Публикувано мобилно приложение, което беше трезор за идентификационни данни

Предизвикателството

Доставчик на софтуер поиска проверка на клиентското приложение, което предоставя на други организации, във версиите за Android, iOS и Windows.

Как се разви

1. Разопаковахме приложението и анализирахме съдържанието на пакета и двоичните файлове.
2. Открихме твърдо кодирани сървърни идентификационни данни, компилирани в пакета.
3. Потвърдихме с проверка само за четене, че данните позволяват удостоверен достъп до вътрешен API.
4. Възстановихме ключа за шифроване на локалната база от данни, налични на устройството. Извеждането на ключа не използваше сол.
5. Дешифрирахме локалното хранилище и заобиколихме проверката за jailbreak с едно прихващане на функция по време на изпълнение.
6. Показахме, че настройка по подразбиране в MDM изключва фиксирането на сертификати без предупреждение и позволява прихващане на сесията.

Въздействие

Нападател с достъп само до публично достъпното приложение можеше да получи достъп до работещ API за данни и да дешифрира локалното хранилище. Пътят беше потвърден и на трите платформи.

Резултат

Докладвахме една критична и пет констатации с висока критичност, подкрепени с доказателства. Посочихме кои идентификационни данни трябва да се подменят незабавно и конкретни корекции за извеждането на ключове, фиксирането на сертификати (certificate pinning) и управлението на токени. Прекратихме проверката след доказване на достъпа, без да извличаме записи.