모바일 정보 보호 응용 프로그램에서 제공하는 기능을 검증

정보를 보호하는 것은 디지털 라이프에서 항상 가장 중요한 측면 중 하나 인 것에 이론은 없을 것입니다. 요즘 스마트 폰 (이하, 스마트 폰)의 사용 빈도를 고려하면 더욱 그렇습니다. 스마트 폰 단말기 내장의 개인 정보 보호 및 보안 기능을 활용하는 사용자가있는 반면, 보안 · 개인 정보 보호 응용 프로그램을 더 사용하는 사용자도 있습니다.

스마트 폰의 정보를 보호하는 수단의 하나로서 「파일 잠금 '기능 등 정보 보호 기능을 제공하는 응용 프로그램을 사용하는 것을들 수 있습니다. 이러한 응용 프로그램은 이름이 시사하는 바와 같이 중요한 정보를 저장하는 데 사용 된 추가 보안 기능으로 종종 암호화와 비밀번호 보호 기능으로 불필요한 액세스로부터 정보를 보호합니다.

그러나 정보를 보호하는 데 이러한 응용 프로그램은 얼마나 효과적입니까? 이러한 앱이 사양대로이며, 정보 보호에 필요한 기준을 충족하고 있다고 생각할까요 하는가? 불행히도, 트렌드 마이크로가 Google의 공식 앱 스토어 'Google Play'에서 인기 정보 보호 응용 프로그램을 분석 한 결과, 보안 충분한 기능을 제공하지 않는 것이있는 것이 확인되었습니다.

당사가 분석 한 응용 프로그램의 URL은 다음과 같습니다.

• https://play.google.com/store/apps/details?id=com.tonado.boli.hiper
• https://play.google.com/store/apps/details?id=com.domobile.applock
• https://play.google.com/store/apps/details?id=com.newsoftwares.folderlock_v1
• https://play.google.com/store/apps/details?id=com.mwgo.filelocker

당사는 이미 위의 ​​응용 프로그램 개발자 및 Google에보고하고 있습니다.

■ 칩을 계산하는 응용 프로그램처럼 위장한 정보 보호 앱
'File Hide Pro'는 몇 초에서 파일을 숨길라고 노래 정보 보호 응용 프로그램입니다. 또한 개인 정보를 두껍게 보호하기 위해 칩을 계산하는 응용 프로그램에 가장 해하고 있습니다. 그러나 실제로는이 앱이 제공하는 '보호'는 파일 이름의 시작 부분에 ""를 추가하여 파일 이름을 변경하면다는 것을 우리는 확인했습니다.

그림 1에서 알 수 있듯이 "숨기기"가 실행 된 후와의 차이점은 파일 이름이 변경된 것입니다.

그림 1 : 파일 숨기기 기능이 실행되기 전과 후의 파일 이름

사실 이러한 "숨겨진"라고하는 파일은 파일 탐색기에서 볼 수 있습니다. 또한이 응용 프로그램은 "숨겨진"파일의 인덱스로 "sdcard / .hermit / .hermit_restore.hider"파일을 만듭니다. 이 파일은 SD 카드에 저장되어 모든 사용자에게 읽기 권한이 있습니다. 즉, 단말기에서 어떤 응용 프로그램에서 읽을 수 있다는 것입니다. 잘못된 응용 프로그램이나 사용자가 "/. hermit_restore.hider"를 단서로 사용하여 "숨겨진"라고하는 파일을 찾아 읽을 수 있습니다.

그림 2 : "hermit_restore.hider"의 내용

■ 읽을 수있는 데이터베이스에 숨겨진 파일
"File Locker"는 고정 된 폴더 "/ sdcard / .MySecurityData / dont_remove /"에 사용자 파일을 이동하고 "숨겨진"입니다. 숨겨진 파일의 위치와 원본 파일은 데이터베이스 관리 시스템 "SQLite3"에 저장되어 있습니다. 불행히도,이 데이터베이스와 숨겨진 파일은 SD 카드에 저장되어 모든 사용자에게 읽기 권한이 있습니다.

■ 온라인 은행의 개인 정보를 "보호"앱
"Folder Lock"이 다른 앱과 차별화 점은 신용 카드 번호 나 비밀번호, 또한 온라인 은행 관련 및 비즈니스 관련 기타 정보를 보호하는 '지갑' 를 제공하는 것입니다. 당사의 분석에 따르면, 지갑의 정보는 암호화 되기는 커녕 일반 텍스트로 누구나 읽을 수 경로에 저장되어있는 것을 알 수있었습니다. 기타 "숨겨진"라고하는 파일도 암호화하지 않고 고정 경로의 폴더에 저장되어 있습니다.

