(In)Segurança em Smartphones com Android

Transcrição

1 (In)SegurançaemSmartphonescomAndroid RicardoKléberMartinsGalvão (In)SegurançaemSmartphonesComAndroid::RicardoKléber Hack'nRio 02deDezembrode2011

2 GrupodePesquisanoIFRN LinhaEspecífica (In)SegurançaemSmartphonesComAndroid::RicardoKléber

3 OCrescimentonoUsodeCelulares CenárioMundial(Contextualizando) NúmerodeTelevisores:1,5bilhão NúmerodepessoasqueacessamInternet:1bilhão Númerodeaparelhoscelularesemuso:Maisde3bilhões (metadedapopulaçãomundial) Fonte: OHA ( (In)SegurançaemSmartphonesComAndroid::RicardoKléber

4 Smartphones::Números CenárioMundial 420MilhõesdeAparelhosVendidosem2011 As vendas globais de smartphones vão superar a marca de 420 milhões de aparelhos em 2011, aponta levantamento da IMS Research. Sob essa projeção, os dispositivos vão responder por cerca de 28% do mercado mundialdecelularesatéofimdoano. Segundo a consultoria, com a maior variedade de modelos e preços mais acessíveis, as vendas anuais vão ultrapassar um bilhão de dispositivos até 2016,respondendoporumemcadadoiscelularesvendidosnoperíodo. LG e Nokia apresentam resultados negativos comparados a Apple e Samsung.Umconjuntodefatoresexplicamoinsucessodealgunsfabricantes, como design pobre dos aparelhos, interfaces de usuário insatisfatórias, portfólios que não oferecem recursos diferenciados e Sistema Operacional escolhido. Em outra frente, o estudo ressalta os bons resultados da Apple, mas indica queaempresadestevejobsnãoestará sozinhanessecenário. Oprincipal concorrente, segundo a pesquisa, é a Samsung, que ampliou sua participação no mercado de smartphones de 3% no primeiro trimestre de 2010paramaisde13%noperíodocorrespondenteem2011. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

5 Smartphones::Números AméricaLatina 04/11/ h52 VendasdesmartphonessomarãoUS$6binaAméricaLatinaem2011 AvendadesmartphonesnaAméricaLatinadevegerarreceitasdeUS$6bilhõesem2011,deacordocomdados daempresadepesquisademercadopyramid.aexpectativaéquesejamvendidas31milhõesdeunidadesdesse tipodeequipamentonoacumuladodoano. O crescimento da categoria no "mercado popular" e os esforços das operadoras de telecomunicações para expandir sua base instalada de smartphones devem guiar o crescimento da categoria neste ano, segundo a empresadepesquisa. A Pyramid espera que a venda de smartphones na América Latina avance a uma média de 30% ao ano nos próximoscincoanos. "Esse crescimento vai ser impulsionado pelos esforços das operadoras em aumentar receitas, além da queda no preçodosaparelhosedanecessidadecadavezmaiordosconsumidoresdeestaremconectados",disseaanalista JulianaGomez,daPyramid. Deacordocomaempresadepesquisa,omercadodesmartphonescresceu117%naAméricaLatina em2010,enquantoosegmentodedispositivosmóveiscomoumtodocresceu17%. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

6 Smartphones::AndroidGanhaForça ApplexSamsung 28/10/ h36 SamsungsuperaApplenavendadesmartphonesno3ºtrimestre ASamsungElectronicsultrapassouaApplecomomaiorfabricantedesmartphonesnoperíododejulhoasetembro com um salto de 44% nos embarques e prevê fortes vendas no atual trimestre, em um claro alerta para os concorrentes.(...) "(...)AppleeSamsungcontinuarãoadominaromercadonoquatrotrimestre",disseogerentedefundosKimHyun joong,damidasassetmanagement,quetemaçõesdasamsung. Olucrodadivisãodetelecomunicaçõesdacompanhiasul coreana,anunciadonestasexta feira,maisquedobrou emrelaçãoaumanoatrás,paraorecordede2,5trilhõesdewons(us$2,2bilhões)erespondeupor60%dolucro totaldasamsung,alémdetercompensadoaquedaacentuadanosganhosdadivisãodechipsdememória. Osembarquesdesmartphonessubiram44%emrelaçãoaotrimestreanterior,para27,8milhõesdeunidades,quase quatrovezesmaisqueumanoantes,segundoaconsultoriastrategyanalytics. As vendas da Apple diminuíram em 16%, para 17,1 milhões de unidades no terceiro trimestre. A Samsung tinha 23,8%domercadoglobaldesmartphonesnotrimestrepassado,novepontospercentuaisacimadaApple. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

