你的APP安全嗎
6 likes•1,078 views
该文档讨论了移动应用程序的安全性，重点介绍了如何防范潜在的攻击和安全漏洞。它列出了确保应用数据安全的关键措施，包括使用 HTTPS、加密数据和实施证书绑定等技术。最后，文档还提供了一些信息和资源，以帮助开发人员了解和遵循最佳的安全实践。
你的APP安全嗎
- 2. Blog : lamb-mei.com 羊小咩 E-mail : [email protected] FB : https://www.facebook.com/lamb.mei GitHub：https://github.com/lamb-mei/ Lamb Mei
- 3. Agenda • 緣由 • 有做到這三點嗎 • 駭客/攻擊者⼿手法 • 如何防⽌止和使⽤用技術 • MAS ⾏行行動資安檢測
- 4. 緣由
- 7. 有做到這三點嗎? • 連線採⽤用https • 資料檔案加密 • 傳輸訊息時押碼
- 8. 駭客/攻擊者⼿手法 • 中間⼈人攻擊 / 嗅探器 • 取得未加密檔案/⽂文件 • 記憶體編輯 • 動態程式碼注入攻擊 • 反組譯 ClassDump
- 9. Burp Suite Fiddler Charles GUI Debug Proxy
- 11. 取得AppStore IPA ⼩小技巧 Apple Configurator 2 Apple Configurator 2 在管理理⼿手機 App 時 會暫時把 ipa 暫存在電腦上 ~/Library/Group Containers/K36BKF7T3D.group.com.apple.configurator/Library/Caches/Assets/TemporaryItems/ MobileApps/
- 12. iTools / iFunBox 查 App 沙盒⽬目錄 /private/var/mobile/Containers/Data/Application/E62249F1....E103A21/ 圖片、plist⽂文件、靜態wap⾴頁、.bundle 等 sqlite、plist 、RealM、產⽣生檔案或圖片
- 14. 使⽤用 IDA 或 Hopper 還原偽代碼
- 15. Flex是⼀一款iOS APP修改程式外掛，可以鎖定 function 回傳值 ，或編輯UI 最棒的是以下載別⼈人寫好的腳本
- 16. class dump 回傳值鎖定 下載腳本 Flex
- 18. 如何防範
- 20. 網路路通訊安全 • 訊息隱密性（Confidentiality） • 訊息完整性（Integrity） • 訊息來來源辨識性（Authentication） • 訊息不可重複性（Non-duplication） • 訊息不可否認性（Non-repudiation） 指訊息不會遭截取、窺竊⽽而洩漏資料內容致損害其秘密性 指訊息內容不會遭篡改⽽而造成資料不正確，即訊息如遭篡改時，該筆訊息無效 指傳送⽅方無法冒名傳送資料，資料進⾏行行數位簽章 指訊息內容不得重複，應採⽤用序號、⼀一次性亂數、時間戳記 指無法否認其傳送或接收訊息⾏行行為 電⼦子⽀支付專法 訊息防護措施
- 21. 網路路通訊安全 • 訊息隱密性（Confidentiality） • 訊息完整性（Integrity） • 訊息來來源辨識性（Authentication） • 訊息不可重複性（Non-duplication） • 訊息不可否認性（Non-repudiation） 指訊息不會遭截取、窺竊⽽而洩漏資料內容致損害其秘密性 指訊息內容不會遭篡改⽽而造成資料不正確，即訊息如遭篡改時，該筆訊息無效 指傳送⽅方無法冒名傳送資料，資料進⾏行行數位簽章 指訊息內容不得重複，應採⽤用序號、⼀一次性亂數、時間戳記 指無法否認其傳送或接收訊息⾏行行為
- 22. 資 料 加 密
- 23. • RSA加密演算法 • 橢圓曲線密碼學ECC (Elliptic Curve Cryptography) 密碼學 Cryptography 對稱式加密 (Symmetric Encryption) 非對稱式加密 (Asymmetric Encryption) • 進階加密演算法AES • 三重資料加密演算法3DES （Advanced Encryption Standard） （Triple Data Encryption Standard）
- 24. 雜湊 Hash • 雜湊不是加密 • 雜湊無法還原 • 產⽣生出來來長度固定 • 只差⼀一bit產出也完全不同 Algorithm • md5 • sha • sah0 • sha1 • sha256 • sha512 • 校驗碼（Checksum） • 產⽣生不可還原資料
- 25. 訊息鑑別碼 ⾦金金鑰雜湊訊息鑑別碼（Keyed-hash message authentication code） ⼜又稱雜湊訊息鑑別碼 (Hash-based message authentication code)，縮寫為HMAC） Message authentication code (MAC)
- 26. https://github.com/TakeScoop/SwiftyRSA https://github.com/krzyzanowskim/CryptoSwift Swift cryptographic algorithms library pod ‘SwiftyRSA' pod 'CryptoSwift'
- 27. 憑證綁定 Certificate Pinning 正常進⾏行行 https 連線狀狀況
- 29. 憑證綁定 Certificate Pinning 在 App 嵌入 SSL 公鑰，進⾏行行驗證 缺點：要注意公鑰過期，或server 更更換⾦金金鑰
- 35. 混淆 Obfuscation OLLVM (Obfuscator-LLVM) https://github.com/heroims/obfuscator • 控制流程扁平化 • 指令替换 • 虚假控制流程 if-else語法，轉成do-while語法 標準⼆二元運算符(+ , – , & , | 和^) 多⼀一堆垃圾程式碼 程式碼邏輯混淆
- 40. MAS⾏行行動資安聯聯盟 Mobile Application Security Alliance https://www.mas.org.tw/ ⾏行行動資安檢測 收保護費 ⺠民國107年年「經濟部⼯工業局」委託「財團法⼈人資訊⼯工業策進會」並協同「中華⺠民國資訊安全學 會」為執⾏行行單位，修訂「⾏行行動應⽤用App基本資安檢測基準」、「⾏行行動應⽤用App基本資安規範」及 「⾏行行動應⽤用App基本資安⾃自主檢測推動制度」
- 43. ⾏行行動資安檢測 證書