IOS प्लेटफ़ॉर्म पर मोबाइल एप्लिकेशन की विशेषताएं, पेड कंटेंट एक्सेस करने के लिए यूज़रनेम और पासवर्ड का उपयोग करती हैं

मोबाइल एप्लिकेशन डेवलपर्स को अक्सर उपयोगकर्ता डिवाइस पर संवेदनशील उपयोगकर्ता डेटा संग्रहीत करने की आवश्यकता होती है। यह, उदाहरण के लिए, क्रेडिट कार्ड नंबर या प्रमाणीकरण जानकारी हो सकती है। इस लेख में, हम iOS मोबाइल प्लेटफॉर्म के उदाहरण का उपयोग करके सूचना सुरक्षा के दृष्टिकोण से गोपनीय डेटा के भंडारण के कार्यान्वयन में विशिष्ट त्रुटियों के बारे में बात करेंगे।
आमतौर पर, एप्लिकेशन सेटिंग्स कॉन्फ़िगरेशन फ़ाइलों में संग्रहीत होती हैं। IOS मोबाइल प्लेटफ़ॉर्म के लिए विकासशील अनुप्रयोगों में उपयोग की जाने वाली कोकोआ टच लाइब्रेरी NSUserDefaults वर्ग में एप्लिकेशन सेटिंग संग्रहीत करने के लिए एक अमूर्त परत प्रदान करती है। NSUserDefaults वर्ग मानक एप्लिकेशन कॉन्फ़िगरेशन फ़ाइल पर इंटरफ़ेस का उपयोग प्रदान करते हुए, बहुत-प्रिय सिंगलटन डिज़ाइन पैटर्न (जिसे सिंगलटन के रूप में जाना जाता है) को लागू करता है।
मानक एप्लिकेशन कॉन्फ़िगरेशन फ़ाइल रिश्तेदार पते लाइब्रेरी / वरीयताएँ / <your.company.name> <app.name> .plist पर अपने घर निर्देशिका में स्थित है। सैंडबॉक्स में स्थित अन्य फ़ाइलों की तरह, यह अन्य उपयोगकर्ता स्तर के अनुप्रयोगों द्वारा पढ़ने योग्य नहीं है। अपवाद डिवाइस हैं जो सिस्टम सुरक्षा नीति (जेलब्रेक डिवाइसेस) में संशोधन के अधीन हैं।
कई डेवलपर्स ने NSUserDefaults वर्ग के साथ काम करने की सुविधा की सराहना की है। बड़ी संख्या में एप्लिकेशन इसका उपयोग आंतरिक सेटिंग्स और / या उपयोगकर्ता सेटिंग्स को स्टोर करने के लिए करते हैं। दुर्भाग्य से, प्रयोज्य शायद ही कभी सुरक्षा के साथ संबंध रखता है। मानक सेटिंग फ़ाइल में गोपनीय उपयोगकर्ता डेटा संग्रहीत करना डेवलपर्स की एक विशिष्ट गलती है, जिससे उपयोगकर्ता जानकारी लीक हो सकती है।
सूचना सुरक्षा के संदर्भ में त्रुटियों के लिए परिशिष्ट ए के स्रोत कोड की जांच करने के परिणामस्वरूप, यह पता चला कि एप्लिकेशन सेटिंग्स के लिए कॉन्फ़िगरेशन फ़ाइल में उपयोगकर्ता प्रमाणीकरण डेटा संग्रहीत करता है। मूल iOS ऑपरेटिंग सिस्टम संस्करण 6.1.3 के नियंत्रण में iPad पर Appendix A डाउनलोड करने के बाद, हम प्रमाणीकरण चरण के माध्यम से गए और एप्लिकेशन सेटिंग फ़ाइल की खोज के बारे में सेट किया गया।


अंजीर। 1. iPad पर एप्लिकेशन डाउनलोड करें

भेद्यता प्रदर्शित करने के लिए, हमने iExplorer एप्लिकेशन का उपयोग किया, जो Windows NT और Mac OS X परिवारों के ऑपरेटिंग सिस्टम के लिए उपलब्ध है। iExplorer एप्लिकेशन iOS उपकरणों के लिए एक ग्राफिकल फ़ाइल प्रबंधक है। हम स्थापित अनुप्रयोगों की सूची में परिशिष्ट A को खोजते हैं और लाइब्रेरी / प्राथमिकताएं / <सेटिंग्स-नाम> पढ़ने के लिए .plist खोलते हैं।


