- Pinoprotektahan ng seguridad sa mobile ang personal, pinansyal, at pangnegosyong datos mula sa malware, pandaraya, at mga tagas.
- Ang Google Play Protect at mga opisyal na tindahan ay nagbibigay ng mahalagang patong ng depensa, ngunit nangangailangan ang mga ito ng wastong configuration.
- Dapat pagsamahin ng mga user ang mga update, kontrol sa pahintulot, 2FA, at mga espesyal na security app.
- Dapat ilapat ng mga developer ang mga pamantayan tulad ng OWASP MASVS upang magdisenyo ng mga secure na mobile app mula sa simula.
Ngayon, nakadikit tayo sa ating mga telepono at mga app nito, ngunit bihira tayong huminto upang isipin ang mga panganib na ating kinakaharap sa tuwing nag-i-install tayo ng app o kumokonekta sa isang pampublikong Wi-Fi network . Mula sa pagnanakaw ng personal na data hanggang sa malawakang pag-atake ng malware, ang mga banta ay patuloy na lumalaki kasabay ng bilang ng mga smartphone na kumakalat.
Kung ginagamit mo ang iyong telepono para sa trabaho, pamamahala ng iyong pera , o simpleng pakikipag-chat at pag-upload ng mga larawan, gugustuhin mong malaman kung paano protektahan ang iyong device, kung ano ang ginagawa ng mga built-in na security system tulad ng Google Play Protect, at kung ano ang mga pinakamahusay na kasanayan na dapat mong sundin at ng mga developer . Tingnan natin ito nang mahinahon, ngunit nang hindi nagpapaligoy-ligoy.
Bakit napakahalaga ng seguridad sa mga mobile app?
Saklaw ng seguridad sa mobile ang lahat ng hakbang na idinisenyo upang protektahan ang iyong smartphone o tablet mula sa mga problema tulad ng mga paglabag sa datos, paniniktik, malware, ransomware, o mga scam. Hindi lamang ito tungkol sa pag-install ng antivirus software at paglimot dito, kundi tungkol sa pag-unawa na ang mga mobile phone ngayon ay nakatuon sa malaking bahagi ng ating mga digital na buhay : mga contact, larawan, kredensyal, mga banking app, trabaho, libangan, at marami pang iba.
Sa mga nakaraang taon, ang bilang ng mga gumagamit ng smartphone ay biglang tumaas, na nagtulak sa mga cybercriminal na tumuon sa mga device na ito. Ang mga kumpanya ng cybersecurity ay nakatuklas ng sampu-sampung milyong malware, adware, at riskware na pag-atake sa mga mobile device sa isang taon , na may malaking pagtaas taon-taon. Sa madaling salita, ang mga mobile phone ay hindi na pangalawang target; sila na ang pangunahing target.
Bukod pa rito, mahalagang tandaan na ang pagprotekta sa personal na mobile phone ng isang tinedyer ay hindi katulad ng pagprotekta sa corporate device ng isang taong humahawak ng sensitibong data ng kumpanya . Gayunpaman, sa parehong kaso, ang kahinaan ay kadalasang pareho: pag-install ng mga app nang hindi tinitingnan ang mga ito , paggamit ng mga bukas na Wi-Fi network, mahihinang password, at maling pakiramdam ng seguridad.
Pangunahing mga panganib: kung ano ang maaaring manakaw o masira gamit ang isang hindi ligtas na app
Kapag pinag-uusapan natin ang seguridad ng mobile app, hindi lang mga klasikong virus ang ating iniisip. Ang isang hindi maayos na dinisenyo o malisyosong app ay maaaring humantong sa pagnanakaw ng sensitibong impormasyon, pagkalugi sa pananalapi, at pinsala sa reputasyon para sa parehong mga gumagamit at kumpanya.
Isa sa mga pinakakaraniwang panganib ay ang pagnanakaw ng personal na data at mga kredensyal sa pag-login . Kabilang dito ang mga pangalan, email address, numero ng telepono, password para sa mga platform at social network, at iba pa. Gamit ang data na ito, maaaring magpanggap ang mga magnanakaw bilang iba, magbukas ng mga bagong account, o mag-access ng iba pang mga application kung saan mo muling ginagamit ang mga password.
