DHS เริ่มทดลองตรวจสอบแอปพลิเคชันด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย

กระทรวงความมั่นคงแห่งมาตุภูมิแห่งสหรัฐอเมริกา หรือ DHS ได้เริ่มต้นทดลองโปรแกรมเพื่อตรวจสอบแอปพลิเคชันร้องขอความช่วยเหลือจากบุคคลที่เกิดเหตุวิกฤต (First Responder) บน Android และ iOS ในด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย โดย 33 แอปพลิเคชันจาก 20 นักพัฒนาถูกตรวจสอบในโปรแกรมเริ่มต้นครั้งนี้

32 จาก 33 แอปพลิเคชันมีปัญหาละเมิดความเป็นส่วนตัว

จากการตรวจสอบพบว่า 32 แอปพลิเคชันมีปัญหาเกี่ยวกับความเป็นส่วนตัว โดยมีการยกระดับสิทธิ์การเข้าถึงเกินความจำเป็น เช่น ส่งข้อความ ใช้กล้อง และเข้าถึงลิสต์รายชื่อติดต่อ นอกจากนี้ 18 แอปพลิเคชันถูกระบุว่ามีช่องโหว่ที่สามารถทำ Man-in-the-Middle, การจัดการ SSL Certificate ผิดพลาด หรือ มีการฝัง Credential ลงในโค้ด การตรวจสอบนี้กินเวลาร่วม 3 เดือนรวมถึงฝ่ายสืบสวนได้เตือนไปยังนักพัฒนาแอปพลิเคชันเหล่านั้นแล้ว โดยตามรายงานสื่อของ DHS เมื่อสัปดาห์ที่แล้วกล่าวว่า 14 แอปพลิเคชันจาก 10 นักพัฒนาได้รับการแก้ไขแล้ว

การแก้ไขแต่ละแอปพลิเคชันกินเวลาแค่ 1 ชั่วโมงเท่านั้น

ทาง DHS ยังกล่าวว่านักพัฒนาส่วนใหญ่ที่ถูกแจ้งเตือนใช้เวลาแก้ไขเพียงแต่ 1 ชั่วโมง ซึ่งขั้นตอนการปรับปรุงแก้ไขประกอบด้วย การลบโค้ดเก่าหรือโค้ดที่ไม่ใช้แล้ว เปิดใช้ฟีเจอร์ด้านความปลอดภัยที่ติดมากับตัวระบบปฏิบัติการ รวมถึงเปิดใช้แค่ฟังก์ชันที่จำเป็น นอกจากนี้ทาง DHS ยังเสริมว่าการเริ่มต้นสิ่งนี้เป็นเรื่องสำคัญถึงแม้ว่าจะมีผู้ใช้งานไม่มากที่ใช้แอปพลิเคชัน แต่ผู้ใช้งานต้องการรับและแชร์ข้อมูลสำคัญแบบทันท่วงทีอย่างมั่นคงปลอดภัย ดังนั้นแอปพลิเคชันเหล่านี้ควรจะปลอดภัยจะการโจมตีของมัลแวร์ที่อาจจะทำให้เกิดการใช้งานไม่ได้ตอนที่ผู้ใช้งานตกอยู่ในเหตุการณ์ความเป็นความตายและต้องการใช้แอปพลิเคชันมากที่สุด

———————————————

ที่มา : TECHTALKTHAI / December 29, 2017

Link : https://www.techtalkthai.com/dhs-pilot-auditing-program-for-first-responder-apps/

32 of 33 apps affected by privacy issues

For example, 32 of the 33 apps featured various privacy issues, such as the app gaining access to permissions it did not need or used, such as the ability to send SMS messages, access the phone camera, and the device’s contacts list.

Experts also found critical security issues in 18 apps, which they say were vulnerable to MitM (Man-in-the-Middle) attacks, mishandled SSL certificates, or used hardcoded credentials.

The audit took three months, and investigators said they notified all app developers. At the time of a DHS press release, published last week, 14 apps developed by ten developers received fixes for the reported issues.

Fixes took approximately one hour per app

“Most developers who fixed their app’s vulnerability(ies) reported investing approximately one hour on remediation,” said the DHS in a statement. “Remediation steps included removing old or unused code, enabling built-in security provided by the operating system, and ensuring the functionality requested is necessary for operations.”

According to the DHS, the pilot program was important because even if very few people use these apps, they are critical and need to function as designed at a time of crisis.

They need to receive and share critical information in real-time in a safe and secure manner, and they need to be hardened against security issues commonly exploited by mundane malware that may cause problems at a time when the apps are needed the most.

———————————————

From : BLEEPINGCOMPUTER / December 28, 2017

Link : https://www.bleepingcomputer.com/news/security/dhs-18-of-33-first-responder-apps-affected-by-security-flaws/