Потерян доступ к Google Authenticator: причины
Дополнительная безопасность – это хорошо. Но особенности функционирования программы играют злую шутку с пользователями. Коды генерируются и остаются на телефоне и не отправляются на серверы компании.
Если по каким-то причинам доступ к телефону и данным Google Authenticator будет утрачен, то попасть на сайты, в том числе в Гугл Плей Маркет для загрузки игр/приложений, будет невозможно. Под удар попадают те, кто
- потерял или сломал телефон,
- не предотвратил его кражу,
- вернул его к заводским настройкам?
- переустановил ОС.
Но выход есть, и сейчас мы рассмотрим основные способы решения проблемы. В основе всего лежит секретный ключ аутентификатора. В заисимости от того, есть он или нет, меняется вероятность того, возможно ли восстановление доступа к сайтам, приложениям, сервисам или нет.
Как идентифицировать пользователя
Необходимость в авторизации возникла сразу после появления персональных компьютеров, которые мог приобрести и установить любой желающий. Ещё более актуальной она стала при появлении ноутбуков и смартфонов. Это мобильные устройства, поэтому есть риск их физической утери. Отсутствие идентификации в этом случае — прямая угроза получения доступа к защищённым данным.
Разработчики используют такие способы авторизации в мобильном приложении.
1. Логин и пароль
Наиболее простой и доступный вариант. Логин идентифицирует пользователя, а пароль подтверждает его право входить в приложение. Можно использовать PIN-код, но с его помощью не получится пройти идентификацию. Он служит только для авторизации.
Этот способ проверки легко реализовать программно, но он не очень гибкий и безопасный. Часто пользователи используют одинаковые или слишком простые пароли, которые легко взламываются.
2. Шифрование
Разновидность предыдущего варианта. Логин и пароль, которые вводит пользователь, шифруются и передаются по сети на сервер. Там происходит проверка на подлинность, после чего человек получает разрешение на вход. Благодаря передаче данных в зашифрованном виде исключаются их перехват и подмена.
3. Single-Sign-On
Этот способ дает возможность пройти авторизацию в приложении один раз и входить в него после этого по упрощенной процедуре. Для этого после проверки пароля доверенный сервер выдает токен, после чего операции проводятся уже с ним.
Такой способ удобен, когда программа на смартфоне постоянно обращается к защищенной базе данных, и при каждом запросе нужно знать, кто его отправляет.
4. Touch ID
Вариант защиты с использованием биометрических данных пользователя. Наиболее распространенный вариант — идентификация и авторизация по отпечатку пальца. Узор уникален, вероятность ошибки практически нулевая. Если сканер не срабатывает, разработчики предусматривают возможность входа по PIN-коду или графическому ключу.
5. Face ID
Уникальный способ авторизации, который используется только на устройствах от Apple на iOS. Смартфон «узнает» человека с помощью специальной камеры, после чего разрешает или не разрешает входить в программу.
Идентификация по лицу обеспечивает высокий уровень безопасности. От разработчика требуется только интегрировать эту возможность в корпоративное ПО и связать программу с сервером, который распределяет права доступа пользователей.
6. Мультифакторная
Увеличить безопасность при входе в программу на телефоне можно с помощью SMS API и двойной проверки пользователя. На первом этапе используется логин и пароль, который идентифицирует человека. На втором он получает одноразовый PIN-код в SMS, которым подтверждает владение определенным номером телефона. Альтернативой коду может быть телефонный звонок.
Этот способ универсален и эффективен, поэтому часто используется для входа в корпоративную сеть. Единственный минус — усложненный процесс авторизации, который может раздражать пользователей.
7. Блокчейн-технологии
Инновационная технология обеспечения безопасности на основе распределенных сетей. Цепочка блоков практически не подвержена взлому. В случае внесения изменений в один из них попытка изменения данных обнаруживается, и скомпрометированная база данных на ноде заменяется на верифицированную.
