Cât de importantă este securitatea datelor pentru utilizatorii moderni de aplicații mobile

Din ce în ce mai multe companii care își dezvoltă propriile aplicații mobile fac un pas suplimentar pentru a asigura securitatea aplicațiilor mobile – și pentru un motiv întemeiat.

Potrivit raportului anual 2021 al Centrului de resurse pentru furtul de identitate (ITRC), anul 2021 a fost un record în ceea ce privește numărul de compromisuri de date – 1.862 de instanțe . În momentul în care am scris acest articol, în trei trimestre ale anului 2022, centrul a raportat până acum 1.291 de compromisuri de date. Acestea sunt date despre încălcările dezvăluite public numai în SUA.

În medie, o încălcare a datelor poate costa o companie care suferă de ea în jur de 4,35 milioane de dolari (media globală), conform datelor IBM din 2022. Adăugați la aceasta lovitura extraordinară adusă reputației dacă informațiile despre încălcare devin publice. Când este privit astfel, fiecare antreprenor îi dă dovadă că securitatea datelor este importantă.

În acest articol, vorbim despre importanța implementării unor practici solide de securitate a datelor în aplicațiile mobile și despre cum să o facem corect. Ne bazăm pe experiența noastră în dezvoltarea de produse axate pe securitate, cum ar fi aplicația noastră de mesagerie pentru regiunea Orientului Mijlociu.

Ce este protecția datelor în sensul modern

Lumea care se digitalizează rapid este înnebunită după securitatea datelor (pe bună dreptate) și astăzi avem numeroase legi de natură națională și internațională, implementate cu unicul scop de a proteja informațiile proprietare. Toate sunt construite pe baza acelorași principii, mai mult sau mai puțin. Cea mai cunoscută lege internațională de acest fel este probabil Regulamentul general privind protecția datelor, sau pe scurt GDPR.

GDPR se bazează pe următoarele șapte principii pentru prelucrarea informațiilor personale:

• Legalitate, corectitudine și transparență
• Limitarea scopului
• Minimizarea datelor
• Precizie
• Limitarea stocării
• Integritate și confidențialitate (securitate)
• Responsabilitate

Dacă ar fi să rezumam aceste principii fără a cita întregul articol 5 din GDPR, implementarea măsurilor de securitate a datelor înseamnă că orice date va fi:

• colectate și prelucrate în cantitatea minimă necesară
• stocat doar pentru perioada necesară și apoi șters
• folosit numai în scopuri specificate și
• protejat de furtul sau modificarea datelor de către orice parte, în afară de proprietarul datelor

De asemenea, colectorii de date trebuie să informeze utilizatorii cu privire la colectarea și prelucrarea datelor lor. Colectorul și procesatorul de date trebuie să fie răspunzător pentru respectarea acestor principii.

Ce date ale utilizatorilor de aplicații mobile trebuie de obicei protejate?

Cu toții am văzut mesaje despre cookie-uri în browsere, dar nu există așa ceva în aplicațiile mobile. În același timp, aplicațiile mobile pot colecta, stoca și procesa informații mult mai sensibile decât la care utilizatorii de site-uri web nu se conectează, de exemplu. Utilizarea unor astfel de date prezintă un potențial pentru anumite vătămări reale dacă sunt compromise.

Deci, ce tipuri de date de utilizator trebuie să protejeze un proprietar de aplicație mobilă? Iată o listă neexclusivă de date sensibile:

• Informații de identificare personală . Acestea includ informații despre ID/licența de conducere, adrese fizice și numere de telefon. Astfel de informații sunt utilizate frecvent în aplicațiile de comerț electronic, deoarece pentru a trimite un pachet, vânzătorul are nevoie de aceste informații. Unele aplicații de livrare stochează coduri de cheie pentru blocarea ușilor în aplicațiile lor, deschizând potențial blocuri de apartamente pentru hoți.
• Informații personale de sănătate și dosare medicale . Aplicațiile de telemedicină și unele instrumente de urmărire a consumului de medicamente (de exemplu, cele destinate persoanelor cu afecțiuni cronice), se sincronizează uneori cu sistemele EHR și pot furniza date de la utilizatori medicilor lor. Alteori, aplicația ar putea stoca doar date fără a le transfera; utilizatorul ar putea, la discreția sa, să o arate la o dată ulterioară medicului.
• Card de plată și informații bancare . Deși în prezent, majoritatea aplicațiilor folosesc G Pay și Apple Pay pentru procesarea plăților, nu este încă neobișnuit ca unele dintre ele să stocheze informații despre cardul de credit în aplicație, mai ales când utilizatorii preferă să nu conecteze portofelele de sistem la cardurile lor. Dacă acesta este cazul, proprietarii de aplicații trebuie să facă tot posibilul pentru a proteja astfel de date.
• Numere de securitate socială, informații despre asigurări . Aplicații care se ocupă cu numerele de securitate socială și informațiile despre asigurări ale utilizatorilor magazinului de asigurări. Astfel de informații sunt considerate sensibile alături de informațiile de identificare personală.