Isa pang kritikal na aspeto ay ang ninakaw na datos pinansyal : mga credit card, online banking access, mga serbisyo sa pagbabayad gamit ang mobile, mga cryptocurrency wallet, at mga e-commerce app. Maraming kampanya ng malware ang nakatuon nang husto sa pag-intercept ng mga SMS code, screen, o form mula sa mga financial app patungo sa mga walang laman na account o paggawa ng mga mapanlinlang na pagbabayad.
Sa kaso ng mga negosyo at mga propesyonal, ang pagnanakaw ng intelektwal na ari-arian ay nakakaapekto rin : source code, mga panloob na dokumento, mga disenyo, mga estratehiya sa negosyo, o impormasyon ng customer na nakaimbak o naa-access mula sa isang mobile device. Ang isang mahusay na naisagawang pag-atake laban sa isang corporate app ay maaaring magbura ng mga taon ng trabaho sa loob lamang ng ilang minuto.
Hindi natin dapat kalimutan ang pinsala sa reputasyon . Ang isang paglabag sa isang opisyal na app (halimbawa, mula sa isang bangko, kompanya ng seguro, o serbisyo sa pagmemensahe) ay maaaring makabawas sa tiwala ng libu-libo o milyun-milyong gumagamit. Kadalasan, ang epekto sa reputasyon at mga potensyal na parusa sa regulasyon para sa hindi sapat na proteksyon ng data ay kasingseryoso ng mismong pag-atake.
5 dahilan kung bakit patuloy na lumalaki ang mga banta laban sa mga mobile app
Natuto nang samantalahin ng mga umaatake ang mobile ecosystem. Sa kasalukuyan, may limang pangunahing salik na nakakatulong sa pagtaas ng mga pag-atake laban sa mga application na naka-install sa mga smartphone at tablet.
Una, sinasamantala mismo ng mga cybercriminal ang mga platform ng pamamahagi ng app . Sa pamamagitan ng mga pag-atake sa supply chain, maaari nilang ikompromiso ang mga SDK (software development kit) na ginagamit ng mga sikat at lehitimong application. Kaya, ang isang insidente sa isang library na ginagamit ng ilang app ay maaaring magdulot ng impeksyon sa milyun-milyong device nang hindi nalalaman ng user.
Ang pangalawang salik ay ang hindi ligtas na pag-iimbak ng data sa loob ng mga application. Kapag ang sensitibong impormasyon (mga token, API key, personal na data) ay nakaimbak nang walang sapat na proteksyon, mas madaling makuha ito sa pamamagitan ng reverse engineering, mga naka-root na device, o mga malisyosong app na nagsasamantala sa pag-access sa mga nakabahaging lugar.
May papel din ang mga kahinaan sa komunikasyon . Kung hindi maayos na na-encrypt ng isang app ang trapiko papunta sa server o tumatanggap ng mga hindi secure na certificate, maaaring maharang at manipulahin ng isang attacker sa parehong network (halimbawa, sa pampublikong Wi-Fi) ang data habang dinadala, mula sa mga credential hanggang sa impormasyon sa pagbabangko.
Bukod sa mga nabanggit, may mga kakulangan sa mga pamamaraan ng pagpapatotoo . Ang mga app na patuloy na nagpapahintulot ng mahihinang password, na hindi naglalapat ng mga lock pagkatapos ng ilang nabigong pagtatangka, o na hindi gumagamit ng mga biometric system at multi-factor authentication, ay ginagawang madali para sa sinumang may pisikal na access sa mobile phone o may mga leaked credentials na makapasok nang walang gaanong kahirapan.
Panghuli, maraming application ang gumagamit ng maling data encryption . Gumagamit sila ng mga lumang algorithm, hindi namamahala ng mga cryptographic key, o pinaghahalo ang naka-encrypt at hindi naka-encrypt na data sa iisang lugar, na nagbubukas ng pinto sa parehong lokal at remote na pag-atake laban sa pagiging kumpidensyal ng impormasyon.
