Diseño de aplicaciones móviles seguras en Android.

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Diseño de aplicaciones móviles seguras en Android. alvaro.ospina@upb.edu.co aospina@gmail.com"

Beatriz Toledo Revuelta
hace 8 años
Vistas:

1 Diseño de aplicaciones móviles seguras en Android

2 Agenda Que es Android? Historia? Arquitectura Herramientas Medidas de seguridad

3 Que es Android? Pila de software pensada inicialmente para teléfonos móviles (smartphones) que incluye un sistema operativo, middleware y una capa aplicaciones. Basado en el kernel de Linux, por esa razón tiene inmersas las características de ser libre, gratuito y multiplataforma. Android utiliza una variación del lenguaje de programación Java (VM Dalvik)

sistema operativo, middleware y una capa aplicaciones.

4 Orígenes y algo de historia 2005: Google compra a una empresa llamada Android Inc. 2007: Primeras versiones en dispositivos móviles Primer malware para Android 2012: Sept 23: 4 años desde Android 1.0

5 Y como está ahora!!

6 Arquitectura de Android

7 Arquitectura de Android Cada aplicación se ejecuta en su propia máquina virtual aislada del resto. Esto asegura (por omisión) que una aplicación no puede acceder a los recursos de otra, a menos que el terminal este rooteado Al contrario que en JVM, la seguridad no se basa en las máquinas virtuales, sino en el propio sistema operativo: (evita ataque por overflowing) Control de acceso Aislamiento Seguridad basada en permisos.

terminal este rooteado Al contrario que en JVM, la seguridad no se basa en las máquinas virtuales, sino en

8 Control de acceso La versión 2.x proporciona opciones rudimentarias de la configuración de la contraseña: Fortaleza de la contraseña Tiempo tras bloquear el dispositivo La versión 3.x introduce el concepto de caducidad de contraseña y la posibilidad de cifrar los datos en la tarjeta y borrarlos tras un número determinado de intentos fallidos de acceso. La versión 4.x añade: Permite cifrado completo del dispositivo Reconocimiento facial para desbloquear la terminal Más control sobre la transmisión de datos en aplicaciones en segundo plano.

9 Aislamiento Este método aísla las aplicaciones entre sí y también evita que puedan modificar el kernel. La política por defecto prohíbe el acceso a prácticamente cualquier subsistema del dispositivo, aunque las aplicaciones puedan: Leer la lista de aplicaciones Leer datos en memoria flash Ejecutar otras aplicaciones Las aplicaciones pueden solicitar permisos adicionales

La política por defecto prohíbe el acceso a prácticamente cualquier subsistema del

10 Seguridad basada en permisos Por defecto, la mayoría de las aplicaciones Android tienen muy pocos permisos Cada aplicación incluye una lista de los permisos que necesita y que se presentan al usuario en lenguaje no técnico en el momento de la instalación. Si el usuario no acepta, no se instala la aplicación, no hay opción de elegir los permisos. En último termino es el usuario el que decide.

usuario en lenguaje no técnico en el momento de la instalación.

11 Procedencia de las aplicaciones En Android todas las aplicaciones tienen que estar firmadas digitalmente. Los desarrolladores pueden generar sus propios certificados. Para distribuirlas en Google Play el desarrollador debe pagar US$25 con su tarjeta de crédito. El atacante puede descargar una aplicación legítima, empaquetarla de nuevo con un troyano y volverla a firmar para distribuirla.

Para distribuirlas en Google Play el desarrollador debe pagar US$25 con su tarjeta de crédito.

12 Google Bouncer En febrero de 2012, Google incluyó en Google Play su herramienta de eliminación de malware automatizada: Google Bouncer

13 Como es una aplicación (apk) Es un archivo.zip Usado para empaquetar aplicaciones Todo apk incluye: Classes.dex (código compilado) Resourses.asc./res./META_INF.AndroidManifest.xml

14 Formato del Classes.dex Es el archivo que se ejecuta en la máquina virtual de Dalvik Optimizado para el mínimo consumo de memoria y el diseño esta condicionado por la reutilización de datos.