Toate aceste informații pot fi stocate în profilurile utilizatorilor din aplicațiile mobile pentru a fi utilizate în scopul aplicației - efectuarea de achiziții, menținerea sănătății, gestionarea activităților personale și multe altele. Și dacă astfel de date sunt furate de pe serverele aplicației, pot fi folosite pentru furt de identitate, fraudă, atacuri de phishing, jaf și alte infracțiuni.

Prin urmare, dacă dezvoltați o aplicație care trebuie să se ocupe de unul sau mai multe tipuri de astfel de informații sensibile, este datoria dvs., în calitate de proprietar al aplicației, să oferiți suficientă protecție a datelor clienților aplicației.

Există mai multe modalități de a asigura securitatea datelor pentru aplicațiile mobile, la care vom trece mai târziu. În primul rând, am dori să evidențiem câteva dintre cele mai recente cazuri de scurgere de date.

Cele mai recente cazuri populare de scurgere de date a aplicației mobile ale utilizatorilor

După cum am menționat la începutul acestui articol, 2021 a fost un an cu un număr record de încălcări ale datelor. Un număr dintre cei implicați în aplicații mobile. Iată doar câteva dintre ele.

Scurgerea datelor utilizatorilor Android

Această încălcare nu a fost cauzată de o anumită aplicație. În schimb, a implicat numeroase aplicații. Cel puțin douăzeci și trei de aplicații au fost afectate, dar ar fi putut fi mai multe. Cu toate acestea, numărul de aplicații afectate nu este cel mai important, de fapt.

Ceea ce este important este cauza. O serie de dezvoltatori de aplicații nu au acordat suficientă atenție configurațiilor serviciilor lor de cloud terțe, ceea ce a dus la expunerea datelor personale a peste 100 de milioane de utilizatori Android. Datele expuse au inclus informații de identificare personală, cum ar fi nume și adrese, precum și informații medicale, fotografii, informații de plată și numere de telefon.

Clubhouse

În februarie 2021, mai multe magazine au raportat un caz în care un dezvoltator chinez a creat o aplicație open-source care a permis utilizatorilor web și Android să acceseze aplicația Clubhouse doar pentru iOS. Oamenii puteau asculta orice streamuri Clubhouse fără a avea nici un iPhone sau un cod de invitație, ceea ce a fost un alt punct de disputa când a fost vorba de Clubhouse.

Deși această breșă nu părea a fi de natură rău inițială, a scos în evidență găuri în securitatea Clubhouse și a permis oricui să acceseze discuții private.

Aplicația de plată Klarna

Aplicația suedeză de servicii bancare mobile Klarna a suferit o încălcare a datelor în mai 2021, care a fost totuși rezolvată rapid și, se pare, că nu a provocat niciun prejudiciu semnificativ. Esența încălcării a fost că utilizatorii care se conectează la conturile lor au fost conectați pentru scurt timp la alte conturi ale utilizatorilor - aleatoriu și au putut vedea informațiile contului lor.

Facebook

Facebook este cunoscut pentru scandalurile sale majore de încălcare a datelor. Scandalul Cambridge Analytica din 2016, scurgerea de date din 2019 și cea mai recentă scurgere din 2021 despre care se spunea că exploatează aceeași vulnerabilitate care ar fi trebuit să fie remediată în 2019. Rezultatul? 533 de milioane de utilizatori din întreaga lume au avut scurgeri de date.

Aplicația de certificare Portpass COVID

O aplicație privată menită să permită utilizatorilor să-și dovedească statutul de vaccinare în Canada avea informații de identificare personală ale utilizatorilor săi expuse pe site-ul său web neprotejat. Datele au inclus fotografii ale permiselor de conducere și ale pașapoartelor, nume, adrese, numere de telefon și chiar tipuri de sânge ale utilizatorilor.

Tipuri de bază de controale de securitate a datelor

Controlul accesului

Controlul accesului, sau managementul accesului, este cel mai simplu dintre componentele securității datelor . După cum sugerează și numele, înseamnă că limitați accesul la spațiile în care sunt stocate datele la cât mai puține persoane posibil. Numai angajații care necesită un astfel de acces pentru a-și îndeplini sarcinile pot avea capacitatea de a obține date, iar acești angajați trebuie selectați cu atenție.

Autentificare

Autentificarea corectă pentru aplicația dvs. mobilă va ajuta la configurarea unei anumite protecție împotriva scurgerilor și încălcărilor din partea utilizatorilor. Dacă aplicația dvs. se ocupă de date sensibile - financiare, legate de sănătate sau identificabile personal - procesul de conectare la aplicație trebuie să aibă măsuri de protecție . De exemplu, recunoașterea facială, scanarea amprentei și autentificarea în doi pași prin coduri pe termen scurt la e-mail.

