Análise de Segurança nos Processos de. Análise de Segurança nos Processos de Sincronização e Autenticação de Aplicativos

Transcrição

1 Análise de Segurança nos Processos de Sincronização e Autenticação de Aplicativos RicardoKléberMartinsGalvão ricardokleber@ricardokleber.com MarbelCristinadeOliveiraBarbosa marbel@segurancaderedes.org AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid ICCyber/ICoFCS 27deSetembrode2012

2 GPSISL::GrupodePesquisadoIFRN LinhaEspecífica AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

3 OCrescimentonoUsodeCelulares CenárioMundial(Contextualizando) NúmerodeTelevisores:1,5bilhão NúmerodepessoasqueacessamInternet:1bilhão Númerodeaparelhoscelularesemuso:Maisde3bilhões (metadedapopulaçãomundial) Fonte: OHA ( AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

4 Celulares(Convencionais)xSmartphones Comoandaaatualizaçãotecnológicanessaárea? X 1BilhãodeSmarphonesaté2016 Fonte: IMS Research AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

5 Smartphones::MercadoAndroid 16/11/ h49 Androiddetém52,5%domercadodesmartphones, dizpesquisa Maisdametadedossmartphonesvendidosnomundonoterceirotrimestredoanosãoequipadoscomosistema operacionalandroiddogoogle,dissenestaterça feiraaempresagartner,dedicadaapesquisassobretecnologia. No terceiro trimestre de 2011, foram vendidos cerca de 60,5 milhões de telefones que funcionam com Android, o que supõe que esse sistema operacional possui 52,5% do mercado, contra 25,3% no mesmo período de 2010, afirmouagartner. 04/04/ h59 Um em cada dois smartphones vendidos nos EUA é Android SistemadoGoogletem50,1%domercadonopaís,afirmapesquisa. Apple,comoiOS,tem30,2%departicipaçãonosEstadosUnidos. AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

6 OSistemaOperacionalAndroid Oqueé? Maisqueumsistemaoperacional,oAndroidé......uma nova plataforma de desenvolvimento para aplicativos móveis, tendo por base (kernel) o sistema operacional Linux, associado a diversas aplicações, ambiente de desenvolvimento otimizado baseado na linguagemjavaeflexibilidadeparaadequaçãoàsmais diversasplataformasenecessidades. AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

7 OSistemaOperacionalAndroid Arquitetura(Diagrama) AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

8 OSistemaOperacionalAndroid ProjetoeManutenção Projeto (e manutenção) do sistema liderado pela empresa Google( Juntamentecomoutrasgrandesempresaslíderesdomercadode: telefonia (como a Motorola, LG, Samsung, HTC, Sony Ericsson Telefónica, TelecomItalia,SprintNexteleVodafone, ); hardware (como a Toshiba, Intel ASUS, Acer, Sharp, Nec e companhias chinesas) criarame/oumantémaoha(openhandsetalliance)......coma intençãodepadronizarumaplataformadecódigoaberto elivreparacelularesquepudesseatenderatodasasexpectativase tendênciasdomercadoatual. Fonte: OHA ( AOHAconta,atualmente,commaisde80empresasentreoperadorasdetelefonia móvel,fabricantesdedispositivosmóveis,fabricantesdesemicondutoreseempresas dedesenvolvimentodesoftware,comércioeserviços AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

9 (In)SegurançanoS.O.Android DoisEnfoques... Velhosproblemas=sempreproblemas! Novosrecursos=novosproblemas AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

10 FocodesteArtigo Autenticação/SincronizaçãodeServiçosGoogle AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

11 Autenticação/SincronizaçãodeServiçosGoogle ComoFunciona!!?? ClientLogin=AutenticaçãoPadrãodoS.O.Android AutenticaçãoClientLoginemServiçosGoogle Apósautenticaçãopadrão(login/senha) Token Usadonosacessosseguintesesincronização AuthTokens AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid TOKEN

