Desenvolvimento Seguro de Aplicações para Android. Ana Cláudia Costa

Transcrição

1 Desenvovimento Seguro de Apicações para Android Ana Cáudia Costa

2 Desenvovimento Seguro-Android Android dominated the smartphone market with a share of 82.8%

3 Desenvovimento Seguro-Android

4 Desenvovimento Seguro-Android Conhecendo o Android AndroidManifest Service SQLInjection ContentProviders Armazenamento Interno WebView (Cross-Site Scripting)

5 Arquitetura Fonte :

6 Conhecendo o Android Cada app Android executa em sua própria sandbox Muti-usuário cada app é um usuário diferente Por padrão o sistema assina cada app como um único usuário Linux(ID usado somente peo sistema e desconhecido peo app) O sistema atribui permissões para os arquivos de modo que apenas o User ID assinado possa acessá-os

7 Conhecendo o Android Cada processo tem sua própria máquina virtua, uma app executa isoada das demais Cada app é executada em um processo inux próprio Diferentes apps podem ser assinadas com o mesmo certificado Todas as permissões de acesso de uma app deve ser permitida peo usuário no momento da instaação

8 AndroidManifest.xm Toda apicação deve possuir o arquivo no diretório raiz Fornece informações do que o sistema deve ter antes de executar a app O nome do pacote para a apicação que servirá como identificação única para a apicação Descreve os componentes da apicação (Activities, services, broadcast receivers e content providers)

9 AndroidManifest.xm Contém o níve mínimo do Android API requerido pea apicação Contém quais permissões a apicação deve ter incusive as permissões para interação com outras apicações

10 AndroidManifest.xm <uses-permission> X <permission>

11 AndroidManifest.xm <permission> - Níveis de proteção Norma Dangerous Signature Signature or system

12 AndroidManifest.xm Exporando o AndroidManifest no Android Studio...

13 Service Pode executar ações de onga duração Background, não fornece interface para o usuário Um componente inicia o serviço e ee continuará em segundo pano, mesmo que o usuário saia do apicativo Não é um processo separado, permite que os erros sejam visuaizados na apicação principa. Exempos :transações de rede, música.

14 Service Assume basicamente duas formas: Started quando um componente inicia através do startservice(), após isso ee executará indefinidamente. Até a chamada do stopservice ou até que o prórpio serviço(stopsef) termine Bound Um componente da apicação iga-se a ee, estabeece uma interface cienteservidor que permite interagir com o serviço e até mesmo reaizar uma intercomunicação entre processos

15 Service Cada Service deve estar decarado no AndroidManifest Por Padrão services não são exportados para outras apicações Se você adicionar um intent fiter ee passa a ser exportado por padrão Recomenda-se que decare expicitamente no manifest se deve ser exportado, neste caso outros apicativos precisarão utiizar a tag <uses-permission> para o acesso

16 Service Caso precise fazer chamadas importantes, como armazenar uma senha ou mensagens privadas é necessário vaidar se está conectado ao service correto ou a um programa hosti É possíve expicitar o componente que está tentando conectar security-tips.htm

17 SQL Injection Entendendo Banco de Dados - Android SQLite Android provê suporte Leve Mutipataforma OpenSource Cada Apicação pode criar um ou mais BD O BD só pode ser acessado pea apicação

18 SQL Injection Entendendo Banco de Dados - Android SQLite Casses SQLiteDatabase Manipuação SQLiteOpenHeper - Criação

19 SQL Injection Entendendo Banco de Dados - Android SQLiteOpenHeper Fonte:

20 SQL Injection Entendendo Banco de Dados - Android SQLiteDatabase execsql(string sq); RawQuery( String sq, String[] SeectionArgs); insertorthrow(string tabe, String nucoumnhack, ContentVaues vaues); deete(string tabe, String wherecause, String[] whereargs) update(string tabe, ContentVaues vaues, String wherecause, String[] whereargs)

21 SQL Injection SQLInjection Sistema Login

22 SQL Injection SQLInjection Sistema Login Usuário: ana Senha: 2' OR '1 = 1

23 SQL Injection SQLInjection Sistema Login

24 SQL Injection SQLInjection Sistema Login SQL = SELECT * FROM usuario WHERE usuario = ana AND senha ='2' OR '1 = 1' Sempre será verdadeiro!

25 SQL Injection Como Prevenir? Evitar rawquery Conhecer os métodos e utiizar o adequado Utiizar Query parametrizada Fitrar os caracteres na inserção EVITAR CONCATENAÇÃO NA QUERY!!!

26 SQL Injection Consuta :

27 SQL Injection INSERT

28 SQL Injection Update:

29 Content Provider Compartihando informações entre Apps Permite que determinadas informações sejam púbicas para as demais apicações instaadas no sistema operaciona. Permite a outras apicações: consutar, inserir, aterar e excuir informações. Provedores de conteúdo nativos do android: contatos da agenda, imagens e vídeos Forma de comunicação com o provedor(nativo ou não) de conteúdo é padronizada

30 Content Provider Atuaizando um Provedor de Conteúdo

31 Content Provider Caso você não pretenda que outras apicações façam uso de seu contentprovider, configure no Android Manifest android:exported = fase Entre Apicações Próprias deve fazer uso do atributo de proteção android:protectioneve = signature, A permissão signature não requer confirmação do usuário, utiizadas quando as apicações são assinadas com a mesma chave Lembre-se das prevenções vistas anteriormente sobre SQLInjection, sempre em seu ContentProvider

32 Content Provider When creating a ContentProvider that wi be exported for use by other appications, you can specify a singe permission for reading and writing, or distinct permissions for reading and writing within the manifest. We recommend that you imit your permissions to those required to accompish the task at hand. Keep in mind that it s usuay easier to add permissions ater to expose new functionaity than it is to take them away and break existing users.

33 WebView Permite mostrar páginas web em sua Activity Permitir o acesso no AndroidManifest Carregar a página...

34 WebView

35 WebView Prevenindo Cross-Site Scripting(XSS) Diminuir a capacidade do webview APENAS para as funcionaidades que serão usadas peo seu app Se sua apicação não usa diretamente JavaScript NÃO chamar o método setjavascriptenabed() Se necessário use addjavascriptinterface() apenas com campos de inserção confiáveis;

36 WebView Prevenindo Cross-Site Scripting(XSS) Recomenda-se que utiize addjavascriptinterface () apenas para Scripts contidos em seu próprio apicativo APK Utiize cearcache() para deetar aquivos armazenados ocamente Dispositivos com Android mais antigo que 4.4 utiizam uma versão WebView com questões de segurança, nestes dispositivos recomenda-se sempre confirmar que o webview deve exibir apenas conteúdo confiáve

37 Armazenamento Interno Arquivos Criados por sua apicação são acessíveis apenas por sua apicação Caso outras apicações necessitem utiizar EVITAR o uso dos modos MODE_WORLD_WRITEABLE ou MODE_WORLD_READABLE para reaizar a interconexão de processos Utiize ContentProviders com permissões dinâmicas

38 Desenvovimento Seguro-Android Concusão Conhecer os mecanismos disponíveis para a comunicação correta entre apicações Manter-se atuaizados sobre os vírus e mawares que surgem Vaidar cient-side e server-side Aproveitar o crescente mercado de dispositivos com SO Android e fazer suas Apps mais seguras :)

39 Ana Cáudia Costa Mestra em Informática UFPB Anaista de Sistemas/Desenvovovedora Contato: E-mai: Site: