Seguridad y auditoría de Apps o aplicaciones móviles

#LATINCACS© ISACA 2017
Derechos reservados
Cimentando conceptos para el
desarrollo de “auditorías prácticas”
de seguridad a aplicaciones móviles
Jaime Andrés Bello Vieda
Colombia
@avechuch0

Derechos reservados
Misión de los eventos de ISACA
Ofrecer poductos, servicios y eventos
educativos creativos, innovadores y de
alta calidad para sus miembros e
interesados, con el objetivo de mejorar
sus conocimientos profesionales, su
competencia y valor para las
organizaciones en que laboran.
“
”
2

Derechos reservados
Agenda
• Introducción.
• Riesgos en la adopción de la tecnología móvil.
• El papel del auditor.
• Arquitecturas Android - iOS.
• Análisis estático y dinámico.
• Herramientas.
• Demostración.
• Conclusiones.
3

Derechos reservados
Acerca de mi…
• Máster Seguridad de las TIC (En curso)
• U
• Ingeniero de Sistemas
• U
• Cert.
• CSX, PMP, Auditor ISO 27001, Perito forense CAFSC (Latin American
Council for Cybersecurity and Computer Forensic).
• + de 5 años de experiencia…
• Webmaster, administrador de infraestructura, auditoría de procesos,
cumplimiento y sistemas, seguridad informática, respuesta a
incidentes e informática forense.
• Música ☺ - Desde los 12 años ♪♫
• Deporte.
• Investigar y compartir conocimiento. ¡For free!
Bogotano, Colombia
4

Derechos reservados
Introducción
5

Derechos reservados
El porqué de esta charla
6

Derechos reservados
Cisco Visual Networking Index™ (VNI) Global Mobile Data Traffic Forecast
(2015 to 2020)
Gartner
7

Derechos reservados
• En 2015, 7.536.000
suscriptores de
telefonía móvil.
Aumento del 7%
respecto a 2014.
• Penetración mercado
móvil 156%, la más
alta en la historia del
país.
• Ingresos económicos
por servicio de datos
móviles se incrementó
en más del 30%.
Caso Costa Rica
8

Derechos reservados
…Y aunque sea cliché
9

Derechos reservados
Riesgos en la
adopción de la
tecnología móvil
10

Derechos reservados
La Tecnología Móvil
Vulnerabilidades, amenazas y riesgos
CSXCybersecurityFundamentalsStudyGuide–ISACA
Sección6
11
Riesgos
Organizacional
TécnicoFísico

Derechos reservados
Categorías de Riesgo
De acuerdo a CsxF
• Físico
Dispositivos son pequeños por definición. Pueden perderse
o ser robados fácilmente por (ciber)delincuencia común.
Datos (Listas de llamadas, textos, ítems de agenda).
Posibilidad de impersonar (suplantar a la víctima).
12

Derechos reservados
• Organizacional
Aprovisionamiento de empresas o políticas BYOD.
El riesgo es mayor si no se ofrece un entrenamiento de
seguridad en el uso del dispositivo. Hay un libre albedrío
del usuario.
De acuerdo a CsxF
13

Derechos reservados
• Técnico
SO basados en servicios. Ejecutan muchos procesos en
background.
Hay una tendencia a simplificar la habilidad del usuario en
cambiar parámetros de bajo nivel.
¿Monitoreo? ¿Fugas de información? Por dar Sí, acepto a
una App.
De acuerdo a CsxF
Conectividad no
autorizada
Alteración y
suplantación de
la interfaz
Fuga de datos
sensibles
Almacenamiento
inseguro de datos
Transmisión
insegura de datos
Vulnerabilidades
“Drive-by”
14

Derechos reservados
• Conectividad no autorizada
Malware en un móvil puede permanecer semanas/meses
“dormido”.
Hay “sensores” de conectividad que se activan de forma
imperceptible al usuario.
De acuerdo a CsxF
• Alteración y suplantación de
la interfaz
La presentación en pantallas
pequeñas, facilitan acciones
delincuenciales de SMiShing u
otros.
15

Derechos reservados
• Almacenamiento/Transmisión insegura de datos
Hay Apps que almacenan credenciales o tokens en texto
claro.
El uso de nubes públicas para almacenamiento no ofrecen
garantías al usuario.
NFC, riesgos emergentes en pagos…
De acuerdo a CsxF
16

Derechos reservados
El papel del
auditor
17

Derechos reservados
Entremos en materia
¿Dónde se ubica el auditor?
• NIST Special Publication 800-163 - Vetting the Security of
Mobile Applications
Un proceso “App vetting” (investigación o revisión),
determina si una App cumple con los requerimientos de
seguridad de una organización.
18

Derechos reservados
Ahora que lo sabemos…
1. Apps son una tecnología emergente, desconocidas en
implementación y revisión de seguridad,
(posiblemente) tanto por los desarrolladores como
por los auditores.
2. Hay riesgos al confundir rápido con Agile.
3. El auditor necesita involucrarse en el proceso de
revisión para entregar valor.
4. Se necesita coordinación y acuerdos entre analistas y
auditores para trabajar bajo un mismo lenguaje.
… ¿Qué?
19

Derechos reservados
Arquitecturas
Android - iOS
20

Derechos reservados
Arquitectura - Android
https://manifestsecurity.com/android-application-security-part-2/
21

Derechos reservados
• KERNEL
• Android está diseñado/implementado en un sistema
Linux.
• Funcionalidades básicas del dispositivo móvil,
gestión de procesos, memoria, cámara, teclado,
pantalla.
• Sistema orientado a permisos de usuario.
• Aislar recursos entre usuarios (aplicaciones).
22

Derechos reservados
• CAPA DE ABSTRACCIÓN DE HARDWARE
• Conexión y acceso de las aplicaciones con recursos
de hardware del dispositivo móvil.
• LIBRERIAS – DALVIK
• Algoritmos y funciones usados por las aplicaciones.
• Dalvik –> Máquina virtual donde se ejecuta la App.
Cada App crea una instancia Dalvik.
23

Derechos reservados
• FRAMEWORK DE APLICACIÓN
• Servicios de alto nivel, son clases Java.
• Los desarrolladores emplean estos principalmente
para la construcción de sus aplicaciones.
• APLICACIONES
• Capa de interacción principal del usuario final.
24

Derechos reservados
https://developer.apple.com/library/content/documentation/Miscellaneous/Conc
eptual/iPhoneOSTechOverview/Introduction/Introduction.html#//apple_ref/doc/
uid/TP40007898-CH1-SW1
Arquitectura – iOS
25

Derechos reservados
• NÚCLEO DEL SISTEMA OPERATIVO
• Contiene el Sistema Operativo y servicios sobre los
que se construyen las Apps de iOS.
• El Kernel de iOS está basado en Mach (Unix).
• Las tecnologías del núcleo son llamadas por Apple
como “frameworks”.
• Imagen y procesamiento digital, Algebra lineal,
Acceso Bluetooth, Seguridad y Sistema.
26

Derechos reservados
• SERVICIOS DEL NÚCLEO
• Contiene los servicios fundamentales que son
soportados por las Apps.
• Apple los divide en “Características generales de
alto nivel” y “Frameworks de servicio básico”.
• Tecnologías individuales para para funcionamiento
de las Apps:
✓iCloud
✓Peer-to-Peer
✓SQLite
27

Derechos reservados
• MULTIMEDIA
• Capa con la cual se implementan los elementos
interactivos en las Apps
✓Gráficos
✓Audio
✓Video
• AirPlay: Tecnología usada para compartir audio y
video al Apple TV, así como transmitir contenidos
de audio a speakers y receptores que soportan
dicha tecnología.
28

Derechos reservados
• COCOA TOUCH
• Posee los elementos más clave de la arquitectura
iOS para desarrollar Apps.
• Definen la apariencia, tecleo táctil, multitareas, etc.
• Son los primeros elementos que pueden intervenir
en el desarrollo de una App de tecnología iOS.
• APLICACIÓN
• Capa de interacción principal del usuario final.
29

Derechos reservados
Análisis estático
y dinámico
30

Derechos reservados
¿Qué involucra la revisión de una
App?
De acuerdo con NIST 800-163:
31
✓ Orientado a la identificación de errores.
✓ Aseguramiento de la calidad.
Pruebas de
corrección.
✓ Lectura y análisis del código fuente.
✓ Ingeniería inversa.
Código fuente o
binarios
✓ Simuladores, acceso remoto a
dispositivo, técnicas de fuzzing.
Pruebas manuales
o automáticas.
✓ A continuaciónAnálisis
estático / dinámico

Derechos reservados
Análisis estático
• Posibles comportamientos que puede presentar la App
en tiempo de ejeución.
32
Aquel que es codificado por el desarrollador.
Código fuente
Resultado de un proceso de compilación, es decir, un
cambio de lenguaje para que sea interpretado por el móvil.
Código binario

Derechos reservados
Proceso de compilación
Java
JAR (.class)
Ejecutable
Dalvik (.dex)
Binario
Android
(.apk)
Objective-C
o Swift
App Bundle
Binario y
recursos
App Bundle
firmado
App Bundle -
Binario
cifrado
(.ipa)
Código fuente
Compilación
33

Derechos reservados
¿Qué se logra con el análisis
estático?
• Problemas de configuración de la
App.
• Transmisión de datos a Internet de
forma insegura.
• Librerías, APIs y Frameworks
utilizados.
• Otros:
• Almacenamiento de
credenciales. ¿Hardcode?
• Bases de datos.
• Archivos sensibles.
34

Derechos reservados
Análisis dinámico
• Aproximaciones para el análisis:
Físico Emulador
35
Funcionamiento de la App durante su
ejecución.
Busca observar el comportamiento (respuesta)
de la App de acuerdo a una serie de entradas.

Derechos reservados
¿Qué se logra con el análisis
dinámico?
• Transmisión insegura de datos.
• Almacenamiento inseguro.
• Componentes de la aplicación expuestos.
• Fallos en validación de datos de entrada.
• Confirmar vulnerabilidades identificadas en el
análisis estático.
36

Derechos reservados
Herramientas
37

Derechos reservados
Herramientas - Estático
• Android
✓Androguard - Ing. Inversa e inspección código.
http://code.google.com/p/androguard/
✓APKtool - Desemsamblado APKs.
https://ibotpeaches.github.io/Apktool/
✓Qark - Análisis automático de APKs
https://github.com/linkedin/qark
✓Dexter (online) – Análisis estático.
http://dexter.dexlabs.org/
• iOS
✓Clutch –Descifrado de binarios protegidos
https://github.com/KJCracks/Clutch/releases
✓Hooper - Ing. Inversa e inspección código
https://www.hopperapp.com/
✓iNalyzer – Análisis automático
https://appsec-labs.com/cydia/
✓Needle – Estático & Dinámico
https://github.com/mwrlabs/needle
38

Derechos reservados
Herramientas - Dinámico
39

Derechos reservados
Guías para establecer las
pruebas de seguridad y auditoría
Gratuito (membresía)
Gobierno, Seguridad,
Forense. 40
Anexo B y C – Vuln.
Android e iOS
Guías
Lista de chequeo.
Checklist Ejemplo
Arquitectura y diseño Calificación
TODOS los componentes de la App son
conocidos y son necesarios.
✓
TODOS los componentes de tercero de
la App han sido evaluados en
vulnerabilidades
Los datos considerados sensibles están
claramente definidos
Almacenamiento
Verficar almacenamiento seguro de
credenciales
Rastros de actividad en los logs
No se traslada Personally Identifiable
Information a terceros.
Criptografía
Verificar la no existencia de credenciales
“quemadas” o hardcoded.
Verificar la existencia de algoritmos de
cifrado seguros.

Derechos reservados
Checklist Owasp Mobile
Mobile Application Security Verification Standard MASVS
https://www.owasp.org/images/1/1b/Mobile_App_Security_Checklist_0.9.3.xlsx
41

Derechos reservados
Demostración
42

Derechos reservados
Recomendaciones
y conclusiones
43

Derechos reservados
Recomendaciones
Al auditor…
• Acercarse al usuario.
• Darse la oportunidad de
(re)aprender.
• Vencer el miedo a hacer pruebas
técnicas (No solo en Apps, a todo
nivel).
• Mantenerse leyendo, la tecnología
cambia muy rápido. Además, son
temas abiertos y gratuitos.
• No hay que reinventar la rueda, ya
hay recursos para proceder.
• Vayan al paraíso, vayan a
• Si no duele, ¡No hay valor!
44

Derechos reservados
Conclusiones
• Gran parte del futuro está en la tecnología móvil.
• Adopción de BYOD, descarga y uso de Apps es un hecho,
no las podemos restringir.
• Surgen riesgos emergentes (Que afectan individual y
empresarialmente).
• Al igual que en todos los aspectos de la auditoría, para
auditar seguridad de Apps hay estándares, y guías a
seguir.
• La visión de auditoría práctica depende del gusto,
persistencia y habilidades blandas.
Esto fue un breve resumen. La seguridad en
tecnología móvil es un mundo bastante grande.
” 45

Derechos reservados
¿Preguntas?
46

Derechos reservados
Referencias
Fuentes bibliográficas
• CSX Cybersecurity Fundamentals Study Guide. ISACA. 2015
• Special Publication 800-163. Vetting the Security of Mobile Applications. NIST. 2015.
• Securing Mobile Devices. ISACA. 2012.
• OWASP Mobile Security Project. Open Web Application Security Project.
• Owasp Mobile Security Testing Guide & Mobile App Security Requirements and Verification -
https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
• Mobile Security Wiki - https://mobilesecuritywiki.com/
• Android Application Security Series. Aditya Agrawal - https://manifestsecurity.com/android-application-security/
• iOS Technology Overview (Official Documentation) -
https://developer.apple.com/library/content/documentation/Miscellaneous/Conceptual/iPhoneOSTechOverview/In
troduction/Introduction.html
Noticias, artículos y otras fuentes
• http://www.eltiempo.com/archivo/documento/CMS-16500742
• http://elcomercio.pe/paginas/dispositivos-moviles-crece-ritmo-acelerado-peru-331023
• http://www.elmundo.es/sociedad/2016/04/04/57026219e2704e90048b465e.html
• http://www.nacion.com/blogs/cazador_de_software/Costa-Rica-conectados-celular-
computadora_10_1370362951.html
• https://newsroom.cisco.com/documents/10157/0/Snip20160202_4.png/80f115a2-f01a-4caf-b280-
4a2cdad5c14f?t=1454460225588
• http://www.onlinemarketing-trends.com/2015/03/how-many-mobile-app-downloads-happen.html
47

Derechos reservados
¡Muchas gracias!
Jaime Andrés Bello Vieda
@avechuch0

Seguridad y auditoría de Apps o aplicaciones móviles

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Seguridad y auditoría de Apps o aplicaciones móviles

Similaire à Seguridad y auditoría de Apps o aplicaciones móviles (20)

Plus de Jaime Andrés Bello Vieda

Plus de Jaime Andrés Bello Vieda (8)

Seguridad y auditoría de Apps o aplicaciones móviles