Tu banca móvil, en forma simple y segura?

Transcripción

1 Jan Vašek - CC0 Tu banca móvil, en forma simple y segura? Estado de la seguridad en apps móviles bancarias Cristián Rojas, CSSLP CLCERT Universidad de Chile

2 About: Cristián Rojas Ingeniero Civil en Computación, DCC-UCHILE Tesista, MSc-CS, DCCUCHILE Múltiples funciones en INFOSEC: Mercenario-Consigliere Profesor-Instructor Investigador (CLCERT-UCHILE) INFOSEC-Privacy-KittehsBeer Geek

3 ?

4

5 Pruebe nuestra app! Ya conoce las nuevas funciones de nuestra app? Con nuestra app Usted podrá hacer sus operaciones en forma fácil y segura! Use nuestra app y gánese un ipad! Por casualidad no le contamos que tenemos una app?

6 Alguien es desarrollador de aplicaciones aquí? Julián Zárate, HTTP Break-header on GSM Networks, 8.8 Security Conference Foto: Gabriel Franco.

7 Use nuestra app ( ) en forma fácil y segura? Cuán segura?

8 Qué vulnerabilidades podría haber? El aparato La red NowSecure, The Anatomy of a Mobile Attack El centro de datos

9 La investigación Análisis de seguridad para apps de 9 X 10 bancos disponibles en la Google Play Store (Android): Y por qué no ios? Ingeniería reversa de paquetes APK Análisis estático manual y automatizado de tales paquetes Análisis pasivo de funcionamiento de apps Uso de proxy MITM (con capacidad HTTPS) Revisión de área de almacenamiento de la app Análisis de información enviada a logs Simulación de recorrido geográfico para el GPS

10 La investigación Ningún banco ha sido maltratado: No hay pruebas sobre los servidores Entrega (futura) de informe de vulnerabilidades en forma privada a cada banco

11 Descubrimientos

12 Tipos de apps bancarias disponibles Nativas Híbridas Embedded Web

13 Mal uso de cifrado en tránsito I want your SK now, Mr. Anderson. SHA1 RC4

14 No uso de cifrado en tránsito MitM GET $ { url : } GET

15 Mal uso de cifrado en reposo SecurePrefs(localCxt, "my-prefs", Util.getAndroidID).put("rut", str); arrayofbyte1 = Tools.getIMEI().getBytes(); arrayofbyte2 = "5425b62537c61".getBytes(); arrayofbyte4 = Tools.getMD5( arrayofbyte1 + arrayofbyte2 );

16 Abuso de permisos ACCESS_COARSE_LOCATION, ACCESS_FINE_LOCATION WRITE_EXTERNAL_STORAGE READ_LOGS READ_CONTACTS READ_PHONE_STATE TODO O NADA! Modelo de permisos mejorado en Android Marshmallow, pero...

17 Compartición de información con terceros Compartición con proveedores: APM Analytics...de información: Del teléfono Personal (ej. RUT) Muchas apps no tienen política de privacidad asociada

18 Abuso de logging

19 Abuso de logging Otros datos enviados al log del aparato: Información personal del usuario Datos de destinatarios de transferencias Cookies y ID's de sesión PAN completo de tarjetas de crédito! PASSWORDS!!! Toda esta información es accesible por otras apps que pidan permiso android.permission.read_logs Y si el equipo está rooteado, mejor ni hablar...

20 Equipos rooteados Sandboxing: Cada app tiene un usuario UNIX dentro del sistema Al rootear, eso se pierde Y cualquier app con root puede mirar archivos de la app, logs, etc. Algunas apps intentan alertar a los usuarios de aquello Principio de diseño abierto

21 A propósito: Medidas Anti-RevEng?

22 Medidas Anti-RevEng Caso: Appcelerator Titanium Encriptación de todos los archivos JS para luego concatenarlos en un CharBuffer Luego se extrae y desencripta cada archivo a discreción Y la llave de cifrado? Tomar medidas Anti-Ingeniería Reversa hace más segura la app? Grassi, Guerrero, The nightmare behind the cross platform mobile apps dream, BLACKHAT Asia 2015

23 Mal uso de cifrado en reposo II Android_ID ID de la app tp = <password_usuario> key = Ti.Utils.md5HexDigest(Ti.Platform.id + Ti.App.id) Alloy.Globals.encriptarClaveECB = function(tp, key) { var a = require("aes"), e = require("mode-ecb"), b64 = Ti.Utils.base64encode(key), key = a.cryptojs.enc.base64.parse(b64.tostring()), tc = a.cryptojs.aes.encrypt(tp, key, {mode: e.ecb}); return tc.tostring(); }

24 Timeout no/mal implementado O no hay timeout por inactividad O está mal implementado Muestra mensaje pero con el contenido de fondo 62% de los usuarios no bloquea sus equipos* * Elgeman, Jain, Portnoff, Liao, Consolvo, Wagner, Are you ready to lock?

25 Problemas heredados de la banca web Largo de passwords inadecuadamente restringido Y quién sabe cómo las almacenan Centro de datos para app móvil ubicado en el mismo servidor de banca web Uso de tarjeta de coordenadas como segundo factor de autentificación ( clave 2 )

26 Por qué pasa todo esto?

27 Seguridad Software

28 Mad Max: Fury Road, Warner Bros, 2015.

29 Blbliografía interesante Lineberry, Richardson, Wyatt, These aren't the permissions you're looking for, DEFCON 18 Zerial, Bancos en Chile: La precaria seguridad de la banca en linea NowSecure, 42+ Best Practices for Secure ios and Android Development

30 Jan Vašek - CC0 Gracias totales. Preguntas? Contacto: crirojas@clcert.cl