Los 10 errores más comunes de seguridad de aplicaciones móviles

1. A170018 Zair Cordero Velasco

2. Controles débiles del lado del servidor

3. Alojamiento inseguro de Información

4. Protección insuficiente en la capa de transporte

5. Fuga de datos involuntaria

6. Autenticación y autorización débiles

7. Criptografía rota/quebrada

8. “Inyección del lado del cliente

9. Decisiones de seguridad a través de entradas no confiables

10. Mal manejo de sesiones

11. Ausencia de protecciones de binarios

12. Afecta directamente al servidor y la seguridad debe depender exclusivamente del mismo. Las vulnerabilidades que afectan a esta categoría están asociadas a falta de controles y defensas por parte del servidor.

13. Ocurre cuando información sensible es alojada en el dispositivo móvil con ninguna ó pocas protecciones. Esta información podría ser accedida por malware o usuarios que no deberían tener acceso físico.

14. Aquí se presenta el histórico problema en el que las comunicaciones viajan en texto plano y quedan expuestas a cualquiera que pueda observar que ocurre en la red. Ya sea a través de analizadores de protocolos o cualquier aplicación que pueda ponerse en el medio de la comunicación.

15. La “Fuga de datos involuntaria” ocurre cuando la aplicación guarda datos sensibles en ubicaciones del dispositivo que pueden ser accedidos por cualquier persona o aplicación. Esto ocurre generalmente sin el consentimiento o sin el conocimiento de los desarrolladores.

16. Radica en los mecanismos de autenticación y autorización poco efectivos que permiten a un usuario anónimo ejecutar acciones en nombre de un usuario válido o incluso a un usuario válido ejecutar acciones privilegiadas a nombre de otro. Consisten en saltar las protecciones de login o funciones de aprobación para realizar determinadas acciones.

17. Este problema suele aparecer por el uso de algoritmos de cifrado débiles como RC2 o algoritmos de hashing con problemas de seguridad como MD4, MD5, etc.

18. El atacante va a intentar realizar acciones maliciosas contra el cliente y no contra el servidor. Las formas de atacar el cliente pueden ir desde esperar a que los clientes se conecten con un navegador Web para intentar hacer descargar y ejecutar una aplicación para que el usuario realice acciones indeseadas.

19. Ocurre cuando una token de sesión (sobre protocolos como HTTP ó SOAP) se mantiene en el servidor por un periodo de valides muy largo, cuando la generación de la token carece de complejidad.

20. Radica en la posibilidad de analizar y modificar la aplicación en el dispositivo móvil. Esto normalmente está ligado a la realización de ingeniería inversa.

21. Se presenta cuando la aplicación utiliza datos en la misma para permitir funcionalidades especiales. Un atacante malicioso podría cambiar un valor dentro de la aplicación, comunicación o incluso interferir un proceso y alterar el funcionamiento