Google Play Protect: ang unang harang na pangproteksyon sa Android
Sa mga Android device , isinasama ng Google ang isang sistemang tinatawag na Google Play Protect na nagsisilbing awtomatikong tagapagbantay para sa mga app at sa mismong sistema. Bagama't hindi nito pinapalitan ang mabuting pag-uugali ng user o iba pang solusyon sa seguridad, nagbibigay ito ng mahalagang patong ng patuloy na proteksyon.
Sinusuri ng sistemang ito ang mga app na available sa Google Play bago mo i-download ang mga ito, para maghanap ng kahina-hinala o malisyosong pag-uugali. Sa ganitong paraan, maraming mapanganib na app ang naharang bago pa man makarating ang mga ito sa mga device ng mga user, kaya nababawasan ang panganib sa pinagmulan.
Bukod pa rito, regular na ini-scan ng Google Play Protect ang lahat ng app na naka-install sa iyong telepono , kabilang ang mga app na galing sa mga mapagkukunan maliban sa opisyal na tindahan. Sa terminolohiya nito, ang mga potensyal na mapaminsalang application na ito ay tinatawag na malware at maaaring matukoy kahit na manu-mano mo itong in-install mula sa isang APK file.
Kapag natukoy ng system ang isang app bilang mapanganib, maaari itong kumilos sa iba't ibang paraan. Maaari itong magpakita ng babala na humihikayat sa iyong i-uninstall ito, i-disable ito para tumigil ito sa paggana hanggang sa alisin mo ito, o kahit na awtomatikong burahin ito . Sa karamihan ng mga kaso, makakatanggap ka ng notification na nagpapaliwanag kung ano ang nangyari at kung anong mga hakbang ang ginawa.
Naglalabas din ang Google Play Protect ng mga alerto sa privacy kapag natukoy nito ang mga app na nagtatago ng mga kaugnay na impormasyon o umaabuso sa mga pahintulot ng user, lumalabag sa mga hindi gustong patakaran ng software o mga alituntunin ng developer. Sa ilang partikular na bersyon ng Android, maaari pa nitong i-reset ang mga pahintulot na ipinagkakaloob sa mga app na bihirang gamitin mo upang mabawasan ang hindi kinakailangang pag-access sa iyong data.
Panghuli, mapipigilan ng sistemang ito ang pag-install ng mga hindi na-verify na app na humihingi ng mga partikular na sensitibong pahintulot na kadalasang ginagamit para sa pandaraya sa pananalapi , sa gayon ay hinaharangan ang maraming pagtatangka ng scam bago pa man mangyari ang pinsala.
Paano suriin at isaayos ang Google Play Protect sa iyong device
Para masulit ang proteksyong ito, mainam na siguraduhing nasa maayos ang lahat. Una, maaari mong suriin kung ang iyong device ay sertipikado para sa Play Protect . Buksan lamang ang Google Play Store app, i-tap ang icon ng iyong profile sa kanang sulok sa itaas, pumunta sa seksyon ng mga setting, at hanapin ang seksyon ng impormasyon, kung saan ipapakita ang katayuan ng sertipikasyon.
Sa ilalim ng normal na mga pangyayari, ang Google Play Protect ay naka-enable bilang default , ngunit maaari itong manu-manong i-disable. Para sa mga kadahilanang pangseguridad, lubos na inirerekomenda na panatilihin itong naka-on. Para tingnan o baguhin ang setting na ito, pumunta sa Google Play Store, i-tap ang iyong profile, i-access ang Play Protect, at pagkatapos ay ang mga setting nito, kung saan mo maaaring i-enable o i-disable ang pag-scan ng app.
Kapag nag-install ka ng mga app mula sa labas ng opisyal na tindahan, maaaring humingi ng pahintulot ang system na magpadala ng mga kopya ng mga hindi kilalang app na ito sa Google . Kung i-enable mo ang opsyong pahusayin ang pagtuklas ng malware, awtomatikong magpapadala ang Play Protect ng mga sample ng mga app na ito sa mga server ng Google para sa malalimang pagsusuri ng code.
Kasama rin sa pamamahala ng feature na ito ang Google Play Store at ang Play Protect menu . Sa mga setting nito, makakakita ka ng switch para i-on o i-off ang opsyong pinahusay na pag-detect. Kung isa kang developer, maaaring kailanganin mong manu-manong i-upload ang bawat bagong bersyon ng iyong app upang mapadali ang ganitong uri ng pagsusuri at maiwasan ang mga maling positibo o isyu sa seguridad.
