دراسة حالة: الكشف عن ثغرة خطيرة في تطبيق التأمين على الحياة تعرض خصوصية المستخدم للخطر من خلال البيانات الحساسة المكشوفة والنشاط المباشر

ملخص تنفيذي

يتعمق هذا التقرير في دراسة حالة حول حادث أمني تم الكشف عنه كلاودسك منصة أمن سلسلة التوريد الرقمية الوقفة الاحتجاجية على تطبيق الهاتف المحمول للتأمين على الحياة لبنك بارز.

تبحث دراسة الحالة هذه في ثغرة أمنية داخل تطبيق الهاتف المحمول للتأمين على الحياة، وتسلط الضوء على ثغرة أمنية ناشئة عن كلاودسك أداة مراقبة سلسلة التوريد، الوقفة الاحتجاجية. وبالاستفادة من هذه الثغرة الأمنية، يمكن للمهاجمين الحصول على وصول غير مصرح به إلى نشاط المستخدم المباشر ومعلومات المستخدم الحساسة، بما في ذلك معلومات التعريف الشخصية (PII).

تتمثل الثغرة الأمنية داخل تطبيق الهاتف المحمول الداخلي الذي يستخدمه وكلاء شركة Life Insurance في عنوان IP المشفر الذي يشير إلى خادم MQTT، والذي يسمح بالوصول غير المصدق إلى بيانات المستخدم الحساسة، بما في ذلك اللقطات في الوقت الفعلي وإحصاءات المستخدم وتفاصيل المعاملات ومعلومات التعريف الشخصية (PII) مثل أرقام الهواتف ومعرفات الوكيل. هذا يعرض المستخدمين للاستغلال المحتمل من قبل المهاجمين الذين يمكنهم مراقبة نشاط المستخدم المباشر والرسائل الشخصية.

‍

MQTT هو بروتوكول شبكة خفيف الوزن وقابل للنشر والاشتراك من جهاز إلى جهاز لخدمة قائمة انتظار الرسائل/خدمة وضع الرسائل في قائمة انتظار الرسائل.

‍

عملية خطوة بخطوة

• ينبع ناقل الهجوم الأولي من أداة مراقبة سلسلة التوريد، Svigil.

1. ثغرة أمنية في عنوان IP المشفر: يحتوي التطبيق على عناوين IP مشفرة توجه إلى خوادم MQTT الداخلية، مما يجعلها سهلة الوصول للمهاجمين.
2. خادم MQTT غير المصدق: يسمح عدم وجود آليات المصادقة على خوادم MQTT بالوصول غير المصرح به، مما يمكّن المهاجمين من عرض البيانات ومعالجتها.

‍

3. أذونات مشاركة الشاشة المفرطة: يطلب التطبيق أذونات مشاركة الشاشة غير الضرورية، مما قد يمنح المهاجمين إمكانية الوصول إلى معلومات المستخدم الحساسة خارج النطاق المقصود.
4. التعرض لبيانات خادم MQTT: من خلال الاستفادة من المعرفة بـ MQTT و Python، يستغل المهاجمون نقاط الضعف لاعتراض اللقطات في الوقت الفعلي لأجهزة المستخدم المشتركة عبر خادم MQTT الخاص بالتطبيق.
5. المراقبة المباشرة لنشاط المستخدم: يكتسب المهاجمون القدرة على مراقبة نشاط المستخدم المباشر، بما في ذلك الرسائل الشخصية، من خلال استغلال الثغرات الأمنية داخل خادم MQTT.
6. التعرض لمعلومات تحديد الهوية الشخصية وبيانات المعاملات: يعرض التطبيق إحصاءات المستخدم وبيانات المعاملات ومعلومات التعريف الشخصية (PII) للوكلاء، بما في ذلك أرقام الهواتف والمعرفات، مما يزيد من مخاطر الوصول غير المصرح به وسوء الاستخدام.

التوصيات

• المعالجة الفورية لعنوان IP: إزالة عناوين IP المشفرة من كود التطبيق وتنفيذ آليات اكتشاف الخادم الديناميكي لتعزيز الأمان.
• آليات المصادقة: تنفيذ آليات مصادقة قوية لخوادم MQTT لمنع الوصول غير المصرح به وضمان سلامة البيانات.
• إعادة تقييم أذونات مشاركة الشاشة: قم بمراجعة أذونات مشاركة الشاشة ومراجعتها لتقليل الوصول إلى معلومات المستخدم الحساسة والحد من ناقلات الهجوم المحتملة.
• تشفير البيانات: قم بتشفير البيانات الحساسة المرسلة عبر خوادم MQTT للحماية من التنصت والوصول غير المصرح به.
• عمليات تدقيق الأمان المنتظمة: قم بإجراء عمليات تدقيق أمنية منتظمة واختبار الاختراق لتحديد نقاط الضعف ومعالجتها بشكل استباقي.
• تعليم المستخدم: توفير برامج التدريب والتوعية للمستخدمين والوكلاء لتعزيز النظافة الأمنية ومنع التعرض غير المقصود للبيانات.

المراجع

• https://en.wikipedia.org/wiki/Traffic_Light_Protocol
• https://docs.oasis-open.org/mqtt/mqtt/v5.0/mqtt-v5.0.html
• https://www.hivemq.com/mqtt/mqtt-security-fundamentals/

• http://www.steves-internet-guide.com/topic-restriction-mosquitto

‍