7 Smartphones::AndroidGanhaForça ApplexSamsung 16/11/ h49 Androiddetém52,5%domercadodesmartphones, dizpesquisa Maisdametadedossmartphonesvendidosnomundonoterceirotrimestredoanosãoequipadoscomosistema operacionalandroiddogoogle,dissenestaterça feiraaempresagartner,dedicadaapesquisassobretecnologia. No terceiro trimestre de 2011, foram vendidos cerca de 60,5 milhões de telefones que funcionam com Android, o que supõe que esse sistema operacional possui 52,5% do mercado, contra 25,3% no mesmo período de 2010, afirmouagartner. ANokiavendeu19,5milhõesdesmartphonesequipadoscomosistemaoperacionalSymbiannoterceirotrimestre doano,massuafatiaparcelademercadocaiude36,3%háumanopara16,9%atualmente.aapplevendeu17,3 milhõesdeiphonescomosistemaoperacionalios.aempresatemumafatiademercadode15%contra16,6%um anoatrás. ABlackBerryfoiamarcaqueteveamaiorqueda.Apesardesuasvendasteremsubidonoperíodopara12,7 milhões de unidades de seu smartphone, sua fatia de mercado caiu de 15,4% há um ano para 11%. "O Android se beneficiou de uma maior oferta de produtos de massa, de uma competição mais fraca e da menorespectativapornovosprodutoscomsistemasoperacionaisalternativos",disseaprincipalanalistada Gartner,RobertaCozza. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

8 Smartphones::AndroidGanhaForça ApplexSamsung 22/09/2011 SmartphonescomAndroidserãoofuturohubdigitaldeconteúdo Nemcomputadores,nemTVs,nemanuvem,nemiGadgetscomAirPlay:paraaIMSResearch,ohubdigitaldofuturopara conteúdodigitalserãosmartphonescomandroid.ouseja,essesgadgetsserãocapazesdealimentartelevisores,consoles devideogameeoutroseletrônicoscomconteúdodigitaldeformasimilaraoqueiphone,ipadseipodstouchfazemhoje comoappletv. Osegredoportrásdissoestáemquatroletras:DNLA,siglaparaDigitalLivingNetworkAlliance,umprotocoloabertode compartilhamentodemídiaquevemsendoamplamenteadotadoporfabricantesdeandroids.estima seque,em2015, 75%dosaparelhoscomDNLAvendidosforadosEstadosUnidosedoJapãoserãosmartphones. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

9 OSistemaOperacionalAndroid Oqueé? Maisqueumsistemaoperacional,oAndroidé......uma nova plataforma de desenvolvimento para aplicativos móveis, tendo por base (kernel) o sistema operacional Linux, associado a diversas aplicações, ambiente de desenvolvimento otimizado baseado na linguagemjavaeflexibilidadeparaadequaçãoàsmais diversasplataformasenecessidades. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

10 OSistemaOperacionalAndroid Arquitetura(Diagrama) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

11 OSistemaOperacionalAndroid ProjetoeManutenção Projeto(emanutenção)dosistemalideradopelaempresaGoogle( Juntamentecomoutrasgrandesempresaslíderesdomercadode: telefonia(comoamotorola,lg,samsung,htc,sonyericssontelefónica,telecomitalia,sprint NexteleVodafone, ); hardware(comoatoshiba,intelasus,acer,sharp,nececompanhiaschinesas) criarame/oumantémaoha(openhandsetalliance) com a intenção de padronizar uma plataforma de código aberto e livre para celulares que pudesse atender a todas as expectativas e tendências do mercado atual. Fonte: OHA ( AOHAconta,atualmente,commaisde80empresasentreoperadorasdetelefonia móvel,fabricantesdedispositivosmóveis,fabricantesdesemicondutoreseempresas dedesenvolvimentodesoftware,comércioeserviços (In)SegurançaemSmartphonesComAndroid::RicardoKléber

12 OSistemaOperacionalAndroid LicençadeUsoeComercialização Plataformalivreedecódigoaberto Gratuitoedisponibilizadocomlicençaflexívelpossibilitandoaosfabricantes dedispositivosmóveisarealizaçãodealteraçõesemseucódigo fonteea customizaçãodeseusprodutos Semanecessidade/obrigaçãodocompartilhamentodessasalterações. Possibilidade/aberturaacontribuições(emseucódigo fonte)porpartede desenvolvedores de todo o mundo, adicionando funcionalidades e/ou corrigindofalhas. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

