加强移动应用安全的最佳实践

当今,移动应用业务占据了应用经济效益的重头。仅在 2020 年的美国,安卓的 Play Store 和 苹果的 App Store 就产生了 501 亿美元的收入。开发人员的任务是编写这些应用,和提供消费者所需的功能。

在激烈的竞争环境中,开发团队的重点目标为提升用户体验、满足用户日常生活所需以及发掘应用新功能。通常,安全性位于这些主要目标之后。

恶意人员了解开发人员可能会轻视安全性,于是他们针对安全漏洞,试图窃取数据、接管移动设备,甚至通过后端服务器秘密入侵网络,造成各种危害和恶果。移动应用安全,应成为现代网络领域的核心优先事项之一。本文介绍了一些基本的最佳实践,供开发人员加强移动应用安全性和处理常见的网络攻击。

移动应用安全最佳实践

关于如何更好地保护移动应用的信息很多,从验证用户身份到 API,再到服务器漏洞等等,这些内容足够写成一本书了。然而在本文,让我们仅关注一些基本的最佳实践,它们有助于开发人员显著提高移动应用的安全性。

实施更强的用户认证

仅使用密码来认证用户是一种相对落后的方法,而且这会导致应用和用户帐号容易受到攻击。在加强验证身份方面,许多开发人员仅采取强制用户创建强密码这一措施。

现在,在暗网上有超过 150 亿个被盗或被泄露的凭据,可供暗网的恶意人员使用。因此,仅依靠密码来认证用户是有风险的,因为恶意人员可能使用通过不法途径获取的凭证来登录和使用应用,以实现不良企图。

移动应用的更强的访问控制,需要使用其他类别的证据来验证用户身份。根据应用数据的敏感性和提供应用的品牌的需求,客户可能寻找一种认证服务器解决方案,它支持多种认证机制,可实现双因素认证和保护密码。对于密码,除了SSL外,最好也实施端到端加密,以保护传输中的和静态存储的密码。对于双因素认证,与其要求一次性密码(可能为了提升用户体验),不如考虑实施移动令牌(支持基于手机与生物识别的请求登录推送)。在寻找认证服务器时,建议寻找不要求使用特定供应商或认证机制技术的服务器。

保护软件供应链

移动应用依赖于专有代码和第三方组件的组合。开发人员通过使用这些第三方组件(包括框架和库),采用现成的应用功能和行为(例如处理网络请求或加载图像),可节省时间。

用于构建移动应用的第三方组件,成为了需要保护的软件供应链。开发人员需要严格评选其移动应用要使用的库和框架,并寻找信誉良好的开源项目。

此外,请确保定期更新移动应用所依赖的库或框架。因为,即使信誉良好的第三方组件也可能出现严重漏洞,例如 2022 年 Apache Log4j 事件。

加密数据

当用户与移动应用交互时,他们会频繁创建数据,这些数据会存储在本地设备上或通过 Internet 传输到后端系统。此外,重要开发数据(例如 API、证书和认证令牌)也存储在移动设备上。加密是现代应用安全的支柱,因为它将数据转换为人类不可读的格式,恶意人员若没有掌握解密方式,将无法读取这些受保护数据。

恶意人员几乎不可能通过暴力破解强大的加密标准,例如 AES-256。开发人员需要重点保护移动应用中的两种状态的数据:

  • 静态数据,它存储在移动设备上、用于隔离不同应用的沙箱中
  • 传输数据,它在用户设备和后端服务器之间通过网络传输

对于静态数据,请使用适当的解决方案来加密移动应用中生成的文件、二进制文件、字符串、密码和运行时信息。对于传输数据,请使用 TLS/SSL、公钥等来进行加密,以实现信任。

安全地处理会话

现在,用户的注意力持续时间已缩短,因此用户经常在短时间内在多个移动应用之间跳转。为了避免不良用户体验(即会话时间短导致需要重新登录),开发人员允许用户会话持续较长时间。这些会话是通过令牌维护的,当它们的有效时间太长或无意共享时会带来风险。

在对安全要求高的应用(例如网上银行)中,会话管理不当可能会对安全性造成严重破坏。为了更好地处理会话,请将低安全性应用的会话超时设置为一小时,将高风险应用的会话超时设置为 15 分钟。此外,使用支持行业标准方法的标准 Web 访问管理(即 Web SSO)产品,来创建令牌并确保在更改认证期间有效地销毁会话。

遵循最小特权原则

最小特权原则(PoLP)在信息安全中有着广泛的用途。若要遵循这一原则,将会严格限制用户、账号和进程的访问权限在必要的范围内。对于移动应用开发人员,遵循 PoLP 有助于限制用户设备上运行应用所需的权限。

当应用请求的权限超出其运行所需的权限时,恶意人员的攻击面就会扩大,敏感的用户数据会面临额外的风险。若通过遵循 PoLP原则来限制用户权限,开发人员可以从更安全的角度来处理权限,会验证所请求的权限是否恰当,然后才进行开发。

改变测试方法

DevSecOps(开发、安全和运营) 希望让应用安全成为开发生命周期早期的优先事项。然而,这种变革并不容易实现。一个好的开始方法是,把测试方法从定期测试改为连续测试。使用威胁建模和自动化测试不断寻找新的漏洞(它们可能会在不知不觉中使您的应用及其用户面临的网络攻击风险),然后及时修复。

采用加固应用解决方案

加固应用解决方案可有效保护移动应用免受实时攻击。安全性较好的应用,如果在不安全的环境(例如已越狱设备或较旧的操作系统)中运行,也很容易受到损害。加固应用解决方案可以隔离应用与运行环境,并防止各种攻击和威胁。此类解决方案也称为运行时应用自我保护(RASP) 解决方案。它们相对容易实现,并可以节省开发人员的工作时间,即把安全方面的问题改为让安全产品处理;此外,它们也是基于某些行业(如政府应用和银行应用)的需求而产生的,故此类产品非常受欢迎。

结语

开发人员应重视应用安全,将其提升到与其他开发重点(例如创新和用户体验)同等位置。若开始应用上述最佳实践,将会显著提升移动应用的安全性。

安讯奔的各种解决方案,可以帮助开发人员加强移动应用的安全性、实施强认证和会话管理。AccessMatrix IAM 套件和 YESsafe AppProtect+ ,为客户提供优秀的IAM解决方案和应用防护,有效提升认证用户和应用的安全性。

请联系我们以获取更多信息。