12 Motivação(QuestãoPrincipaldaPesquisa) GoogleAuthTokenséSeguro? FalhadescobertaemversõesdoAndroidanterioresa2.3.3 UlmUniversityInstituteofMediaInformatics(Alemanha) Usodoprotocolossemcriptografia(comoHTTP)paratransmitirAuthTokensemaplicativos como Google Calendar, Google Contact List, Google Picasa, acessados por dispositivos comandroid. HTTP TOKEN AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

13 Motivação(QuestãoPrincipaldaPesquisa) GoogleAuthTokenséSeguro? ScreenshotdeteladoWiresharkcomcapturadeAuthToken (ClientLogin)emumarequisiçãodedadosdoserviço PicasaWebAlbums. Ataque Sidejacking :Interceptaçãodessesdadosemanipulaçãodotokendão/dariam AnálisedeSegurançanosProcessosde acessoainformaçõesdeusuáriosarmazenadasna nuvem dogoogle. SincronizaçãoeAutenticaçãodeAplicativosAndroid

14 Motivação(QuestãoPrincipaldaPesquisa) GoogleAuthTokenséSeguro? TransmitemAuthTokensdeforma segura??? GoogleAuthTokensgeralmentesãoválidosporlongosperíodos TokensdoGoogleCalendar,porexemplo,sãoválidospor14dias. AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

15 AtividadesRealizadasemLaboratório ReproduçãodoCenárioeProvadeConceito DeterminaçãodeGraudeImpactoAtualdaVulnerabilidade AmpliaçãodosServiçosAnalisados AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

16 AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

17 AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

18 VulnerabilidadesnoUsodeAuthTokens ImpactoxContramedidas EmMaio/2011noticiou se(zdnet)que99,7%dossmartphonescomandroid estavamvulneráveisaestetipodeameaça. Baseadono... númerodeaparelhoscomsistemaoperacionalandroidcomasversõesvulneráveis Recomendação=EvitarusaressesaplicativosemredesWi Fi!!?? GoogleanuncioucorreçãosemanecessidadedeupgradedoS.O(20/05/2011) AdicionandocriptografianatransmissãodetokensdoCalendareContacts VulnerabilidadenoPicasanãofoicorrigida DisponibilizaçãodepatchesparaoPicasa(15/06/2011) Gallery3DApplicationparaAndroidversões2.1,2.2e2.3 Instaladoporpadrãonasversõesseguintes AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

19 VulnerabilidadesnoUsodeAuthTokens VersõesdoAndroidemUso(04/09/2012) 1.5(Cupcake)=0,2% 1.6(Donut)=0,4% 2.1(Eclair)=3,7% 2.2(Froyo)=14% 2.3(Gingerbread)=57,5% 3.1/3.2(Honeycomb)=2,1% 4.0(IceCreamSandwich)=20,9% 4,1(JellyBean)=1,2% TodososusuáriosatualizamseusApps!!?? AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

20 ProcessosdeAutenticaçãodeServiçosGoogle DetalhamentodosProtocolosDisponíveis AuthenticationandAuthorizationintheGoogleDataProtocol ClientLogininTheGoogleDataProtocolClientLibraries AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

21 VulnerabilidadesnaAutenticação/Sincronização AlémdaNuvemdeServiçosGoogle MecanismodeAutenticação:OAuth Tambémtransportado(porpadrão)viaHTTP Opção(configuraçõesdoserviço)deutilizarHTTPS Necessitadehabilitaçãoexplícita CharlieMillercontratadoparatrabalharna segurançadotwitterdesde14/09/2012 AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

22 VulnerabilidadesnaAutenticação/Sincronização TrabalhosFuturos Serviçosde Hospedagem AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

23 Perguntas AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid

24 Análise de Segurança nos Processos de Sincronização e Autenticação de Aplicativos RicardoKléberMartinsGalvão ricardokleber@ricardokleber.com MarbelCristinadeOliveiraBarbosa marbel@segurancaderedes.org AnálisedeSegurançanosProcessosde SincronizaçãoeAutenticaçãodeAplicativosAndroid ICCyber/ICoFCS 27deSetembrode2012