В блокчейне сохраняется каждое действие любого участника сети, поэтому специалисты по кибербезопасности могут отследить всю активность с момента запуска блокчейна.
8. Одноразовый код или звонок
Этот способ используется для авторизации и проверки контактных данных на сайте. Его же можно использовать в качестве защиты мобильного приложения. Идентификатором пользователя выступает номер телефона, на который отправляется звонок или текстовое сообщение. Интеграция с помощью API позволяет автоматизировать процесс входа в приложение. Например, при поступлении звонка пользователь автоматически авторизуется в программе.
9. Сторонняя авторизация
Она дает возможность авторизоваться в мобильном приложении через аккаунт в социальной сети, аккаунт Google. Это актуально для смартфонов на Android. Для обмена информацией используются API различных сервисов.
10. Авторизация по QR-коду
Дополнительный способ входа в приложение — сканирование QR-кода, который генерируется корпоративным приложением. Этот вариант подходит для пользователей, которые часто используют мобильные телефоны в паре с компьютерами. На ПК или ноутбуке в этом случае запускается корпоративный сайт или программа, где будут генерироваться коды.
Apple
Впервые двухфакторная аутентификация появилась в устройствах Apple в 2013 году. В те времена убедить пользователей в необходимости дополнительной защиты было непросто. В Apple не стали и стараться: двухфакторная аутентификация (получившая название двухэтапной проверки, или Two-Step Verification) использовалась только для защиты от прямого финансового ущерба. Например, одноразовый код требовался при совершении покупки с нового устройства, смене пароля и для общения со службой поддержки на темы, связанные с учетной записью Apple ID.
Добром это все не кончилось. В августе 2014 года произошла массовая утечка фотографий знаменитостей. Хакеры сумели получить доступ к учетным записям жертв и скачали фото из iCloud. Разразился скандал, в результате которого Apple в спешном порядке расширила поддержку двухэтапной проверки на доступ к резервным копиям и фотографиям в iCloud. В это же время в компании продолжались работы над методом двухфакторной аутентификации нового поколения.
Двухэтапная проверка
Для доставки кодов двухэтапная проверка использует механизм Find My Phone, изначально предназначенный для доставки push-уведомлений и команд блокировки в случае потери или кражи телефона. Код выводится поверх экрана блокировки, соответственно, если злоумышленник добудет доверенное устройство, он сможет получить одноразовый код и воспользоваться им, даже не зная пароля устройства. Такой механизм доставки — откровенно слабое звено.
Также код можно получить в виде СМС или голосового звонка на зарегистрированный телефонный номер. Такой способ ничуть не более безопасен. SIM-карту можно извлечь из неплохо защищенного iPhone и вставить в любое другое устройство, после чего принять на нее код. Наконец, SIM-карту можно клонировать или взять у сотового оператора по поддельной доверенности — этот вид мошенничества сейчас приобрел просто эпидемический характер.
Если же у тебя нет доступа ни к доверенному iPhone, ни к доверенному телефонному номеру, то для доступа к учетной записи нужно использовать специальный 14-значный ключ (который, кстати, рекомендуется распечатать и хранить в безопасном месте, а в поездках — держать при себе). Если же ты потеряешь и его, то мало не покажется: доступ в учетную запись может быть закрыт навсегда.
Насколько это безопасно?
Если честно, не очень. Двухэтапная проверка реализована из рук вон плохо и заслуженно получила репутацию худшей системы двухфакторной аутентификации из всех игроков «большой тройки». Если нет другого выбора, то двухэтапная проверка — это все же лучше, чем ничего. Но выбор есть: с выходом iOS 9 Apple представила совершенно новую систему защиты, которой дали бесхитростное название «двухфакторная аутентификация».
В чем именно слабость этой системы? Во-первых, одноразовые коды, доставленные через механизм Find My Phone, отображаются прямо на экране блокировки. Во-вторых, аутентификация на основе телефонных номеров небезопасна: СМС могут быть перехвачены как на уровне провайдера, так и заменой или клонированием SIM-карты. Если же есть физический доступ к SIM-карте, то ее можно просто установить в другое устройство и получить код на совершенно законных основаниях.