15 Formato AndroidManifest.xml Toda aplicación lo tiene, en el raíz del proyecto. Contiene información esencial necesaria sobre el sistema Android antes de poder ejecutar cualquier línea de código. (sin él la aplicación no funciona) Define los permisos de ejecución (acceso a internet, a la cámara, etc) Declara los componentes de nuestra aplicación (Activity, service,etc)

16 AndroidManifest.xml

17 Herramientas AXMLPrinter2 Extraemos la información del AndroidManifest.xml Dex2jar Convertimos el fichero.dex en un fichero de clases.jar Jdgui Leemos el código almacenado en el fichero.jar Wireshark Análisis dinámico del código.

18 MANOS A LA OBRA!!

19 imine Malware para Android Se hace pasar por un juego de busca minas Envía mensajes SMS a números premium

20 Permisos android.permission.internet android.permission.access_coarse_location android.permission.restart_packages android.permission.receive_sms android.permission.send_sms

21 Permisos

22 Medidas de Seguridad Instalar aplicaciones desde lugares reconocidos. Revisar los permisos que solicita la aplicación durante su instalación. También durante su actualización. Mantener actualizado el sistema operativo y las aplicaciones. Revisar los comentarios de los usuarios que han instalado la aplicación. Como siempre, el usuario es el eslabón más débil de la cadena.

23 Android puede ser muy atractivo en entornos empresariales Gran cantidad de aplicaciones. Facilidad de personalización. Integración con otros servicios de google.

24 Pero las implicaciones en seguridad son mayores La información almacenada ya no es personal, sin corporativa. Puede usarse para accesos remotos a recursos de la empresa. Un dispositivo comprometido puede poner en peligro toda la red de la empresa. Funciones esenciales para el negocio podrían depender de estos dispositivos.

25 Políticas de Seguridad Móvil empresarial Autenticar el accesos a los datos para usuarios y dispositivos. Proporcionar seguridad en la conexiones. Concientizar y formar a los usuarios. Instalación de herramientas para la detección de malware. Centralizar la seguridad de los dispositivos móviles.

26 Las pymes todavía no administran sus dispositivos móviles Según un estudio de de CDW desarrollado en Estados Unidos entre julio y septiembre, el 67% de los encargados de TI en pequeñas y medianas empresas no tienen conocimiento sobre programas para administrar los dispositivos móviles. Entre los que sí tienen conocimiento, solo el 22% han implementado o tienen planes para implementar un sistema de administración. El 75% de los encuestados afirmaron que los dispositivos móviles son críticos para el éxito de la empresa y el 67% aseguró que la empresa perdería competitividad sin esta clase de máquinas.

27 Seguridad empresarial (cont) A medida que las tabletas y los teléfonos móviles aumenten su protagonismo dentro de las oficinas, los administradores de TI necesitan desarrollar o comprar soluciones para administrar esta clase de equipos. El 50% de los usuarios de los dispositivos móviles pertenecen a lo que se puede llamar alta gerencia, lo que tiene serias implicaciones de administración. Los pequeños y medianos empresarios deberían incentivar a su departamento de TI a implementar una solución que integre la administración de dispositivos móviles.

28 Manejo de dispositivos móviles Se instala un agente en cada terminal y permite la gestión centralizada. Complejidad de las contraseñas. Tiempos de bloqueo de pantalla VPNs. Desinstalar funciones específicas, como instalar aplicaciones. Localizar dispositivos con GPS. Borrar información de forma remota.

29 Práctica

30 GRACIAS!!

Documentos relacionados

Móvil Seguro. Guía de Usuario Terminales Android

Móvil Seguro. Guía de Usuario Terminales Android Móvil Seguro Guía de Usuario Terminales Android Índice 1 Introducción...2 2 Descarga e instalación de Móvil Seguro...3 3 Registro del producto...5 4 Funciones de Móvil Seguro...7 4.1 Antivirus... 7 4.1