. CÁC CPR cảnh báo về mức độ dễ dàng xảy ra vi phạm dữ liệu thông qua phương pháp được mô tả và những gì nhà phát triển bảo mật đám mây có thể làm để bảo vệ ứng dụng của họ tốt hơn. Để tránh bị lợi dụng, CPR hiện sẽ không liệt kê tên của các ứng dụng di động liên quan đến cuộc điều tra.
Phương pháp luận truy cập
Để truy cập cơ sở dữ liệu được tiếp xúc, phương pháp rất đơn giản:
- Tìm kiếm các ứng dụng di động giao tiếp với các dịch vụ đám mây tại VirusTotal
- Lưu trữ những người có quyền truy cập trực tiếp vào dữ liệu
- Duyệt qua liên kết bạn nhận được
Nhận xét: Lotem Finkelsteen, Trưởng phòng Nghiên cứu và Tình báo Đe doạ tại Phần mềm Check Point:
Một hacker có thể hỏi VirusTotal đường dẫn hoàn chỉnh đến phần phụ trợ đám mây của một ứng dụng di động. Bản thân chúng tôi chia sẻ một số ví dụ về những gì chúng tôi có thể tìm thấy ở đó. Mọi thứ chúng tôi tìm thấy đều có sẵn cho bất kỳ ai. Cuối cùng, với nghiên cứu này, chúng tôi chứng minh việc vi phạm hoặc khai thác dữ liệu dễ xảy ra như thế nào.
Lượng dữ liệu mở và có sẵn cho bất kỳ ai trên đám mây là rất lớn. Nó dễ phá vỡ hơn chúng ta nghĩ rất nhiều.
Cách giữ an toàn:
Dưới đây là một số mẹo để đảm bảo các dịch vụ đám mây khác nhau của bạn được an toàn:
Amazon Web Services
Bảo mật nhóm AWS CloudGuard S3
Quy tắc cụ thể: “Đảm bảo rằng các nhóm S3 không thể truy cập công khai” ID quy tắc: D9.AWS.NET.06
Quy tắc cụ thể: "Đảm bảo rằng công chúng không thể truy cập các nhóm S3." ID quy tắc: D9.AWS.NET.06
Google Cloud Platform
Đảm bảo rằng Cơ sở lưu trữ đám mây không bị ẩn danh hoặc có thể truy cập công khai ID quy tắc: D9.GCP.IAM.09
Đảm bảo rằng cơ sở dữ liệu lưu trữ đám mây không ẩn danh hoặc có thể truy cập công khai ID quy tắc: D9.GCP.IAM.09
Microsoft Azure
Đảm bảo quy tắc truy cập mạng mặc định cho Tài khoản lưu trữ được đặt để từ chối ID quy tắc: D9.AZU.NET.24
Đảm bảo quy tắc truy cập mạng mặc định cho tài khoản lưu trữ được đặt để từ chối ID quy tắc D9.AZU.NET.24
Thông cáo báo chí
Các bạn đừng quên theo dõi nhé Xiaomi-miui.gr tại Google Tin tức để được thông báo ngay lập tức về tất cả các bài viết mới của chúng tôi! Bạn cũng có thể nếu bạn sử dụng trình đọc RSS, hãy thêm trang của chúng tôi vào danh sách của bạn, đơn giản bằng cách nhấp vào liên kết này >> https://news.xiaomi-miui.gr/feed/gn
