Czy dane w telefonie są bezpieczne?

Nie można jednak polegać tylko na tym mechanizmie. Niestety, Android i iOS nie są wolne od błędów. I nawet jeśli błędy te są na bieżąco likwidowane, to trzeba pamiętać, że nie zawsze mamy zainstalowaną najnowszą wersję systemu z bieżącymi poprawkami bezpieczeństwa, często za przyczyną producentów telefonów. Zarabiają oni przecież na sprzedaży urządzeń, a nie na aktualizowaniu oprogramowania.

Poza tym, zazwyczaj bez problemu możemy złamać zabezpieczenia telefonu i nadając niektórym aplikacjom wyższe niż standardowo uprawnienia. Trzeba też powiedzieć, że zawsze pewna grupa błędów jest celowo utrzymywana w tajemnicy, aby stanowić podstawę dla złośliwego oprogramowania do przeprowadzania ataków typu “0-day”, czyli takich, które mają miejsce jeszcze zanim producent zdąży wypuścić poprawkę.

Na czarnym rynku takie informacje o lukach w zabezpieczeniach stanowią przedmiot handlu, osiągając zawrotne ceny. Mimo to klientów nie brakuje. Są wśród nich potencjalni hakerzy, ale i służby specjalne, agenci rządowi, a nawet działy bezpieczeństwa IT potencjalnych ofiar, które starają się uzyskać wiedzę o możliwościach ataku zanim będzie za późno. Niestety zwykle jest tak, że dopóki atak nie zostanie przeprowadzony, bardzo ciężko przewidzieć go i mu zapobiec.

Dlatego aplikacje operujące na poufnych i wrażliwych danych ograniczają do minimum ich przechowywanie. Zazwyczaj każdorazowo logujemy się do systemu bankowego, a wszystko co prezentuje i umożliwia aplikacja jest on-line. Dane pobierane są na bieżąco z serwera banku i przechowywane tylko chwilowo w pamięci operacyjnej urządzenia. Połączenie z infrastrukturą banku jest obowiązkowo silnie szyfrowane, tak jak ma to miejsce w przypadku korzystania ze strony internetowej banku. Analogicznie szyfruje się dane które jednak muszą zostać zapisane na urządzeniu. Jeśli już cokolwiek jest przechowywane, wykorzystywane są sprzętowe moduły kryptograficzne (TPM – trusted platform module), np. Secure Enclave w iOS. Niestety, takie rozwiązania nie są jeszcze standardem na platformie Android, i są dostępne jedynie w telefonach z wyższej półki.

Także zakres operacji dostępny w aplikacji mobilnej jest celowo ograniczany. Nie tylko po to, aby uprościć obsługę aplikacji, lecz także by ograniczyć dostępną powierzchnię ataku. Deweloperzy zmniejszają liczbę operacji możliwych do wykonania, wprowadzają limit kwot, skracają czas na ich wykonanie, automatycznie wylogowują, wymagają dodatkowych PIN-ów czy kodów, aby np. po kradzieży telefonu złodziej miał ograniczone pole manewru.

Zabezpieczanie aplikacji mobilnej na potrzeby bankowości elektronicznej przebiega więc wielotorowo. Wykorzystujemy dostępne narzędzia i technologie, zarówno na poziomie systemu operacyjnego telefonu, jak i wbudowane, na poziomie aplikacji bankowej, mając świadomość, że w ten sposób tylko zmniejszamy szansę na przeprowadzenie ataku.  Dodatkowo dostosowujemy procesy i ograniczamy ryzyko w przypadku przełamania zabezpieczeń. Wyścig zbrojeń trwa. Analizując celowość wprowadzenia kolejnych zabezpieczeń oceniamy ich skuteczność, ryzyko wystąpienia ataku, potencjalne straty materialne i wizerunkowe dla banku w przypadku złamania zabezpieczeń. Niemniej jednak ważne jest znalezienie złotego środka między tymi zabezpieczeniami i kosztem ich wprowadzenia oraz utrzymania, a także wpływem na wygodę korzystania z aplikacji.

Więcej na temat nowych zagrożeń dla bankowości mobilnej w najbliższym wydaniu Miesięcznika Finansowego BANK.

Dominik Dzienia

Capgemini