13 OSistemaOperacionalAndroid AplicaçõesparaoAndroid APIdisponibilizadaparadesenvolvedoresconstruírem aplicaçõesparaexecuçãoemmáquinavirtualjava Otimizada(Dalvik) Aplicações(arquivosjar)empacotadosemarquivos.apk Aplicaçõessãoinstaladaspelousuário(baixandoe instalandopacotes.apkouusandoumappstore) AndroidManifest.xml(arquivoembutidoemcada.apk com regras defuncionamentodopacote) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

14 (In)SegurançanoS.O.Android Ok...Masvamoslá... Esobrea(In)SegurançanoAndroid??? (In)SegurançaemSmartphonesComAndroid::RicardoKléber

15 (In)SegurançanoS.O.Android DoisEnfoques... Velhosproblemas=sempreproblemas! Novosrecursos=novosproblemas (In)SegurançaemSmartphonesComAndroid::RicardoKléber

16 (In)SegurançanoS.O.Android Velhosproblemas=sempreproblemas CavalosdeTróia/MalwaresnoAndroid!!?? (In)SegurançaemSmartphonesComAndroid::RicardoKléber

17 (In)SegurançanoS.O.Android Velhosproblemas=sempreproblemas 15/07/ h40 CavalodeTroiaquejáinvadiuSymbian,BlackBerryeWP7chegaaoAndroid PragafingeseraplicativodeMobileBanking,mas,umavezinstalada,copiadadosbancárioseosenviaaumservidorremoto. Um cavalo de Tróia que já contaminou as plataformas Symbian, BlackBerry e Windows Phone chega agora ao Android. Conhecido como Zitmo, a praga vem sendo usada pelo grupo criminoso ZeuS a fim de roubar dados bancáriosdedispositivosmóveis. AnovainvasãofoiconfirmadapelacompanhiadesegurançaFortinetnasemanapassada.Otrojanfingeserum aplicativodemobilebanking,mas,umavezinstalado,encaminhaasmensagensqueousuáriorecebeparaoutro endereço.assim,obtémassenhasdeautenticação(mtan)utilizadasemtransações. Apraga émuitoeficientenoquesepropõeafazer,vencendoaautenticaçãoduplaqueinstituiçõesfinanceiras promovemporquestõesdesegurança.primeiro,agangueinfestaosmartphonecomummalware,responsávelpor identificar o login e a senha da vítima. Depois, dizendo ser o próprio banco, envia um SMS a ela, oferecendo o downloaddeumaplicativo,queroubaráasinformaçõesnecessáriasparacompletaroroubo. Funcionandoemsegundoplano,eleinterceptaasmensagenseasencaminhaparaumservidorremoto.Apesar desimples,éobastanteparaqueagangueconsigaosmtans. (...) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

18 (In)SegurançanoS.O.Android Velhosproblemas=sempreproblemas 23/08/ h14 TrojanletalameaçausuáriosdeAndroid Malwarepodeganharacessorooteroubardadospessoais,incluindooIMEIdoaparelho. DeacordocomumaequipedaUniversidadeEstadualdaCarolinadoNorte(EUA),queanalisouomalwarecom apoio da empresa chinesa de segurança móvel NetQin, o 'GingerMaster' carrega várias das características da crescente família de Trojans Android que atualmente circulam em sites de terceiros na China, mas com algumas inovaçõestãointeressantesquantoperigosas. Embutido em um app aparentemente legítimo feito para mostrar fotos de mulheres, o GingerMaster captura o máximo de dados pessoais do usuário incluindo o número do celular e seu IMEI e os envia para um servidor remoto. Em seguida, o servidor começará a baixar discretamente o malware, que explora o hack GingerBreak e que,umavezinstalado,tomarácompletamenteocontroledosmartphone. Comoédotiporoot,estehackserácapazdeburlarosistemadoAndroidquecontrolaaspermissõesdeapps eé issoquerevelaopoderdestrutivodesteataque.diantedeumacessotãoprofundoaosistema,osprogramasde segurança do Android serão incapazes de barrar a invasão e, para se livrar da praga, muitos usuários terão de apagarcompletamenteoconteúdodoaparelhoevoltaràsconfiguraçõesdefábrica. (...) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