Sa mga bersyon ng Android 6.0 hanggang 10, mayroon ding mekanismo ang Play Protect para awtomatikong i-reset ang mga pahintulot ng mga app na hindi mo nagamit sa loob ng tatlong buwan . Makakatanggap ka ng mga notification kapag nangyari ito, at maaari mong direktang ma-access ang seksyon ng mga pahintulot ng Hindi Nagamit na Apps mula sa interface ng Play Protect para makita kung aling mga pahintulot ang na-reset.
Kung ayaw mong awtomatikong mabawi ang isang partikular na pahintulot sa isang partikular na app, maaari mong buksan ang listahan ng app, piliin ang gusto mo, at i-disable ang opsyong mag-alis ng mga pahintulot kapag hindi ginagamit . Gayunpaman, kapag binawi na ng Play Protect ang mga pahintulot, hindi na nito awtomatikong ibibigay muli ang mga ito; ititigil na lang nito ang pag-apekto sa iba pang mga pahintulot.
Ano ang ginagawa ng Google sa datos na may kaugnayan sa malware?
Para epektibong matukoy ang mga banta, kailangan ng Google ng ilang teknikal na impormasyon mula sa iyong device. Bukod sa iba pang data, maaari itong mangolekta ng impormasyon tungkol sa mga koneksyon sa network, mga potensyal na mapanganib na URL, at mga naka-install na app , nagmula man ang mga ito sa Google Play o iba pang mga mapagkukunan.
Kapag ang isang app o web link ay itinuring na hindi ligtas, maaari kang makatanggap ng babala na nagpapaliwanag na maaari itong magdulot ng panganib sa iyong device, sa iyong data, o sa iyong personal na seguridad . Sa mas malalang mga kaso, maaaring awtomatikong alisin ng Google ang app o harangan ang pag-install at pag-access sa URL na iyon kung alam na ito ay nakakapinsala.
Madalas na inirerekomenda ng Play Protect ang pag-scan ng mga app na wala sa Google Play at hindi pa nasusuri dati. Sa panahon ng pag-scan na ito, ipinapadala ang mga teknikal na detalye sa mga server ng Google, sinusuri ang code, at pagkalipas ng maikling panahon, ipapakita ang isang resulta na nagpapahiwatig kung ang app ay lumalabas na ligtas o naiuri bilang potensyal na mapanganib.
Maaaring i-disable ang ilan sa mga feature na ito mula sa mga setting ng device kung gusto mong limitahan ang pagpapadala ng data, ngunit kahit sa ganitong sitwasyon, maaaring makatanggap pa rin ang Google ng ilang basic telemetry na may kaugnayan sa mga app na dina-download mo mula sa sarili nitong store upang mapanatili ang pangkalahatang seguridad ng ecosystem.
Sertipikasyon ng device at ang error na "Hindi sertipikado ang device"
Mahalagang maunawaan na ang Google Play Protect at ang sertipikasyon ng device ay magkaibang bagay . Posible na tama ang lahat ng bagay sa Play Protect, ngunit makakakita ka pa rin ng babala na ang iyong device ay hindi sertipikado para sa Google Play.
Kung makikita mo ang mensaheng “ Hindi sertipikado ang iyong device ,” hindi makakatulong ang pagtatangkang ayusin ito sa pamamagitan ng pagsasaayos ng mga setting ng Play Protect. Sa halip, i-tap ang button na nagpapahiwatig ng problema sa iyong device at sundin ang mga tagubilin sa screen na ibinigay ng Google upang makumpleto ang proseso ng pag-verify o pagpaparehistro ng device.
Kung hindi mo mahanap ang opsyon, maaari mong buksan ang Google Play app, i-tap ang iyong larawan sa profile, pumunta sa mga setting, pumunta sa seksyon ng impormasyon, at mag-scroll pababa sa field ng certification ng Play Protect , kung saan mo makikita ang status, ang opsyon para itama ang anumang error, at karagdagang dokumentasyon sa mga pinakakaraniwang sanhi at solusyon.
