Mobil Uygulamada Sabit Kodlanmış Statik Anahtarlar

Özet :

Bazı statik anahtarlar mobil uygulama kod tabanında sabitlenmiştir; bu da anahtar malzemesinin istemci uygulamasından kurtarılabileceği anlamına gelebilir.

CVSS (Base Score):

7.2 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Saldırı koşulları:

Saldırgan, uygulama istemcisini tersine mühendislik, statik analiz veya dağıtım paketini denetlemek gibi diğer güvenlik araştırması yoluyla gönderilen ikili veya kaynaklardan ilgili anahtarları veya hassas sabitleri kurtarabilir.

Risk:

Kısmi statik anahtarlar veya eşdeğer kimlik bilgileri sızdırılabilir; başka koşullarla birleştiğinde uygulamayla ilişkin yeteneklerin kötüye kullanımı genişleyebilir.

Etki kapsamı:

Gömülü anahtarlara dayanan mobil uygulama istemcileri için anahtar malzemesinin gizliliği ve bu anahtarların kullanıldığı senaryolar.

Giderim adımları:

Uygulamadan sabitlenmiş anahtar kodları kaldırılmıştır. Resmi kanallardan düzeltilmiş sürümlere yükseltin: iOS 6.1.7, Android 6.1.9 ve üzeri.

Teşekkür

Bu güvenlik açığının keşfi ve sorumlu açıklama sürecindeki değerli yardımları için Sammy Azdoufal’a teşekkür ederiz.