19 (In)SegurançanoS.O.Android Velhosproblemas=sempreproblemas 26/11/ h46 Androidéoalvopreferidodevírusemalwaresemdispositivosmóveis,dizMcAffee Plataformadogoogleparadispositivosmóveissofreuaumentode37%nonúmerodevírusemalwaresemapenas3meses OmaisrecenterelatóriodaMcAfeeligaoalertadesegurançaparaosusuáriosdeAndroid.Apesquisamostraque aplataformaéoalvopreferidodosaplicativosmaliciosos(tambémconhecidoscomomalwares)paradispositivos móveis. No terceiro trimestre deste ano, praticamente só foram criados malwares para atingir a plataforma desenvolvidapelogoogle. OestudorevelaaumentonovolumedemalwaresnosistemaoperacionalmóveldoGoogleem37%emrelaçãoao trimestre anterior. O vice presidente sênior do McAfee Labs, Vincent Weafer, disse em comunicado divulgado à imprensaqueocenáriodeameaçasdeagoraincluiataquesde altoníveldesofisticação. Entre osdestaquesestãoos vírus que forçamo enviode SMS sem queodono doaparelhosaiba. Osmartphone passaamandarmensagensdetextocominformaçõessobreoproprietáriodocelularparaocriadordomalware, quepodeusartaisdadospararoubardinheirodapessoa. Diante da proliferação de programas maliciosos neste ano, a empresa aumentou sua previsão de 70 milhõesdemalwaresnofimde2011para75milhõesdemalwares,omaiorvolumedahistóriadossoftwares produzidoscomaintençãodecausarprejuízosaosusuários. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

20 (In)SegurançanoS.O.Android CombatendoaInfecçãoporMalwares ComogarantirquenãoháMalwareemumApp? (In)SegurançaemSmartphonesComAndroid::RicardoKléber

21 (In)SegurançanoS.O.Android CombatendoaInfecçãoporMalwares ComogarantirquenãoháMalwareemumApp? UsandooAndroidMarket!!?? BasepúblicaecentralizadadeAppsp/Android Possibilidadedeanálise(comentários)deoutros usuáriosdaaplicação Appstestados(!?)peloGoogle (In)SegurançaemSmartphonesComAndroid::RicardoKléber

22 (In)SegurançanoS.O.Android CombatendoaInfecçãoporMalwares OAndroidMarketdiminuioriscomasnãogarante quetodososappsdabaseestãoimunesamalwares Tudoquevocêprecisaéterumacontadedesenvolvedor, que pode facilmente ser anônima, pagar US$ 25 e postar seusaplicativos"(junipernetworks) Sem processo de revisão do software ou verificação do usuário, o aplicativo malicioso só é removido da Android Marketapósdenúncias. Até que isso aconteça, milhares de downloads são feitos e donos de smartphonesandroidprejudicados. NotificaçõesderemoçãodeAppsdoAndroidMarketcrescemacadadia. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

23 (In)SegurançanoS.O.Android RemoçãodeAppscomMalwaredoAndroidMarket 02/03/ h10 Googleremove21appsdoAndroidMarketporcontermalware trojanrootkit Após uma denúncia do Blog Android Police, juntamente com um usuário do serviço Reddit.com, ao Google, foram retirados21aplicativosdoandroidmarket,infectadoscomumtrojanbackdoorrootkit. SegundoaGoogle,osaplicativoseramdefatomalware,queapósganharacessoroot,juntavaminformaçõesvariadas, como IMEI, MSI, ID do produto, modelo, parceiro, língua, país, ID do usuário. O Malware podia também baixar mais instruçõesparaentãofazeroutrastarefas. EmboraaGoogletenharemovidorapidamente,assimquefoiavisada,doAndroidMarket,osaplicativosinfectadosforam baixadosporpelomenos50milusuários.aestratégiadocrackerfoibemsimples,elecopiavajogosfamosos,injetavao códigomaliciosoerepublicavaosjogosnomarketcomumnomeligeiramentediferente. Todos os apps foram publicados pelo mesmo desenvolvedor. Eles utilizam a falha do sistema rageagainstthecage paraganharacessorootaosistema(acessodeadministrador). (In)SegurançaemSmartphonesComAndroid::RicardoKléber

