置身移动互联网时代，衣、食、住、行、娱乐、社交只需一部手机就可以全部完成，移动应用程序已成为我们日常生活中不可或缺的一部分。在移动互联网快速发展的趋势下，我们对移动应用程序的依赖不断增长，新型攻击手段则呈多样化、隐蔽化态势发展，移动应用安全风险日益凸显。

为应对不断变化的移动安全威胁，全球开放 Web 应用程序安全项目 （OWASP）近日更新最新版移动应用程序10大安全风险名单，为识别全球移动应用程序面临的安全风险类型提供宝贵见解。本文将详细介绍OWASP Mobile TOP 10中的APP安全风险及防护建议。

1. 凭据使用不当

凭据使用不当是移动应用程序开发中的一个主要安全风险。攻击者可以利用移动应用程序中硬编码凭据和使用不当的运行时秘密信息，对移动应用程序的关键功能实现未授权访问，导致用户隐私数据泄露。此外，如果攻击者借助一些定制工具和脚本，可以进一步通过被盗的密钥访问后端系统和API。

防护建议：

• 严格禁止将凭据、密钥等信息保留在应用程序代码中，并通过加密方法传输和存储敏感数据。

• 弱密码缺乏复杂性使得黑客容易通过暴力攻击猜测或破解密码，企业应定期创建和更新强密钥。

• 如果缺失多因素身份验证，攻击者就可使用泄露的密码轻松获得访问权限。企业应实施多因素和双因素身份验证、访问控制和会话管理，避免应用暴露于会话劫持等攻击。

   

2. 供应链安全不足

供应链安全不足指的是在移动应用的开发、集成、发布过程中，由于供应链中某个环节的安全漏洞或管理疏忽，导致整个移动应用受到安全威胁，包括第三方SDK安全性、第三方代码使用、API密钥管理、供应链攻击等。攻击者可利用移动应用供应链漏洞在未经授权的情况下访问移动设备或后端服务器，带来数据盗窃、监视、拒绝服务和设备接管等风险。

防护建议：

• 代码签名和完整性检查：在发布移动应用程序代码前进行签名，以确保应用程序在运行时未被篡改。

• 加强第三方SDK的安全性：对集成到移动应用中的第三方SDK进行全面安全审查，确保它们没有已知的安全漏洞，并符合隐私保护要求。

• 定期进行应用安全分析：定期更新应用程序中使用的依赖性及所有基础架构组件，跟踪和识别整个软件中的漏洞。

   

3. 不安全的身份验证/授权

攻击者利用身份验证和授权缺陷可以进行未授权访问，导致敏感信息被盗。

防护建议：

企业可以实施基于令牌的身份验证，添加多因素身份验证，并实时监测代码未经授权的修改。

4. 输入/输出验证不足

移动应用中的数据校验不当会导致严重的安全风险，如SQL注入、命令注入和XSS攻击。这些漏洞会导致未经授权的数据访问、应用程序操纵和系统泄露。

防护建议：

企业应执行严格的输入验证，检测和过滤恶意输入，并对输出内容中潜在的危险字符进行编码或转义，提高安全性。

5. 不安全的网络通信

攻击者可以通过窃听和中间人攻击等不安全通信漏洞，破坏数据的完整性和保密性，包括数据盗窃、间谍活动和身份盗窃等。威胁可能来自受感染或受监控的本地网络（例如 Wi-Fi）、流氓运营商或网络设备（例如路由器、手机信号塔、代理）或移动设备本身的恶意软件。

防护建议：

• 使用HTTPS/TLS加密：传输过程中对数据加密，并实现端到端加密，防止窃听和数据篡改。

• 动态证书绑定：与应用程序和客户端认证相结合，防止攻击者通过篡改移动客户端信息实施MitM攻击。

• API安全措施：建立API身份验证机制，如API密钥、OAuth令牌和其他方法。

6. 隐私控制不足

隐私控制可保护个人身份信息 （PII），如姓名、地址、信用卡详细信息、电子邮件/IP 地址和敏感个人数据。PII 泄露会损害用户和其他机密信息的安全。

防护建议：

• 在应用程序设计和开发阶段遵循个人信息保护的最小必要原则：只收集和保留最少的必要数据，并通过数据匿名化处理对敏感数据进行匿名化。

• 对静态和传输中的敏感数据进行加密：采用加密算法来加密存储服务器、数据库和存储设备上存储的敏感数据。

• 部署入侵检测和防御系统：实时监测未经授权的访问或恶意活动，有效规避安全风险。

7. 二进制代码保护不足

二进制文件可能包含有价值的机密，如API密钥或加密数据。攻击者通过更改二进制文件窃取知识产权或篡改应用程序功能。

防护建议：

• 代码混淆：增加代码逆向或破解的难度，有效阻碍对二进制代码的攻击。

• 二进制加固：应用堆栈金丝雀、地址空间布局随机化(ASLR)、数据执行预防(DEP)和控制流完整性等技术，及时识别和阻止应用程序被篡改。

8. 安全配置错误

移动应用安全配置错误涉及安全设置和权限设置不当，可能产生安全漏洞和未经授权访问等缺陷。利用这些错误配置的攻击者可以执行未经授权的数据访问等恶意操作。

防护建议：

• 集中式配置管理：利用集中式配置管理工具管理和执行多个系统的安全配置。

• 网络分段和防火墙：将关键系统和敏感数据与安全性较低的网络部分隔离。

• 实施最低权限原则：仅授予用户和流程所需的最低访问权限，保证系统顺利运行。

9. 不安全的数据存储

移动应用程序中不安全的数据存储可能导致攻击者未经授权访问敏感信息。

防护建议：

• 采用严格的输入验证阻止 SQL 注入尝试，并利用参数化查询或存储过程对输入数据进行检测和过滤。

• 在应用运行中实时访问控制和加密措施，并定期更新软件修补已知漏洞。

10. 加密能力不足

攻击者利用移动应用程序中的不安全加密可以拦截和解密敏感数据、操纵交易或注入恶意代码，损害数据的机密性、完整性和真实性。

防护建议：

• 采用可信的加密算法，并提供足够的密钥长度；不采用明文格式或放在易于访问的位置，确保密钥生成方法和存储的安全性。

• 定期审核加密协议，及时处理弱点，加强防御，防范潜在漏洞。

参考链接

https://securityboulevard.com/2024/05/2024-owasp-mobile-top-ten-risks/

在移动应用数量和业务丰富度爆发式增长的当下，梆梆安全以持续的研发投入和产品创新，从技术、服务两个层面建立全面的移动应用安全和物联网安全防护生态体系，构建了应用设计开发、应用测试、应用发布、应用运维在内的 APP 全生命周期安全解决方案，形成从保护、加固、检测到监管、测评、响应的全栈产品和服务能力，深入治理 APP、小程序、快应用等应用程序乱象，让互联网用户拥有更美好、更安全、更合规的数智生活。