Mga pinakakaraniwang uri ng banta sa mobile
Bukod sa mga error sa configuration, ang pinakamalaking banta sa seguridad ng mobile ay ang iba't ibang pamilya ng malware at mga pamamaraan ng social engineering na sumusubok na makapasok sa ating mga device. Upang epektibong maipagtanggol ang iyong sarili, makakatulong na kilalanin ang mga pangunahing kategorya.
Isa sa mga pinakakaraniwang banta ay ang adware , isang software na agresibong nagpapakita ng mga patalastas at, sa maraming pagkakataon, nagsisilbing daanan para sa mas malubhang banta. Sa ilang kamakailang pagsusuri, mahigit 40% ng mga banta na nakita sa mga mobile device ay nabibilang sa kategoryang ito, na nagbibigay ng ideya kung gaano kalawak ang sakop nito.
Ang mga pagtagas ng data na dulot ng labis na pahintulot sa app ay isa ring alalahanin , lalo na sa mga app na ibinebenta bilang libre. Ang ilan ay nangongolekta ng higit na impormasyon kaysa sa kinakailangan para sa mga layuning pangkomersyo o kahit na ibenta ito sa mga ikatlong partido. Ang mga pagbabago sa mga operating system, tulad ng transparency sa pagsubaybay sa app na ipinakilala sa iOS , ay nagtangkang pigilan ang kasanayang ito sa pamamagitan ng paghingi ng mas malinaw na pahintulot.
Ang isa pang malawakang ginagamit na paraan ay ang mga pampubliko o hindi maayos na na-configure na Wi-Fi network . Dahil hindi naka-encrypt ang mga ito o mahina ang pagkaka-encrypt, pinapayagan nito ang isang attacker na nakakonekta sa parehong network na maharang ang data habang dinadala, manipulahin ang trapiko, o kahit na mag-set up ng mga pekeng access point na ginagaya ang mga lehitimong network upang nakawin ang mga kredensyal at aktibong sesyon.
Ang mga klasikong phishing attack ay umakma na rin sa mundo ng mobile. Ang mga email, SMS message, o mensahe sa mga messaging app na nagpapanggap na mga bangko, messaging service, o mga kilalang platform ay sumusubok na linlangin ka para ilagay ang iyong mga login credential sa mga pekeng website o mag-download ng mga malisyosong attachment na mag-i-install ng malware sa iyong device.
Sa larangan ng palihim na paniniktik, nakakakita tayo ng spyware at stalkerware , mga application na sumusubaybay sa mga gumagamit na maaaring magtala ng iyong lokasyon, mga mensahe, o mga tawag nang hindi mo nalalaman. Ang ganitong uri ng software ay natukoy sa sampu-sampung libong device sa mga kamakailang pagsusuri, na nakakaapekto sa parehong mga biktima ng mapang-abusong kontrol at mga user na tinarget dahil sa kanilang propesyonal na posisyon.
Kabilang sa pangkalahatang saklaw ng mobile malware ang mga banking trojan, ransomware na nag-e-encrypt ng iyong mga file at humihingi ng ransom, mga tool na humaharang sa mga verification code, at iyong mga nagnanakaw ng mga file at credential. Ang entry point ay karaniwang isang kahina-hinalang link, isang app na na-download mula sa labas ng mga opisyal na app store, o isang malisyosong attachment na binuksan nang walang beripikasyon.
Panghuli, dapat nating banggitin ang mga pag-atake ng cyberterrorism at cyberespionage na tumatarget sa mga matataas na opisyal, empleyado ng malalaking kumpanya, o empleyado ng gobyerno . Sa mga kasong ito, ang mga personal o korporasyong mobile phone ay nagiging daan patungo sa mga kritikal na network at malalaking dami ng estratehikong impormasyon.
Mga pangunahing pinakamahusay na kasanayan para sa mga gumagamit: kung paano protektahan ang iyong mobile phone at ang iyong mga app
Nakakatulong ang teknolohiya sa seguridad, ngunit ang iyong pag-uugali ang may malaking epekto. Mayroong ilang pinakamahuhusay na kagawian na dapat sundin ng bawat gumagamit.