24 (In)SegurançanoS.O.Android RemoçãodeAppscomMalwaredoAndroidMarket 31/03/ h20 MaliciousappsremovedfromAndroidMarket Between30,000and120,000Androiddevicesmayhavebeenaffected,Lookoutsaid. "Thisweekend,multipleapplicationsavailableintheofficialAndroidMarketwerefoundtocontainmalwarethatcan compromiseasignificantamountofpersonaldata,"thecompanysaidinablogpostlatelastnight."likelycreated bythesamedeveloperswhobroughtdroiddreamtomarketbackinmarch,morethan25applicationswerefound tobeinfectedwithastrippeddownversionofdroiddreamwe'recalling'droiddreamlight'(ddlight)." Google removed 58 malicious apps from the market in March and remotely removed the apps from the devices they'dbeendownloadedto. The problem was reported to Lookout by a developer who found that modified versions of his app and another developer'sappwerebeingdistributedintheandroidmarket.lookoutconfirmedthatmaliciouscodewasinserted intotheappsandidentifiedmarkersthatlinkedthecodewithdroiddreamsamples. "Wediscovered24additionalappsre packagedandre distributedwiththemaliciouspayloadacrossa totalof4differentdeveloperaccounts,"lookoutsaid. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

25 (In)SegurançanoS.O.Android ODroidDream PiorTrojanInstaladoViaApp(AndroidMarketouMalwaredeFonteExterna) Codinome:Android.Rootcager Primeiroregistroem03/01/2011 Desbloqueia automaticamente o acesso root do equipamento, usandooexploit rageagainstthecage Emseguida,capturaváriasinformaçõescontidasnoaparelhocomo IMEI, ID do produto, modelo, fornecedor de serviços, língua, país e userid. Possibilidade de conseguir fazer download de código adicional e expandir seautomaticamente. Açãoregistradaem4dias:200mildownloadsdeAppsinfectados. Google lançou o App Android Market Security Tool e instalou automaticamenteemaparelhosqueforaminfectados. Emmarço,oDroidDreamvoltoudisfarçadodevacina,um.APKcom onomede AndroidMarketSecurityToolMarch2011 (In)SegurançaemSmartphonesComAndroid::RicardoKléber

26 (In)SegurançanoS.O.Android Detalhessobreo DDLight 01/06/ h27 VírusparaAndroidseexecutaquandousuáriorecebechamada PragaestavasendodistribuídanoMarket.Appscontendoocódigojáforamremovidos. A principal novidade do DDLight é a capacidade de se executar automaticamente quando o usuário recebe umachamada,mesmoqueoappnãotenhasidoacessadopelousuáriodepoisdeinstalado.emoutraspalavras, ele não é capaz de se instalar sozinho a partir de uma chamada, apenas de se executar caso ele já esteja instaladopelomarket. Emcontrapartida,ovírusnãoconsegueinstalaroutroscomponentesmaliciososnotelefonesemaautorizaçãodo usuário, como a versão anterior conseguia. O DDLight, quando executado, transmite dados de telefone como o IMEI(identificadordocelular),oIMSI(identificadordochip),omodeloealistadeprogramasinstalados.Nãosese sabeaindaoqueoscriadoresdovírusqueremfazercomessasinformações. Paradisseminarovírus,oscriminososinfectaramprogramaslegítimosereenviamparaoMarketcomnomessimples, como Tetris. A Lookout estima que entre 30 e 120 mil usuários tenham baixado alguns dos softwares infectados pelomarket. A Lookout acredita que os responsáveis pelo novo ataque são os mesmos que infectaram 50 apps do Android Marketemmarço. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

27 (In)SegurançanoS.O.Android DetectandoeRemovendooDroidDream DroidDreamCleaner Diagnose&repairphonesinfectedwithDroidDreamMalware (In)SegurançaemSmartphonesComAndroid::RicardoKléber

28 (In)SegurançanoS.O.Android KillSwitch::O BotãoVermelho dogoogle/oha Quandoascoisas saemdocontrole ogoogle pode utilizar um recurso chamado Kill Switch e desinstalarappsremotamente Este recurso, apesar de intrusivo, é utilizado, por exemplo, quando Apps maliciosas são disponibilizadas no Android Market e instaladas porusuários O objetivo é utilizá lo somente quando a segurança do Sistema Operacional e/ou do usuárioestivercomprometida??? R O O D K C BA (In)SegurançaemSmartphonesComAndroid::RicardoKléber

29 (In)SegurançanoS.O.Android UpgradeAttack(infecçãonaatualizaçãodoApp) Neste tipodeataque aoandroido problema não está na instalação de um App (que instala sem problemas e sem qualquermalwareembutido) EstánaAtualizaçãodeversãodoApp Situação 01: Usuário recebe notificação de que existe uma nova versão de um Appinstalado...MasnãoéodesenvolvedordoAppquemenviouestanotificação Situação 02: Usuário recebe notificação de que existe uma nova versão de um Appinstalado...Desenvolvedor,apósganharconfiançadosusuárioscomseuApp original,enviaumanovaversãocommalware. PrimeiroCasoReal:DroidKungFu (In)SegurançaemSmartphonesComAndroid::RicardoKléber