Ștergerea datelor

Este unul dintre principiile GDPR să stocheze informațiile sensibile ale utilizatorilor pe servere doar atâta timp cât este necesar pentru a furniza servicii. Când necesitatea acestor informații dispare, datele vor fi șterse. La urma urmei, datele nu pot fi piratate sau scurse de pe servere dacă nu există date acolo.

Criptarea datelor

Una dintre cele mai sigure modalități de a proteja datele utilizatorului în aplicația dvs. mobilă este să utilizați criptarea de la capăt la capăt . În acest fel, o scurgere accidentală de date devine aproape imposibilă, deoarece datele nu vor avea niciun sens fără cheile de decriptare. Hackerea unor astfel de date va fi, de asemenea, mult mai dificilă, mai ales dacă cheile de decriptare sunt păstrate nu pe serverele dvs., ci pe dispozitivele utilizatorului și sunt unice pentru fiecare utilizator.

Mascarea datelor

Una dintre modalitățile de a cripta datele este de a le masca. Mascarea datelor este un proces în care caracterele și numerele sunt ascunse de caractere proxy. Nu este o soluție perfectă, dar funcționează împotriva unor încălcări accidentale sau nerăuitoare.

Reziliența datelor

În timp ce criptarea, mascarea și ștergerea sunt menite să protejeze de scurgeri și hack-uri, rezistența datelor este protecția împotriva pierderii datelor . Dacă există date de care dvs. sau utilizatorii dvs. aveți nevoie în mod constant, trebuie să aveți o copie de rezervă a acestor date. În acest fel, dacă s-ar întâmpla ceva cu serverele dumneavoastră principale, datele pot fi restaurate din backup.

Noi, cei de la Mind Studios, am fost salvați prin susținerea acestei practici, când serverele OVH pe care le-am folosit erau printre cele luate în foc în martie 2021 și unele dintre date au fost deteriorate. Dar am avut copii de rezervă, așa că totul a ieșit bine.

Plan de răspuns la incident

În cazul în care se produce o încălcare sau o scurgere, compania dvs. trebuie să aibă un plan de acțiuni stabilit în prealabil. Diferitele autorități de reglementare au propriile cerințe cu privire la ceea ce trebuie să includă un astfel de plan.

De obicei, primul lucru de făcut după descoperirea scurgerii este să anunțați utilizatorii afectați că datele lor ar putea fi compromise, mai ales dacă datele scurse pot fi folosite în scopuri rău intenționate, cum ar fi furtul de identitate sau frauda.

Provocări privind securitatea datelor din aplicațiile mobile

Confidențialitatea și securitatea datelor devin din ce în ce mai greu de menținut odată cu creșterea Big Data . Oamenii își împărtășesc din ce în ce mai mult din viața lor online - prin mesagerie, rețele sociale, aplicații bancare, pe platformele de comerț electronic și de asistență medicală etc.

În plus, proprietarii de aplicații păstrează alte date despre utilizatorii lor, cum ar fi comportamentul în aplicație și jurnalele de activitate utilizate pentru a îmbunătăți serviciile și pentru a oferi publicitate direcționată. Cantitatea mare de astfel de date este o provocare de păstrat în siguranță și organizat. Din acest motiv, nu este foarte surprinzător faptul că o mică eroare în procese ar putea duce la o scurgere .

Un alt punct slab este că unele dintre datele pe care aplicațiile le colectează ar putea fi stocate pe resurse terțe. Astfel de resurse nu fac parte din organizația proprietarului aplicației și, prin urmare, securitatea resursei nu este în controlul proprietarului aplicației.

Deci, ce puteți face pentru a vă asigura că aplicația și utilizatorii săi sunt în siguranță?

Cum să creșteți securitatea datelor din aplicația mobilă

După cum puteți vedea din exemplele de mai sus, nu toate scurgerile de date sunt opera hackerilor sau au loc din cauza unor intenții rău intenționate. De fapt, majoritatea covârșitoare a încălcărilor de date - 95% - se întâmplă din cauza unei erori umane.

Aceasta înseamnă că nu trebuie neapărat să investiți miliarde de dolari în unele măsuri exagerate. Ceea ce aveți nevoie este o strategie de securitate a datelor pentru aplicații mobile, construită pe practici solide și de către specialiști responsabili de încredere în siguranța datelor.

Ce măsuri pot fi luate pentru a asigura siguranța datelor utilizatorilor aplicației dvs. mobile?