Ang unang bagay ay palaging panatilihing updated ang iyong operating system . Ang bawat bagong bersyon ng Android o iOS ay may kasamang mga security patch na nag-aayos ng mga natuklasang kahinaan. Kung ipagpapaliban mo ang mga pag-update nang walang katiyakan, iniiwan mo ang iyong device na nakalantad sa mga depekto na mayroon nang mga exploit na handang samantalahin ng mga attacker.
Lubos ding inirerekomenda na i-disable ang remote connectivity kapag hindi mo ito kailangan : Bluetooth, AirDrop, Wi-Fi, o mga personal na hotspot. Sa mga pampublikong lugar, mas mabuti kung mas maliit ang attack surface ng iyong device. Binabawasan nito ang posibilidad ng mga hindi awtorisadong koneksyon o mga pagtatangkang magpadala ng malisyosong nilalaman.
Kapag nag-i-install ng mga bagong app, ugaliing maingat na suriin ang mga pahintulot na hinihingi ng mga ito . Tanungin ang iyong sarili kung talagang kailangan ng isang flashlight app ang access sa iyong mga contact o kung ang isang laro ay palaging nangangailangan ng iyong lokasyon. Kung makakita ka ng isang hindi pamilyar na app na hindi mo matandaang na-install, burahin agad ito.
Isa pang mahalagang tip ay ang mag-download lamang ng mga app mula sa mga opisyal na tindahan tulad ng Google Play, App Store, o mga kinikilalang repository sa iyong rehiyon. Sa loob ng mga tindahang ito, bigyang-pansin ang mga review, ang bilang ng mga download, ang developer, at ang kanilang iba pang mga app. Ang kakaunting review, lahat ay perpekto, o isang kilalang pangalan na may napakakaunting pag-install ay mga pulang bandila.
Para i-lock ang iyong device, samantalahin ang mga opsyon sa biometric access : fingerprint o facial recognition . Ang pagsasama ng mga ito sa isang malakas na PIN o password ay nagpapahirap para sa isang taong nagnanakaw o nakahanap ng iyong telepono na direktang ma-access ang iyong data at mga app.
Panghuli, tandaan na paganahin ang two-factor authentication (2FA) sa mahahalagang serbisyo . Hangga't maaari, gumamit ng mga authenticator app sa halip na SMS, dahil hindi gaanong mahina ang mga ito sa ilang uri ng pag-atake. Matutulungan ka ng isang password manager na lumikha ng iba't iba at kumplikadong mga password para sa bawat serbisyo nang hindi kinakailangang kabisaduhin ang lahat.
Mga application na nakakatulong na mapabuti ang seguridad at privacy
Bukod sa mga built-in na feature ng operating system, maraming app na partikular na idinisenyo upang mapahusay ang seguridad at privacy ng iyong mobile device. Makakatulong na malaman ang mga pangunahing uri at kung ano ang mga iniaalok ng mga ito.
Ang mobile antivirus, antimalware, at antiransomware software ang unang linya ng depensa laban sa malisyosong software. Sinusuri nila ang mga app, na-download na file, at pag-uugali ng system nang real time upang matukoy ang mga kahina-hinalang pattern bago pa man tuluyang maibalik ang pinsala. Ang isang mapagkakatiwalaang solusyon ay nagdaragdag ng karagdagang proteksyon sa Play Protect o mga katulad na native na mekanismo.
Ang mga anti-theft at device location app ay gumagamit ng GPS upang ipakita ang posisyon ng telepono kung ito ay nawala o nanakaw. Ang ilan ay nagbibigay-daan sa iyong magpatunog ng alarma, magpakita ng mga mensahe sa screen, i-lock ang device, o malayuang burahin ang data. Gayunpaman, mahalagang magbigay lamang ng access sa lokasyon sa mga pinagkakatiwalaang app at regular na suriin ang mga pahintulot na ito.
Ang mga tool tulad ng mga app lock ay nagbibigay-daan sa iyong protektahan ang access sa ilang partikular na app gamit ang karagdagang PIN, pattern, o fingerprint. Sa ganitong paraan, kahit na may makapag-unlock ng iyong telepono, hindi nila madaling ma-access ang iyong email, social media, o mga messaging app nang walang pangalawang layer ng seguridad.