Также имей в виду, что преступники научились получать SIM-карты взамен «утерянных» по поддельным доверенностям. Если твой пароль украли, то уж узнать твой номер телефона — плевое дело. Подделывается доверенность, получается новая SIM-карта — собственно, для доступа к твоей учетной записи больше ничего и не требуется.
Ответы на вопросы
Как вставить код из SMS на компьютере?
Чтобы вставить код из SMS на компьютер, необходимо сначала перенести его из сообщения на устройство компьютера. Это можно сделать, например, при помощи приложений для синхронизации мобильного устройства с компьютером. После переноса кода на компьютер, его можно вставить в нужное место, используя соответствующие комбинации клавиш или контекстное меню.
Можно ли автоматически вставлять коды из SMS?
Да, это возможно. Некоторые приложения для управления паролями и аутентификации используют автоматическую вставку кодов из SMS. Также, некоторые мессенджеры и почтовые сервисы могут предоставить такую функцию в своих настройках.
Как вставить код из SMS на смартфоне?
Чтобы вставить код из SMS на смартфоне, нужно скопировать его из сообщения, затем открыть нужное приложение и вставить код в соответствующее поле. Обычно, для копирования текста из сообщения, достаточно зажать на нем палец на экране телефона, после чего появится контекстное меню.
Что делать, если код из SMS не вставляется?
Если код из SMS не вставляется, стоит попробовать скопировать его еще раз и вставить в нужное поле. Также, возможно, что проблема связана с настройками устройства или приложения. В этом случае, стоит поискать подробную информацию по решению проблемы на сайте службы поддержки.
Можно ли вставить код из SMS вручную?
Да, можно. Если приложение или сервис не позволяет автоматически вставить код из SMS, его можно ввести вручную. Обычно, для этого достаточно открыть сообщение с кодом, скопировать его и вставить в соответствующее поле на странице приложения или сервиса.
Зачем нужны коды из SMS?
Коды, которые приходят на телефон в SMS, используются в различных приложениях и сервисах для аутентификации пользователя и защиты его персональных данных. Обычно, после ввода правильного кода, пользователю становятся доступными необходимые функции и возможности сервиса.
Как узнать код из SMS?
Код из SMS можно узнать, открыв соответствующее сообщение на своем телефоне. Обычно, код содержится в тексте сообщения и состоит из нескольких цифр.
Как решить проблему с кодами из SMS?
Если при использовании кодов из SMS возникают проблемы, стоит попробовать перезагрузить устройство и проверить настройки приложения или сервиса, в котором требуется вводить код. Если проблема сохраняется, можно попробовать связаться с поддержкой сервиса для получения более подробной информации по решению проблемы.
Как безопасно использовать коды из SMS?
Для безопасного использования кодов из SMS стоит следить за тем, чтобы они не попадали в руки посторонних лиц. Не стоит передавать коды кому-либо, за исключением случаев, когда это необходимо для работы приложения или сервиса. Также, следует внимательно отслеживать транзакции и активность на своих аккаунтах, чтобы не стать жертвой мошенничества.
Как установить приложение для автоматической вставки кодов из SMS?
Для установки приложения для автоматической вставки кодов из SMS, необходимо сначала найти нужное приложение в магазине приложений на своем телефоне, скачать его и установить. После этого, следует согласиться на запрашиваемые приложением права и настроить соответствующие параметры.
Как обновить приложение для автоматической вставки кодов из SMS?
Для обновления приложения для автоматической вставки кодов из SMS, нужно найти его в магазине приложений, проверить наличие новой версии и установить ее, если она доступна. Обычно, это можно сделать автоматически, если на устройстве установлена соответствующая настройка.
Как отключить автоматическую вставку кодов из SMS?