30 (In)SegurançanoS.O.Android Outras Pragas instaladasviaapp Zitmo Programadopararoubardadosbancáriosdosusuários. ArquivoAPKpossui19KBdetamanho. AppsepassaporumaferramentadesegurançadodesenvolvedorTrusteer. Criaumíconecomonome"TrusteerRapport"nomenuprincipal. SoundMiner Capazderegistarnúmerosdecartãodecrédito,digitadosnotecladoouditosporvoz, edeosenviarparaocriadordaaplicação,(semacessoàredededados). Faz/fazia uso de uma segunda aplicação, Deliverer (com acesso à rede de dados),parafazeroenvio. GGTracker Disponível(junho/2011)empáginasemelhanteaoAndroidMarket DisponibilizavaumaplicativodeEconomiadeBateriadoSmartphone EnviavamensagensSMSPremium(US$40dólarespormensagem) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

31 (In)SegurançanoS.O.Android Outras Pragas instaladasviaapp Android.PjappsM Primeiroregistronoiníciode2010 Injetado em programas legítimos (baixados do Android Market) eredistribuĩdos (versão comomalwareembutido)em marketplacesterceirizados. Symantec aponta como principais objetivos o roubo de informações e montagem de umabotnet. AndroidOS.FakePlayer AppsedisfarçadeaplicativoMediaPlayer Envia mensagens SMS (sem a autorização/intervenção do usuário) par a números da Rússia(versãodescobertapelaSymantec) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

32 (In)SegurançanoS.O.Android NovosRecursos=Novosproblemas AutenticaçãodeServiçosGoogle (In)SegurançaemSmartphonesComAndroid::RicardoKléber

33 (In)SegurançanoS.O.Android NovosRecursos=Novosproblemas GoogleAuthTokenséSeguro? FalhadescobertaemversõesdoAndroidanterioresa2.3.3 UlmUniversityInstituteofMediaInformatics(Alemanha) Uso do protocolos sem criptografia (como HTTP) para transmitir AuthTokens em aplicativos como Google calendar, Google contact list, Google Picasa, além de outrosserviçosgoogleacessadospordispositivoscomandroid. Ataque Sidejacking : Interceptação desses dados dão/dariam acesso a informaçõesdeusuáriosarmazenadasna nuvem dogoogle. EmMaio/2011noticiou se(zdnet)que99,7%dossmartphonescom Androidestavamvulneráveisaestetipodeameaça. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

34 (In)SegurançanoS.O.Android NovosRecursos=Novosproblemas GoogleAuthTokenséSeguro? ScreenshotdeteladoWiresharkcomcapturadeAuthToken (ClientLogin)emumarequisiçãodedadosdoserviço PicasaWebAlbums. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

35 (In)SegurançanoS.O.Android NovosRecursos=Novosproblemas GoogleAuthTokenséSeguro? UsodeHTTPSemAppsAndroidGoogle (In)SegurançaemSmartphonesComAndroid::RicardoKléber

36 (In)SegurançanoS.O.Android NovosRecursos=Novosproblemas GoogleAuthTokenséSeguro? GoogleAuthTokensgeralmentesãoválidosporlongosperíodos TokensdoGoogleCalendar,porexemplo,sãoválidospor14dias. Solução!?AtualizaçãodoAndroid Android2.3.4passouaoferecertransferênciadeAuthTokensutilizandoHTTPS paraaautenticaçãoesincronizaçãodeappsemserviçosgoogle. Outrasdicas/sugestões: DiminuirotempodevidadosAuthTokens!!! ForçarousodeHTTPS(Google) DesabilitarasincronizaçãodedadosemredesWi Fipúblicaseabertas. EvitarutilizarAppsquerequeremautenticaçãoemredesWifipúblicaseabertas SóWi Fi??? IssoéumproblemadoAndroidoudeServiçosGoogle? (In)SegurançaemSmartphonesComAndroid::RicardoKléber