그림 3 : "지갑"기능의 정보​​ 샘플

그림 4 : 일반 텍스트로 저장된 정보의 예

■ 보호없는 암호화
"App Lock '은 사양대로 실제로 파일을 암호화하는 응용 프로그램이었습니다. 하지만 정말 사용자의 파일은 보호되는 것일까 요. 분석 한 결과, 그렇지 않는 것을 발견했습니다.

이 응용 프로그램은 개발자가 직접 정의한 고정 알고리즘을 사용하여 파일을 암호화합니다. 불행히도하지만 사이버 범죄자들은​​이 APK 파일을 디 컴파일하여 쉽게 해독 알고리즘을 수행 할지도 모릅니다. 이제 암호화 된 정보를 일반 텍스트로 저장된 정보와 아무런 차이가 없습니다.

그림 5 : 암호 "123"에서 파일 잠금

그림 6 : 잠긴 파일이 복호화 된 암호 "123"가 나타날

주목할만한 것은이 응용 프로그램의 암호 보호는 현실적이지 않다는 것입니다. 설정된 암호는 암호화 된 암호화 된 각각의 파일의 마지막 블록에 저장 될뿐입니다. 단적으로 말하면 암호도 저장된 하나의 파일 밖에 없습니다. 파일이 복호화되는 파일과 암호가 노출됩니다. 비록 제 3자가 해독 방법을 알게해도 암호가 파일에의 액세스를 막는 것이 이상적입니다.

■ 이용자가 개인 정보를 보호하기 위해
당사가 확인한 이러한 응용 프로그램의 공통점은 다른 앱과 계정 정보에 액세스 할 수 있다는 것입니다. 이것은 이용자가 어느 정도의 정보 보호의 강도를 기대하고 있는지에 따라 다르지만 보안 전문가의 관점에서 충분한 정보 보호 기능은 말할 수 없다고 생각합니다. 이용자가 보호하고자하는 파일에는 정보 수집과 유출 위험이 남아있는 것이라고 말할 수 있습니다.

이 응용 프로그램은 매우 인기가 있고, 수백만 번 다운로드에 도달 앱도 있고, 혼자 5000 만회 다운로드를 기록하고있는 어플리케이션도 있습니다. 이용자는 앱을 다운로드 할 때 자신이 기대하는 기능이 실현되고 있는지 잘 확인해야합니다. 앱 리뷰 앱이 정말 소개 된 사양대로 작동하는지 확인 할 수 있습니다.

이번 분석 한 응용 프로그램, 예를 들어 정보를 절취하려고하는 공격자로부터 정보를 보호하는 관점에서 충분한 보호 기능을 제공하는 것이라고는 할 수 없습니다. 사용자는 자신의 개인 정보를 보호하기 위해 어떤 수준의 보호가 필요한가를 생각해야 하겠지요. 또한 보안 관련 응용 프로그램을 도입하지 않고도 중요한 정보를 보호 할 수있는 방법이 있습니다. 그것은 모바일 단말기에 저장되는 정보의 양을 제한하는 것입니다. 모바일 단말기에서 실행되는 처리량 및 종류를 생각하면 어떤 형식으로 중요한 정보를 저장하는 것은 피할 수없는 듯​​합니다. 그러나 저장되는 정보의 양을 극 최소화하여 사용자가 쉽게 관리 할 수​​ 있습니다. 20 애플 리케이션을 관리하는 것보다 5 개의 응용 프로그램을 관리하는 것이 더 쉽습니다. 정보량을 적게함으로써 개인 정보 보호 문제를 줄일 수 있습니다.

■ 개발자에 요구되는 보안 응용 프로그램 작성을 향한 자서 노력
스마트 폰 앱 개발자는 많은 개인 개발자도 참가하고 있습니다. 이 개발자들은 어떻게 보안 응용 프로그램 만들기를心掛けれ하면 좋은 것일까 요.

가장 중요한 것은 모든 개발자는 이용자에게 안전하게 사용할 수있는 응용 프로그램을 제공하는 자서 노력을 게을리해서는 안된다는 것입니다. 이것은 개발 규모에 관계없이 요구되는 요구라고 생각합니다.

자서 노력하고 나가기위한 소스로 일반 사단 법인 일본 스마트 폰 보안 협회가 발행하는 「Android 앱 보안 설계 및 보안 코딩 가이드」(일본어 버전 / 영어 버전)이 유효합니다. 이 문서에는 보안을 고려하여 설계 및 개발 노하우가 담겨 있습니다.

• 일반 사단 법인 일본 스마트 폰 보안 협회 "Android 앱 보안 설계 및 보안 코딩 가이드"http://www.jssec.org/report/securecoding.html
  

개발자는 지침의 내용에 따라 코딩을함으로써 보안 강도와 함께 응용 프로그램의 품질을 향상시킬 기대할 수 있습니다.

• " The Severe Flaw Found in Certain File Locker Apps " 
  by Simon Huang (Mobile Threats Analyst)