Для отключения автоматической вставки кодов из SMS, нужно зайти в настройки соответствующего приложения или сервиса и отключить соответствующую функцию. Точный способ отключения может отличаться в зависимости от приложения или устройства, поэтому рекомендуется обратиться к соответствующей документации приложения.
Как узнать, что код из SMS был успешно вставлен?
Чтобы узнать, что код из SMS был успешно вставлен, можно обратить внимание на наличие соответствующей отметки или сообщения об успешной аутентификации на странице или в приложении, куда был введен код. Если отметки или сообщения нет, стоит попробовать ввести код еще раз, при этом обязательно следить за тем, чтобы он был введен правильно
Можно ли использовать коды из SMS на другом устройстве?
В большинстве случаев, коды из SMS можно использовать только на устройстве, на которое они были отправлены. Это связано с мерами безопасности, предусмотренными для защиты данные пользователя. Однако, некоторые сервисы и приложения позволяют использовать коды на нескольких устройствах одновременно, если это не нарушает безопасности.
Что это значит?
Коды для активации андроид представляют собой комбинацию цифр, букв или символов, которые можно найти в различных источниках: на форумах, в руководствах или на официальных сайтах производителя устройства
Они могут быть разными для разных моделей или версий Android, поэтому перед использованием кода важно убедиться, что вы используете подходящий код для вашего устройства
Чтобы использовать код для активации андроид, вам нужно открыть приложение «Телефон» на своем устройстве Android и набрать нужный код на клавиатуре. После ввода кода нажмите кнопку «Вызов» или «ОК». В зависимости от кода, на экране может появиться дополнительное меню или окно с информацией о вашем устройстве.
Важно помнить, что некоторые коды могут иметь определенные последствия, поэтому перед использованием кода для активации андроид стоит ознакомиться с его описанием и возможными рисками. Также стоит быть осторожным и не вводить случайные коды, так как они могут повредить ваше устройство или вызвать непредвиденные ошибки
В общем, коды для активации андроид предоставляют пользователям дополнительные возможности и контроль над их устройствами. Они могут быть полезными для опытных пользователей или разработчиков, которые хотят настроить или оптимизировать свои устройства Android. Однако, перед использованием этих кодов, рекомендуется ознакомиться с руководствами и советами от производителей устройств и быть осторожным при вводе кодов на вашем устройстве.
Приложение для аутентификации
Некоторые сервисы, например, Instagram и Facebook, при настройке двухфакторной аутентификации указывают приложение как предпочтительный вариант получения одноразовых кодов.
Этот способ работает так:
- Скачайте на смартфон специальное приложение для аутентификации: Google Authenticator, Twilio Authy, Яндекс.Ключ, Microsoft Authenticator, Duo Mobile, FreeOTP, TOTP Authenticator. Проверьте, чтобы оно было совместимо с сервисами, для которых вы будете его использовать. Так, приложения Яндекса «сотрудничают» только с Яндекс.Ключом, но при этом в нем можно создавать коды для сторонних ресурсов.
- Активируйте двухфакторную аутентификацию в настройках безопасности нужного сервиса (например, Instagram или ).
- Выберите приложение в качестве способа получения кодов для входа.
- В приложение для аутентификации внесите сведения об аккаунтах, которые нужно защитить: отсканируйте в аутентификаторе QR-код из сервиса или введите указанный проверочный код.
- Программа начнет генерировать одноразовые ключи.Теперь при входе, например, в аккаунт соцсети с нового устройства вы должны будете вводить пароль, затем копировать из приложения-аутентификатора свежий код и вставлять его в появившееся поле.
Такой способ считается безопаснее SMS-сообщений по нескольким причинам:
- Коды не отображаются на заблокированном экране.
- Приложение не использует сотовую связь, не зависит от покрытия сети и нет риска перехвата сведений.
- Коды обновляются каждые 30 секунд по алгоритму OATH TOTP. Это означает, что даже если кто-то из-за вашего плеча увидел код на разблокированном экране, то у него есть максимум 30 секунд на использование этой информации.