अंजीर। 2. वांछित फ़ाइल तक पहुंच के साथ iExplorer आवेदन की उपस्थिति


अंजीर। 3. गोपनीय जानकारी के साथ कॉन्फ़िगरेशन फ़ाइल

यह बिल्कुल स्पष्ट है कि एक हमलावर द्वारा गोपनीय जानकारी तक अनधिकृत पहुंच के उद्देश्य से एक ही कार्रवाई की जा सकती है। इसके अलावा, एप्लिकेशन सेटिंग्स फ़ाइल को निकालने की प्रक्रिया को उपयोगकर्ता के कंप्यूटर पर या जेलब्रेक उपकरणों पर चलने वाले दुर्भावनापूर्ण अनुप्रयोगों में स्वचालित किया जा सकता है।
आइए मानक एप्लिकेशन सेटिंग्स फ़ाइल के अनुचित उपयोग के एक और उदाहरण को देखें। दूसरे एप्लिकेशन के स्रोत कोड का अध्ययन करने के परिणामस्वरूप, परिशिष्ट बी, यह पता चला था कि उपयोगकर्ता प्रमाणीकरण डेटा एन्क्रिप्टेड रूप में कॉन्फ़िगरेशन फ़ाइल में संग्रहीत है। डेटा एन्क्रिप्शन के लिए, बेस 64 एन्क्रिप्शन एल्गोरिथ्म निरंतर कुंजी के साथ एईएस 256 सममित एन्क्रिप्शन एल्गोरिथ्म की रचना का उपयोग किया जाता है।
पहली नज़र में, यह दृष्टिकोण काफी उचित लग सकता है। ऐसा लगता है कि एन्क्रिप्टेड जानकारी को इंटरसेप्ट करने वाला एक हमलावर कम ही करेगा। हालांकि, वास्तव में, एक हमलावर के पास प्राप्त डेटा का उपयोग करने के कम से कम दो तरीके हैं।
1. विन्यास फाइल का प्रतिस्थापन। कॉन्फ़िगरेशन फ़ाइल का प्रतिस्थापन करने के बाद, हमलावर उपयोगकर्ता के गोपनीय डेटा तक आंशिक या पूर्ण पहुंच प्राप्त करता है।
2. एन्क्रिप्शन एल्गोरिथ्म और कुंजी निष्कर्षण की मान्यता।
यदि पहले मामले में उपयोग किए गए एल्गोरिदम की खामी स्पष्ट है, तो दूसरे मामले में इस तरह की हैक की जटिलता का मूल्यांकन करना आवश्यक है। IOS ऑपरेटिंग सिस्टम पर चलने वाले डिवाइस पर एप्लिकेशन B इंस्टॉल करें और एप्लिकेशन की छवि अपलोड करें। चूंकि एप्लिकेशन की छवि आमतौर पर आंशिक रूप से या पूरी तरह से एन्क्रिप्ट की जाती है, इसलिए इसे पहले डिक्रिप्ट किया जाना चाहिए। डीबगर का उपयोग करते हुए, हम एप्लिकेशन छवि को मेमोरी से अनलोड करते हैं और द्विआधारी एप्लिकेशन छवि को संपादित करते हैं, डिक्रिप्ट किए गए सेगमेंट को प्रतिस्थापित करते हैं। इस प्रक्रिया का विस्तृत विवरण लेख के दायरे से परे है; हम केवल उल्लेख करते हैं कि माच-ओ प्रारूप में अनुप्रयोगों की द्विआधारी छवियों को स्वचालित रूप से डिक्रिप्ट करने के लिए उपकरण हैं।
अगला कदम एप्लिकेशन की द्विआधारी छवि को अलग करना है। ऐसा करने के लिए, आईडीए प्रो इंटरएक्टिव डिस्सेम्बलर का उपयोग करें। आइए __cfstring सेक्शन में पासवर्ड लाइन की खोज करने की कोशिश करें और डिस्क्लेमर को क्रॉस-रेफरेंस दिखाने के लिए कहें।


अंजीर। 4. आईडीए प्रो डिस्सेम्बलर के साथ काम करें

चलिए सबरूटीन में जाते हैं - [प्राथमिकताएँ सेटपेसवर्ड:]। आईडीए प्रो यहां भी विफल नहीं हुआ: इसने हमारे लिए सभी काम किए।


अंजीर। 5. बाइनरी इमेज का असेंबलर

यहाँ क्या हो रहा है, इसे समझने के लिए आपको ARM आर्किटेक्चर गुरु होने की आवश्यकता नहीं है। ऑफसेट 0x0000DDCC पर, उपयोगकर्ता पासवर्ड Base64 के साथ एन्कोड किया गया है, और ऑफसेट 0x0000DDE6 AES256 पर TheSuperSecretKey कुंजी (एक वास्तविक अनुप्रयोग में, एक अलग एन्क्रिप्शन कुंजी का उपयोग किया गया) के साथ एन्क्रिप्ट किया गया है।
तो, कुंजी के साथ एन्क्रिप्शन एल्गोरिथ्म एक हमलावर द्वारा समझौता किया जा सकता है यहां तक ​​कि 10 मिनट से कम समय में उच्च कौशल स्तर भी नहीं। इस ज्ञान के साथ, एक हमलावर उपयोगकर्ता की गोपनीय जानकारी तक अनधिकृत पहुंच प्राप्त कर सकता है और उपयोगकर्ता डेटा एकत्र करने की प्रक्रिया को स्वचालित कर सकता है।
ऐसी कमजोरियों को हल करने के लिए सिफारिशों में निम्नलिखित शामिल हो सकते हैं:

• संवेदनशील डेटा संग्रहीत करने के लिए मुख्य जंजीरों का उपयोग करें। चाबी का गुच्छा आइटम पर विभिन्न प्रमुख स्तरों को लागू किया जा सकता है, और उन्हें दूसरे उपकरण में स्थानांतरित होने से बचाया जा सकता है।
• किचेन आइटम पर एन्क्रिप्शन लागू करें। उन उपकरणों पर जिनके लिए अनधिकृत विशेषाधिकार प्राप्त किया गया था, एक हमलावर सभी किचेन तत्वों को देख सकता है। ऐसा करने के लिए, बस सभी एक्सेस समूहों के किचेन में या com.apple.keystore.access-keychain-keys समूह तक पहुंच के साथ एक एप्लिकेशन बनाएं।
• डायनामिक रूप से एक एन्क्रिप्शन कुंजी बनाने के लिए एल्गोरिदम का उपयोग करें जो प्रत्येक उपयोगकर्ता के लिए अद्वितीय है।
• एक शुद्ध सी भाषा में सुरक्षा लिखें। इनलाइन कार्यों का उपयोग करने पर विचार करें या मैक्रोज़ का उपयोग करें।
• उपयोगकर्ता डिवाइस पर संवेदनशील डेटा संग्रहीत न करें।