Iniimbak ng mga password manager ang iyong mga kredensyal sa naka-encrypt na anyo, na nagbibigay-daan sa iyong lumikha ng mahahabang at kumplikadong mga password nang hindi kinakailangang tandaan ang mga ito. Marami ang awtomatikong bumubuo ng mga bagong password, nag-aalerto sa iyo kapag ang isa ay nakompromiso, at ligtas na nagsi-sync ng impormasyon sa mga device, na lalong kapaki-pakinabang kung ginagamit mo ang iyong mobile phone para sa trabaho.
Ang mga two-step verification o multi-factor authentication app ay bumubuo ng mga one-time code na nagpapalakas ng access sa iyong pinakamahalagang mga account. Kasama ng magandang ugali ng regular na pagpapalit ng mga password, mas pinahihirapan nito ang sinumang makakapagnakaw o makakabili ng iyong mga kredensyal sa dark web.
Sa larangan ng pag-browse, may mga browser at app na nakatuon sa privacy na humaharang sa mga tracker, nagfi-filter ng mga malisyosong URL, nagbabawas ng mga nakakaabala na advertising, at nagpapahirap para sa mga third party na lumikha ng detalyadong profile ng iyong mga online na gawi. Ang mga ito ay kumukumpleto sa mga ad blocker at phishing detector, na nagdaragdag ng mga karagdagang layer ng proteksyon sa mga kahina-hinalang website.
Panghuli, ang ilang organisasyon ay nag-aalok ng komprehensibong mga app para sa pagsusuri ng seguridad ng device na sumusuri sa mga setting, nakakakita ng mga nakakahamak o mapanganib na app, at nagrerekomenda ng mga pagbabago upang mapabuti ang iyong proteksyon. Ang mga tool na ito ay lalong kapaki-pakinabang kung hindi ka masyadong komportable sa mga setting ng seguridad ng system.
Mga partikular na pinakamahusay na kasanayan para sa mga developer ng mobile app
Ang seguridad ng mobile ay hindi lamang responsibilidad ng mga gumagamit. Ang mga developer ay may mahalagang papel sa pagbabawas ng mga panganib mula sa mismong disenyo ng kanilang mga aplikasyon. Ang OWASP Foundation ay nagtitipon ng isang serye ng mga kinakailangan at pinakamahusay na kasanayan sa pamantayan ng MASVS nito na dapat tandaan.
Isang kritikal na aspeto ang ligtas na pag-iimbak ng sensitibong data at pagpigil sa mga pagtagas ng data . Kadalasang pinangangasiwaan ng mga app ang personal na impormasyon, mga token ng session, mga API key, o mga kredensyal. Ang lahat ng ito ay dapat na sapat na protektado, nakaimbak man sa internal storage o sa mga lugar na naa-access ng iba pang mga application.
Inirerekomenda rin na gumamit ng matibay na mekanismo ng kriptograpiya upang i-encrypt ang sensitibong datos at maayos na pamahalaan ang mga susi sa buong siklo ng kanilang buhay: pagbuo, pag-iimbak, pag-ikot, at pagbawi. Ang hindi maayos na pinamamahalaang malakas na kriptograpiya ay maaaring halos kasing mapanganib ng hindi pag-encrypt ng kahit ano.
Sa usapin ng pagkontrol sa pag-access, ipinapayong ipatupad ang matatag na mga protocol ng pagpapatotoo at awtorisasyon , lalo na para sa mga application na kumokonekta sa mga malayuang serbisyo o nagsasagawa ng mga sensitibong operasyon. Inirerekomenda na ihiwalay ang paunang pagpapatotoo mula sa mga karagdagang mekanismo para sa mga aksyon na may mataas na panganib, halimbawa, sa pamamagitan ng paghingi ng multi-factor authentication para sa ilang partikular na transaksyon.