37 (In)SegurançanoS.O.Android GerênciaSeguradeTokens::MercadoCorporativo %E2%84%A2-mais-amigavel-para-as-empresas-e-o-comercio-eletronico/ BEDFORD, MA, EUA, 04 de janeiro de 2011 A Divisão de Segurança da EMC expande a opção de autenticadores RSA SecurID para aplicativos e dispositivos móveis baseados no Android como um componente conveniente paraasegurançacorporativa ARSA(divisãodesegurançadaEMC)anunciaadisponibilidadedoRSASecurID SoftwareTokenparaAndroid Desenvolvido para possibilitar que um dispositivo baseado no Android seja usado como um autenticador RSA SecurID,proporcionandoautenticaçãoemdoisfatoresconvenienteeeficazemtermosdecustosparaaplicativos erecursoscorporativos. ARSAtambémestáliberandoumnovoSoftwareDevelopmentKit(SDK)paraaplataformaAndroid. Permite aos desenvolvedores integrar autenticação em dois fatores RSA SecurID diretamente em aplicativos Androideobtervantagemcompetitivaaooferecerestacamadaadicionaldesegurança. OSDKédistribuídogratuitamenteparatodososparceirosRSASecured. O RSA SecurID Software Token para Android gera uma senha dinâmica que muda a cada 60 segundos, possibilitandoacessoseguroarecursoscorporativos. O token pode ser instalado diretamente em dispositivos baseados no Android, sem custo, por meio de um simplesdownloadnoandroidmarket. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

38 (In)SegurançanoS.O.Android GerênciaSeguradeTokens::MercadoCorporativo %E2%84%A2-mais-amigavel-para-as-empresas-e-o-comercio-eletronico/ BEDFORD, MA, EUA, 04 de janeiro de 2011 A Divisão de Segurança da EMC expande a opção de autenticadores RSA SecurID para aplicativos e dispositivos móveis baseados no Android como um componente conveniente paraasegurançacorporativa ComajudamínimadodepartamentodeTI,osusuáriospodemhabilitaroaplicativocomumsoftwaretokenseed exclusivo,criandoumautenticadorrsasecuridconveniente,seguroeeficazemtermosdecustos. Ao capacitar dispositivos móveis baseados na plataforma Android a implementar a tecnologia RSA SecurID, proporcionamos aos nossos usuários a entrega transparente de autenticação em dois fatores em aplicativos na nuvemounasdependênciasdosclientes. (TomCorn,ChiefStrategyOfficerdaRSA,aDivisãodeSegurançadaEMC) The RSA SecurID Software Token para a plataforma móvel Android está disponível para download gratuitamente desdeodia22dedezembrode2010noandroidmarket. Ele é habilitado para usuários com um software token seed exclusivo adquirido pelas organizações de TI que utilizamorsa AuthenticationManager. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

39 (In)SegurançanoS.O.Android Eoquemais? Android Botnets!!?? (In)SegurançaemSmartphonesComAndroid::RicardoKléber

40 (In)SegurançanoS.O.Android AndroidBotnets Geinimi IdentificadaemJaneiro/2011nomercadochinês InfecçãodeSmartphonesdamesmaformaquePcsZumbis MalwareinseridoviareempacotamentodeApps(AndroidMarket) TambémencontradosemROMseGamescustomizados(nãooficiais) Zitmo( ZeusInTheMObile ) VersõesparaAndroid,WindowsMobile,Symbian(09/2010)eBlackBerry DetalhesjáabordadosnaanálisedeinfecçãoporMalwares Novidades... UsodeSMS(canaldecomandoecontrole) Exploraçãodonovouniversodo3G VídeodeDemonstraçãodeFuncionamento Shmoocon2011(GeorgiaWeidman) SmartphoneBotnetsoverSMS LarguradeBandacadavezmaior Mobilidade(dificuldadedelocalização) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

41 (In)SegurançanoS.O.Android ComoSeProteger??? Aúnicamaneiradeprotegerverdadeiramenteumsmartphone écercarohardware,osdadoseosapps. Seostrêsnãoforemcobertos,nãohaverágarantias JohnDashner(McAfee) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

42 (In)SegurançanoS.O.Android Contramedidas(Dicas) Empresasnorte americanaseeuropéiasperdem,emmédia,11smartphonesporano (ForresterResearch) BloqueiodoSmartphone Proteção(!!??)contraperdaeroubo Ativaradeleçãodedadosnafalhaden(oito!?)tentativas Ativarafuncionalidadedepermissãodedeleçãoremotadedados Estarecomendaçãoécontestadaquandoutiliza sea funcionalidadedelocalizaçãodeaparelhoperdido. Nessescasos,obloqueiopodeaceleraroprocessode reinstalaçãodesistemaoperacionalnocasoderoubo. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