Приложение Google Authenticator
К одному аутентификатору обычно можно привязать неограниченное количество сервисов, так что все коды от почты и соцсетей будут храниться в одном месте. Кроме того, некоторые приложения (например, Twilio Authy) дополнительно защищают вход с помощью биометрии, то есть никто, кроме вас, не сможет увидеть сгенерированные одноразовые ключи.
Совет ZOOM: установите приложение для аутентификации на мобильное устройство, но (в идеале) лучше заходите в аккаунт с другого гаджета или ПК. В противном случае вы привязываете оба фактора (пароль и код) к одному девайсу, что довольно рискованно. Но даже если вы всегда пользуетесь одним устройством, настройка двухэтапной верификации все равно повысит уровень защиты данных.
Как восстановить аутентификатор, если смартфон с приложением недоступен
Если у вас больше нет доступа к смартфону, на котором установлен аутентификатор, попробуйте вспомнить: возможно, вы все еще залогинены на одном из ваших устройств в тот аккаунт, к которому пытаетесь получить доступ? Дальнейшие действия зависят от ответа на этот вопрос.
Восстанавливаем аутентификатор, если доступ к аккаунту есть на каком-то другом устройстве
Если вы все еще залогинены на одном из ваших устройств в аккаунт, в который пытаетесь войти на другом, то исправить положение будет несложно. В этом случае попробуйте зайти в настройки и сбросить аутентификатор, то есть привязать его к новому приложению. Обычно соответствующий пункт можно найти где-нибудь на вкладке «Безопасность». Например, с аккаунтами Google и «Яндекс» такой вариант сработает, даже если вы залогинены всего в одном из приложений этих компаний — скажем, в YouTube или «Яндекс.Навигаторе».
Иногда в тех же настройках можно посмотреть секретный ключ или QR-код аутентификатора — некоторые сервисы (но далеко не все) это позволяют. В таком случае вам останется просто ввести эти данные в приложение-аутентификатор на новом устройстве.
К сожалению, этот способ срабатывает не всегда, даже если вы все еще залогинены в аккаунт на одном из устройств. Проблема в том, что не у всех сервисов совпадает набор настроек в веб-версии и в мобильном приложении — нужной опции там, где вы залогинены, может просто не быть.
Как восстановить аунтентификатор, если доступа к аккаунту нет
Если вы уже не залогинены в аккаунт и смартфон с приложением-аутентификатором вы потеряли, сбросили к заводским настройкам или у вас его украли — в общем, у вас так или иначе больше нет к нему доступа, — то восстановить аутентификатор не получится. Как и в том случае, когда описанный выше способ не сработал.
Все, что вам остается, это воспользоваться процедурой восстановления доступа к учетной записи. Если речь идет об аккаунте в одном из крупных публичных сервисов — Google, «Яндекс», Facebook, Instagram, Mail.ru, «ВКонтакте» и так далее — и ваша учетная запись привязана к почте или телефону, то вы сможете восстановить доступ, воспользовавшись альтернативным способом подтверждения.
Для этого начните входить в аккаунт, укажите логин и пароль, а на том этапе, когда обычно требуется ввод одноразового кода из приложения-аутентификатора, поищите ссылку с названием вроде «Другие способы подтверждения».
После этого выберите удобный вам вариант — обычно сервисы поддерживают доставку кода в SMS, голосовым звонком или на электронную почту — и дождитесь получения кода. Скорее всего, это не займет много времени, и уже совсем скоро вы сможете войти в аккаунт.
Если из-за утраты аутентификатора вы потеряли доступ к аккаунту в корпоративном или в небольшом публичном сервисе, у которого нет удобной страницы автоматического восстановления доступа, то вам следует связаться с локальным администратором или службой поддержки. Придется описать ситуацию и, скорее всего, тем или иным образом подтвердить, что вы — настоящий владелец аккаунта.
