APP下载

热门政府App惊爆有弱点,台北好行、高速公路1968皆上榜恐影响60万民众

2018-02-16 23:25

台湾骇客以国外行动装置常见十大弱点检测热门的政府App,发现包括了超过60万人下载高速公路局的“高速公路1968”App、19万人次下载的台北好行App 和10万下载人次的警政署“警政服务”App,甚至还包了日常生活可用的自来水公司的“行动水管家”App,都发现了资安弱点,恐有安全性不足的疑虑,最严重时恐导致使用者的账号密码遭窃外泄。

前宏碁资安工程师何宜霖以Web软件安全计划(Open Web Application Security Project,简称OWASP)中Top 10 Mobile 2014 RC1,也就是OWASP所公布的关于行动装置的十大弱点风险做为检测准则,搭配免费的检测工具,如Snoop-it、Gidb、Introspy来分析多款政府App,如高速公路1968、台北好行、警政服务和行动水管家等政府类App的安全性。

何宜霖表示,许多App出现机敏资料泄漏等问题,主要是因为开发商将App上架时,需要进行检测机制,但是台湾政府尚未公布完整的检测机制。他说,目前App产生最严重的问题主要分为3类,首先App将是使用者的账号与密码明码储存,再来是权限控管,也就是前端网页有检测的机制,但是在App的服务器或虚拟机器端,却没有检测机制。另外,目前开发者为了开发方便,不会关闭Debug Log,有些开发者直接将使用者的账号与密码就写在Debug Log,若骇客取得Log后,很轻易就能取得使用者的账号与密码。

何宜霖表示,他检测了高速公路局的“高速公路1968”App、警政署“警政服务”App等政府类App后,发现这两个App没有关闭Debug Log,恐怕会有外泄使用者资料的疑虑。

除此之外,何宜霖检测台北好行App后则发现了多个资安弱点,不仅在Binary中,写入大量API资讯,且使用者的个人资料会自动上传到政府的备援云端服务中,而非透过Https传输,因此,他推测,使用者的个人资料很容易被骇客撷取。

他还检测了自来水公司推出的行动水管家App,何宜霖利用Snoop-it检测后发现,不仅在这个App中,账号与密码采明文储存,且传输层保护不足,App采Get方式将资料传输到后端服务器,也就是直接采将账号密码透过URL网址传递参数来传输,在网址列中就会出现使用者的账号与密码,完全没有进行防护,骇客可以轻易取得使用者的账号与密码。

甚至,行动水管家还将使用者的账号与密码写入Debug Log讯息中。何宜霖表示,而开发者为了开发方便而没有关闭Debug Log,一旦骇客取得此App的Log,可以很轻易地取得使用者的账号与密码。文⊙胡玮佳、黄彦棻

 

前宏碁资安工程师何宜霖在台湾骇客年会展示他检测多项政府服务App时发现的资安弱点,例如行动水管家的除错讯息没有关闭,内有使用者账号密码,容易遭窃而外泄。

 

 

相关文章

最新资讯

  • 5G趋势月报第7期:5G速度有新突破!Nokia公布最新5G网络测试,每秒达4.7Gb
    2020-05-28 13:48
  • 【有片】Nissan Fairlady 改款无期!车迷出手“止渴” 网民:比专业更专业!
    2020-05-28 13:48
  • Sony Xperia 10 II 测试:日系机都有高性价比选择
    2020-05-28 12:48
  • 618最值得入手的投影仪是哪个品牌?这款投影方…
    2020-05-28 12:04
  • 独享“私人影院”索尼Z8H 8K智能液晶电视诚意…
    2020-05-28 11:15

手机

  • 华为两款手表登台:HUAWEI WATCH GT 2e、HUAWEI Band 4 Pro 平价开卖
    2020-05-27 14:45
  • 传三星 Galaxy Note 20 可能长这样 超显眼主镜头模组、更大的屏幕
    2020-05-26 16:45
  • 苹果终于出手拯救此 App 不再与您共享错误 但也造成一堆 App 需要更新
    2020-05-26 15:47
  • 三星 Galaxy A31 四镜头中阶机开箱 价格不到万元 拍照、跑分、续航比一比
    2020-05-25 16:45
  • 三星 Galaxy A31 开箱 四镜头好拍、高续航中阶机
    2020-05-25 10:47

数码

  • 华为MatePad Pro 5G评测
    2020-05-28 09:55
  • 官宣:荣耀 Play4/Pro 5G 手机 6 月 3 日发布
    2020-05-28 09:55
  • OPPO Ace2 EVA限定版来了
    2020-05-28 11:19
  • 打游戏买什么手机好?买一台散热超好的手机 激…
    2020-05-28 11:19
  • 消息称三星Galaxy Fold 2开始量产:搭载UTG技…
    2020-05-28 11:19

科技

  • 戴尔发Inspiron5676游戏电脑:锐龙二代U
    2018-06-07 23:31
  • 酷冷至尊秀全新散热器:透明一体水冷+半导体水冷
    2018-06-07 23:31
  • 小米8使用一天后的真实体验 看完决定买不买?
    2018-06-07 23:31
  • 年增长31.8% 环球晶前五个月赚翻了
    2018-06-07 23:31
  • 乐鑫连续三年被Gartner物联网酷供应商榜单引用
    2018-06-07 23:31