Реферат на тема: „ Технологии за защита на информацията в 3G, 4G клетъчни мрежи. Разработил: Проверил
Препоръки за разработващите смартфони
Изтегляне 270.04 Kb.
|
Свързани:
Тренировки, бисероввввв, списък, Структура на военната дипломация‘‘, Бисероввввввв
- Навигация на страницата:
- Използвана литература Учебника
| 2. Препоръки за разработващите смартфони
Идентифициране и защита на чувствителните данни на мобилното устройство При мобилните устройства рискът от загуба или кражба е повисок поради тяхната преносимост. Мобилните приложения трябва да имат това предвид и трябва да добавят възможността за изгубване (открадване) на устройството в техния модел за сигурност. Мобилните приложения трябва да защитават данните, свързани с приложението. По-конкретно, трябва да бъдат защитени чувствителните данни, като личните данни на потребителя и критичните за бизнеса данни. 1. Във фазата на проектиране да се класифицират съхраняваните данни според чувствителността и съответно да се прилагат контролиране (например пароли, лични данни, данни за местоположение, регистрационни (лог) файлове за грешки и т.н.). Данните да се обработват, съхраняват и използват според тяхното класифициране. Да се потвърди сигурността на приложните програмни интерфейси (API), прилагани към чувствителните данни. 2. Чувствителните данни да се съхраняват и обработват на страната на сървъра вместо на крайното устройство на клиента. Отношението на сигурността на клиента спрямо тази на сървъра също трябва да бъде оценена за всеки отделен случай. Силно чувствителните данни (например биометричните данни, частните ключове) не трябва да се транспортират от компонента, където първоначално са създадени. 3. Когато се съхраняват чувствителни данни на устройството, да се използва API за криптиране на файловете, предоставено от операционната система или друг надежден източник. Някои платформи (напр. IOS и Android) осигуряват API за криптиране на файлове, което използва таен ключ, защитен с кода за отключване на устройството, и който може да бъде изтрит при отдалечено изчистване. Ако това е налице, то трябва да се използва, тъй като повишава сигурността на криптирането, без да създава допълнителна тежест за крайния потребител. Така съхраняваните данни са по-сигурни в случай на загуба или кражба. Независимо от това, трябва да се има предвид, че дори да е защитено от ключа за отключване на устройството, ако данните се съхраняват на устройството, неговата сигурност зависи от сигурността на кода за отключване на устройството, ако по някаква причина е невъзможно дистанционното изтриване на ключа. 4. Да се провери, че криптирането на хранилището на ниво операционна система е активирано и устройството е защитено с PIN или с парола. 5. Да не се съхраняват/ да не се кешират чувствителните данни (включително ключовете), освен ако не са криптирани и ако е възможно се съхраняват на поддържана от платформа област, защитена от несанкциониран достъп. 6. Да се прегледа отново авторизацията за достъп до чувствителни данни въз основа на контекстна информация, например такава за местоположението (напр. Да се изисква повторна автентификация, ако данните за местоположението показват, че устройството е извън очаквания регион). 7. Да не се съхраняват историята на данни за местоположението или друга чувствителна информация на устройството повече от периода, изискван от приложението. Да приемем, че споделеното хранилище не е надеждно - информацията може лесно да изтече по неочаквани начини чрез всяко споделено хранилище. В частност: -Да се помни, че кеша и временното съхранение са евентуален канал за изтичане, когато го споделяте с други приложения. -Да се внимава със споделеното хранилище, като адресна книга, медийна галерия, аудио файлове, като евентуален канал за изтичане. Например, съхраняването на изображения с метаданни за местоположението в медийната галерия позволява тази информация да се споделя по непредвидени начини. -Да не се съхраняват временните кеширани данни в директория, която може да се чете от всеки по света 8. Изтриването на чувствителните лични данни им трябва да бъде настроено според максималния период на задържане (за да се предотврати, например, данните, да остават в кешове за неопределено време). 9. Понастоящем няма стандартна процедура за изтриване на флаш памет (освен ако не изтриете цялата среда / карта). Ето защо особено важни са криптирането на данните и сигурното управлениена ключовете. 10. Необходимо е да се разглежда сигурността на целия жизнен цикъл на данните при писането на приложение (събиране през кабел, временно съхранение, кеширане, архивиране, изтриване и т.н.) 11. Да се увери се, че по време на премахването на дадено приложение (операцията деинсталиране), всички поверителни потребителски данни и също съответните идентификационни данни (app-specific credentials) за конкретното приложение се изтриват от средата за изпълнение, от устройството и от всеки друг носител. 12. Прилагане на принципа за минимално оповестяване – да се събират и разкриват само данни, които се изискват за бизнес употреба на заявлението. Идентифициране по време на етапа на проектиране какви данни са необходими, тяхната чувствителност и дали е целесъобразно да се събират, съхраняват и използват всеки тип данни. 13. Използване на не-твърди (non-persistent) идентификатори, които не се споделят с други приложения, когато е възможно (напр. да не се използват като идентификатор уникалните хардуерни идентификатори на устройството като IMEI или UDID). 14. Приложенията на управляваните устройства трябва да използват дистанционно ключа за изчистване и премахване на API 3, за да отстранят или за да премахнат чувствителната информация от устройството в случай на кражба или загуба. 15. Възможно е разработчиците на приложения да включат в продуктите си специфичен за приложението ключ "премахване на данни", за да позволят премахването на чувствителните данни на приложението им при необходимост (за защитата на злоупотребата с такава функция е необходимо силна автентификация). 16. Да не се допуска изтичане на данни, защитени с права, в други приложения. Това се случва, когато са необходими специфични права за достъп (permissions) до данните, но приложение, на което тези права са предоставени, осигурява достъпност на данните за всички други приложения без ограничения (напр. Чрез IPC4). 17. Ограничaване на данните, които се споделят с други приложения (например чрез вмъкване на вграждане на доставчик на съдържание с Android). Това може да се осъществи чрез много детайлни права за достъп (уверете се че правата са защитени чрез ползване на ниво на подписване на Android). Заключение Човечеството е изправено пред предизвикателства и проблеми, които могат да се преодолеят само с обединени усилия. Като никой друг път в човешката история, народите са длъжни да осъзнаят своята отговорност пред съхраняването на данни и защитата им от хакери . Човечеството трябва да продължи в надграждането на сигурността и защитата чрез създаване на нови алгоритми и програми който винаги да бъдат една крачка напред пред хакерите . Използвана литература Учебника Изтегляне 270.04 Kb. Сподели с приятели:
|