После того как вы наконец сможете войти в аккаунт, привяжите аутентификацию к приложению на новом смартфоне. Ну а чтобы не проходить все вышеописанные процедуры в следующий раз, когда смартфон с аутентификатором потеряется, будет разумно прямо сразу создать резервную копию.
Мобильная авторизация в США
Если методы мобильной авторизации могут сэкономить пользователям так много времени и нервов, почему эти методы еще не распространены в Соединенных Штатах так же широко, как в Китае? Одноразовые пароли распространены в США; однако они используются в основном для дополнительной безопасности в качестве средства двухфакторной аутентификации, а не как альтернатива паролю для входа в систему. (eBay – один из немногих сайтов, поддерживающих одноразовые пароли для входа в систему). 
Discover.com: Когда пользователь регистрируется на странице онлайн-банкинга с неизвестного устройства, сайт просит подтверждение личности пользователя с использованием временного идентификационного кода, который может быть передан через СМС, телефонный звонок или по электронной почте. 
Помимо двухфакторной аутентификации существуют и другие случаи, когда американские компании экспериментируют с альтернативными методами авторизации. Например, Microsoft Authenticator позволяет пользователям выполнять аутентификацию служб Microsoft с помощью своих смартфонов. Пользователь должен скачать и установить приложение Microsoft Authenticator на свой телефон. Затем, когда ему нужно войти на сайт Microsoft, на экране входа в систему отображается двузначное число; авторизация должен быть подтвержден в мобильном приложении, выбором правильного номера из списка кодов. В этом случае выбор кода еще проще, чем ввод одноразового пароля. После первоначальной настройки пользователи могут одобрить подпись при помощи отпечатка пальца или Face ID без необходимости выбора кода. Однако обязательным условием для входа в Microsoft Authenticator является наличие у пользователей специального приложения, установленного на телефон. Microsoft предоставляет возможность входа в аккаунт без пароля, используя мобильное приложение Microsoft Authenticator. 
Чтобы выполнить аутентификацию с помощью мобильного приложения Microsoft Authenticator, пользователи получают код на сайте, на который они хотят войти, а затем выбирают код из списка в приложении. 
После первоначальной настройки Microsoft Authenticator позволяет пользователям использовать Face ID или аутентификацию по отпечаткам пальцев для авторизации входа на другом устройстве.
Безопасность автоматической вставки кода из смс:
Автоматическая вставка кода из смс может быть полезной функцией для удобства пользователей, однако она также представляет определенные риски в плане безопасности.
Во-первых, при использовании автоматической вставки кода из смс необходимо обращать особое внимание к проверке входных данных, чтобы избежать возможности подмены кода
Важно использовать надежные методы проверки и валидации входных данных, чтобы предотвратить выполнение вредоносного кода
Во-вторых, автоматическая вставка кода из смс может стать уязвимостью для атаки типа Cross-Site Scripting (XSS), если не применять дополнительные меры защиты. Для предотвращения XSS-атак необходимо правильно обрабатывать и экранировать входные данные перед их вставкой на страницу.
Также стоит учитывать, что некоторые пользователи могут быть неправильно ориентированы и доверять автоматической вставке кода из смс без должной осведомленности о возможных опасностях
Поэтому важно не только обеспечить безопасность данной функции, но и информировать пользователей о возможных рисках и обучать их базовым правилам для защиты от вредоносного кода
Итак, безопасность автоматической вставки кода из смс требует тщательной проверки входных данных, использования надежных методов валидации, защиты от XSS-атак и обучения пользователей о возможных рисках. Соблюдение этих мер позволит улучшить безопасность функции и защитить пользователей от потенциальных угроз.
Почему возникает проблема с входом в аккаунт Гугл
Как известно, компания Google уделяет большое внимание конфиденциальности и безопасности пользователей, а также защите пользовательских устройств от стороннего вмешательства. Учитывая большой процент краж телефонов с ОС Андроид, которые злоумышленники просто сбрасывают до заводских настроек и продают в сетевых магазинах, Гугл решила ввести функцию защиты от кражи
С версии ОС Андроид 5.1 (Lollipop) на Андроид-телефонах появилась функция «Factory Reset Protection» (FRP), в переводе — «защита от сброса до заводских настроек». Теперь после сброса устройства до заводских настроек телефон будет требовать пароль от предыдущего Гугл аккаунта, который имелся на телефоне до сброса. Без ввода пароля доступа к телефону вы не получите.