43 (In)SegurançanoS.O.Android Contramedidas(Dicas) AgrandemaioriadosmalwaresinfectamoAndroidatravésdeumcavalo de tróia AtençãoRedobradanaInstalaçãodeApps Sóinstalaraplicativos.apkdeafonterealmenteforconfiável UsaroAndroidMarketnãoégarantiadeAppsemmalware Buscaraplicativos maispopulares Verificarcomentáriosdeoutrosusuáriosantesdebaixar Verificarpermissõessolicitadas/necessáriasnainstalação(analisarcoerência) Atualizaraplicações(semprequedisponíveis) Atualizaçõesgeralmentecorrigemfalhas(quepodemcolocaremriscooaparelho) AndroiddisponibilizacorreçõesdeAppsinstalados overtheair Verificarafontedaatualização(paranãoservítimadeum UpdateAttack Fazerbackupsperiodicamente Dicatradicional,mascadavezmaisatualeválida Nocasoderoubo,orecursodeapagamentoremotopodeserfeitosemproblemas Ex.AppMyBackup(Apps,contatos,textoseconfiguraçõesemservidorremoto) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

44 (In)SegurançanoS.O.Android AppInventor::LiberdadeControlada AppInventor=AmbienteIntegradodeDesenvolvimentoparacriar aplicaçõeswebouparadispositivosqueutilizamosistemaoperacio nalandroid. Ambientesimplesparaodesenvolvimentorápidoefácildotipode aplicativoparaoqualelesedestina. Nãoénecessárioinstalá loemumcomputador(aplicativofuncionaonline diretamenteemumajaneladeumnavegador) Parautilizá lo,énecessáriopossuirumacontadeusuáriodagoogle. Ooutrolado(alémdapopularizaçãodedesenvolvimentodeApps)... LimitaçãoecontrolenautilizaçãoderecursosdoS.O.minimizandoosriscos decriaçãodenovosmalwares Menosrestrição(ouausênciadela)parapublicaçãonoAndroid MarketdeAppscriadascomooAppInventor(!!??) (In)SegurançaemSmartphonesComAndroid::RicardoKléber

45 (In)SegurançanoS.O.Android Asituaçãoétãogravecomo pintam??? 21/11/2011 :: Chris DiBona (executivo da Google para projetos de código aberto) AlarmesobrecrisedeinsegurançanoAndroidépurocharlatanismo... Empresas de vírus estão jogando com os seus medos para conseguirem vender softwares de proteção para o Android, o Blackberry e o ios. ( ) Tratam se de charlatões e picaretas. Se você trabalha numa dessas empresas que tentam vender esse tipo de apps para Android,BlackberryouiOS,vocêdeveriatomarvergonha nacara. (In)SegurançaemSmartphonesComAndroid::RicardoKléber

46 (In)SegurançanoS.O.Android Asituaçãoétãogravecomo pintam??? 21/11/2011 :: Chris DiBona (executivo da Google para projetos de código aberto) Alémdenãoexistir,naprática,oaumentodasameaçasapontadoem taispesquisas,ossistemasoperacionaismóveis,porpeculiaridadesdoseu funcionamentointrínseco,emníveldekernel,sãomenossucetíveisaesse tipodeataquesdoqueplataformascomoowindowsouomacos. Alguns malwares que poderiam potencialmente apresentar riscos de segurança para o Android chegaram, em mais de uma ocasião, a aparecer no próprio Android Market, o que, naquele tempo, pode ter dado ensejo a alarmes. As pragas, no entanto, tinham ação bastante específica e não apresentavam maiores riscos a quem não fosse usuário decertaoperadoradetelefoniamóvelnachina. Além dos casos concretos terem praticamente desaparecido de um tempo para cá, nunca foi observada qualquer ameaça maior, que oferecesse risco de proliferação ou de causar danos de forma mais abrangente. O mais intrigante é que, justamente quando tais notícias andambastanteraras,oscharlatõesresolveramberrarseudiscursosafado eencontraramemcertosveículosumcanaldepropagandagratuita. Link com comentário em (In)SegurançaemSmartphonesComAndroid::RicardoKléber

47 Perguntas (In)SegurançaemSmartphonesComAndroid::RicardoKléber

48 (In)SegurançaemSmartphonescomAndroid RicardoKléberMartinsGalvão (In)SegurançaemSmartphonesComAndroid::RicardoKléber Hack'nRio 02deDezembrode2011