Utilizați certificate SSL/TLS pentru securitatea aplicației

Certificatele Secure Sockets Layer/Transport Layer Security (SSL/TLS) sunt esențiale pentru a comunica în siguranță datele între serverele aplicației dvs. și dispozitivele utilizatorilor. Certificatele SSL funcționează prin amestecarea datelor, astfel încât descifrarea acestora devine aproape imposibilă.

Fixare SSL

Deși certificatele SSL/TLS sunt printre cele mai fiabile modalități de a proteja datele utilizatorilor din aplicațiile dvs., acestea pot fi uneori vulnerabile la atacurile MITM (man-in-the-middle). Dacă aplicația dvs. mobilă se ocupă de informații foarte căutate de criminali (de exemplu, este o aplicație bancară), vă încurajăm să utilizați fixarea SSL.

Fixarea SSL este o tehnică care poate bloca documentele de pe servere necunoscute din aplicația dvs. și poate împiedica instalarea certificatelor false emise de MITM. Acest lucru se face prin fixarea unei gazde de certificat SSL în aplicația dvs. în timpul dezvoltării. Certificatele de la gazda fixată vor fi considerate singurele de încredere.

Testează-ți în mod regulat aplicația pentru vulnerabilități

Există modalități de a testa și elimina vulnerabilitățile. Lucrul important aici este să o faci în mod regulat, deoarece:

• metodele de hacking evoluează destul de repede
• dacă există o vulnerabilitate cauzată de o eroare umană, dezvoltatorii ar putea să o rateze atunci când verifică o dată, dar testele repetate de către mai mulți specialiști vor asigura că este găsită

Testarea de penetrare

Testarea de penetrare este atunci când dezvoltatorii dvs. sau specialiștii în QA efectuează un atac cibernetic simulat asupra vulnerabilităților aplicației dvs., cu scopul de a găsi toate legăturile slabe posibile în cod. Acest tip de testare se poate face pentru servere/backend, front-end, API-uri etc. Găsirea vulnerabilităților este relevantă pentru eliminarea acestora.

Aveți grijă când utilizați biblioteci terță parte

Marea încălcare a datelor Android pe care am menționat-o mai sus s-a produs din cauza configurării greșite a serviciilor cloud terțe. Uneori, dezvoltatorii pot fi tentați să aibă încredere în furnizorul de biblioteci, mai ales dacă acesta este unul renumit și să treacă cu vederea o configurare greșită sau o eroare în cod.

Când utilizați biblioteci terțe, este esențial să verificați totul cu atenție , deoarece nu este același lucru cu scrierea codului de la zero și este mai ușor să pierdeți o eroare.

Cum pot ajuta Mind Studios

Inginerii de software ucraineni s-au clasat pe locul 1 la provocările de securitate și pe locul 11 ​​în general în timpul Jocurilor Olimpice de Programare HackerRank din 2016. De atunci, companiile ucrainene de dezvoltare de software au continuat să evolueze și să se educe pe ei înșiși și pe specialiștii lor.

În 2021, Raportul Coursera Global Skills a plasat Ucraina pe locul 8 în tehnologie. Raportul 2022 Skill Value de la Pentalog are dezvoltatorii ucraineni pe locul 4 la nivel global.

Noi, cei de la Mind Studios, ne mândrim cu concentrarea țării noastre pe dezvoltarea tehnologică și plasăm securitatea datelor în primul rând pe lista noastră de priorități și pentru proiectele pe care le întreprindem. Am lucrat la mai multe produse care s-au ocupat de informații personale și am implementat securitate la nivel superior pentru a proteja datele utilizatorilor acolo.

Printre cele mai recente proiecte ale noastre cu o cerere mare pentru siguranța datelor se numără un serviciu de livrare de alimente pentru Danemarca și o aplicație de mesagerie securizată pentru Orientul Mijlociu. Consultați studiile noastre de caz pentru a afla mai multe detalii.

Gânduri finale

Pe măsură ce lumea trece în spații digitale, nevoia de măsuri de protecție a datelor va crește, iar legislațiile privind securitatea datelor vor deveni doar mai stricte. Încrederea oamenilor în Facebook este în zdrențuri după numeroase scandaluri de încălcare a datelor. Scandaluri similare care implică companii mari și mici sunt auzite tare și clar, nu mai sunt acoperite.

Indiferent dacă sunteți un proprietar de start-up sau o persoană de afaceri experimentată cu o aplicație mobilă existentă, este esențial să țineți pasul cu cele mai recente tehnologii de protecție a datelor . Revizuirea siguranței produsului împotriva acestora și actualizarea măsurilor de protecție a datelor în consecință devine o prioritate de vârf.

La Mind Studios, suntem adepți în securitatea aplicațiilor mobile și putem face față oricărei provocări care ne apare în acest loc. Dacă aveți întrebări pe această temă, reprezentanții noștri vă pot oferi o consultație gratuită de 45 de minute dacă completați formularul.

1