Для активации FRP нужны два обязательных условия:
- Устройство вошло в систему с учетной записью Гугл.
- Для блокировки экрана установлено любое значение, кроме «Нет» или «Swipe».
Если какое-либо из этих условий не выполняется, FRP автоматически отключается. Таким образом, для избегания ловушки после сброса телефона необходимо перед его продажей (передачей) удалить все аккаунты Гугл с телефона. И установить для экрана блокировку защиту «Нет» или «Swipe» (проведение пальцем по экрану).
Описанную выше ошибку можно предотвратить, если удалить аккаунт Google до сброса настроек.
Эта мини-инструкция будет полезна, если вы продаете устройство и хотите выполнить hard reset, удалив следы использования. Покупатель сможет воспользоваться телефоном, подключив свой google аккаунт на этапе первого запуска Андроид.
Для того, чтобы осуществить сброс гугл аккаунта, нужно выполнить следующую последовательность:
После этого у вас больше не будет ошибок Google аккаунта при сбросе настроек.
Но что делать, если система все-таки просит зайти в профиль Google? Читайте далее.
Выводы
Приложения для мобильных платформ подвержены как старым общеизвестным угрозам, так и новым, еще не изученным до конца. Растет уровень распространения вредоносных приложений для Android.
Угрозы безопасности мобильных банков создают риски компрометации критичных данных пользователей, хищения денежных средств и нанесения ущерба репутации банка. Разработчики мобильных банк-клиентов не уделяют достаточного внимания вопросам безопасности приложения, не следуют руководствам по безопасной разработке. У разработчиков зачастую отсутствуют процессы разработки безопасного кода и архитектуры.
Рекомендации
- Осведомлять программистов о вопросах безопасности.
- Закладывать безопасность в архитектуру.
- Проводить аудит кода.
- Проводить анализ защищенности приложения.
- Применять параметры компилятора, связанные с безопасностью.
- Контролировать распространение приложения в сети Интернет.
- Быстро закрывать уязвимости и выпускать обновления.
Проведенное исследование, основанное на статическом анализе кода, показывает, что мобильные банки содержат уязвимости и недостатки, которые могут привести к хищению денежных средств. Уровень защищенности мобильных банков в большинстве случаев не превосходит уровня защищенности обычных мобильных приложений, в то время как связанные с ними риски подразумевают повышенные требования по безопасности.
Перед началом исследования предполагалось, что количество специфичных уязвимостей для мобильной платформы будет значительно преобладать над количеством общеизвестных. Но в результате можно увидеть примерно одинаковое количество уязвимостей обоих классов. Это означает наличие возможности проведения хорошо известных атак и на мобильные банковские приложения без знания их специфики. Полученные результаты пересекаются с OWASP Тор 10 Mobile Risks.
У злоумышленников есть множество путей реализации атак. При этом затраты на проведение атаки могут в реальной среде быть весьма низкими по сравнению с возможной выгодой.
Современные средства защиты для мобильных устройств — антивирусы, MDM-решения и т.д. — могут сократить риск, но не решить весь спектр проблем. Безопасность должна внедряться еще на этапе проектирования системы и присутствовать на всех этапах жизненного цикла программы, включая этап разработки и внедрения. Необходимо осуществлять аудит кода, анализ защищенности приложения, тестирование на проникновение.
Риски при использовании мобильного банкинга обратно пропорциональны защищенности приложения. Поэтому необходим комплексный аудит защищенности мобильных банковских приложений. Специалисты по ИБ банков должны уделять безопасности мобильных банков не меньше внимания, чем безопасности интернет-банков.