Ang komunikasyon sa pagitan ng app at ng mga endpoint nito ay dapat protektahan gamit ang mga secure na protocol tulad ng TLS at mahigpit na pagpapatunay ng sertipiko . Bukod pa rito, ipinapayong iwasan ang mga third-party library na nagpapahina sa proteksyong ito sa pamamagitan ng pagpapahintulot, halimbawa, sa mga self-signed na sertipiko nang walang sapat na kontrol o sa pamamagitan ng pagbalewala sa mga error sa pagpapatunay.
Ang isa pang mahalagang aspeto ay kung paano nakikipag-ugnayan ang app sa mobile platform : mga mekanismo ng IPC, WebView, ang graphical interface, mga screenshot, atbp. Ang mahinang pamamahala ng mga elementong ito ay maaaring humantong sa pagkakalantad ng mahahalagang data, pang-aabuso sa mga panloob na function, o paglabas ng impormasyon sa pamamagitan ng mga overlay technique at iba pang karaniwang mga trick ng malware.
Panghuli, kabilang sa mabubuting kasanayan sa secure development ang palaging pag-sanitize at pag-validate ng mga papasok na data , gamit lamang ang mga component na walang kilalang kahinaan, pagpapataw ng mga mandatoryong mekanismo ng pag-update kapag inilabas ang mga kritikal na patch, at paglilimita sa suporta sa mga bersyon ng operating system na hindi na tumatanggap ng mga pag-aayos sa seguridad.
Pagkontrol ng pahintulot, privacy ng user, at mga pag-audit ng seguridad
Bukod sa mga teknikal na aspeto lamang, dapat seryosohin ng mga developer ang proteksyon ng personal na data at pagsunod sa mga regulasyon . Ang mga regulasyon tulad ng European GDPR ay nagtatatag ng mahigpit na mga obligasyon na direktang nakakaapekto sa disenyo at pagpapatakbo ng mga app.
Ang isang pangunahing pinakamahusay na kagawian ay ang pagbabawas ng access ng app sa sensitibong data at mga mapagkukunan . Hilingin lamang ang mga pahintulot na talagang kinakailangan para gumana nang tama ang application, iwasan ang mga kahilingan para sa access sa mga contact, lokasyon, o camera maliban kung talagang kinakailangan.
Maipapayo rin na gumamit ng mga pamamaraan ng data anonymization o pseudonymization upang ang impormasyong nakaimbak o naipadala ay mabawasan ang posibilidad na direktang matukoy ang isang gumagamit. Nakakatulong ito na mabawasan ang epekto ng isang potensyal na insidente sa seguridad.
Mahalaga ang transparency: dapat malinaw na maunawaan ng mga user kung anong impormasyon ang kinokolekta ng app, para sa anong layunin, at kung gaano katagal . Bukod pa rito, dapat nilang mapamahalaan, baguhin, at burahin ang kanilang data, pati na rin madaling baguhin ang kanilang mga kagustuhan sa privacy sa pamamagitan ng mga opsyong maa-access sa loob mismo ng application.
Upang mapalakas ang mga hakbang na ito, lubhang kapaki-pakinabang ang pana-panahong pagsasailalim sa mga aplikasyon sa mga security audit . Sa mga pagsusuring ito, nagsasagawa ang mga cybersecurity specialist ng mga static at dynamic na pagsubok upang matukoy ang mga kahinaan sa pag-iimbak ng data, mga mekanismo ng pagpapatotoo, ang paggamit ng mga WebView, o mga koneksyon sa network.
Ang mga resultang ulat ay karaniwang kinabibilangan ng mga praktikal na rekomendasyon para sa pagtugon sa mga natukoy na kahinaan , na inuuna ang mga nagdudulot ng pinakamalaking panganib. Ang pagsasama ng mga ganitong uri ng pag-audit sa siklo ng buhay ng pag-unlad ay isa sa mga pinakamahusay na paraan upang matiyak na ang mga pinakamahusay na kasanayan ay hindi mananatiling teoretikal lamang.
Sa huli, ang pagsasama-sama ng mga system tulad ng Google Play Protect, mga espesyal na security app, mahusay na kasanayan sa gumagamit, at responsableng pag-unlad na sinusuportahan ng mga pamantayan tulad ng sa OWASP ang pinakamabisang paraan upang matamasa ang mga benepisyo ng mga mobile app nang hindi nagiging palaging sakit ng ulo ang iyong smartphone.
