【ITBEAR】賽門鐵克公司近日發(fā)布了一項(xiàng)重要安全警示，指出多款廣受歡迎的移動(dòng)應(yīng)用程序因開發(fā)不當(dāng)，內(nèi)置了未加密的硬編碼憑證，嚴(yán)重威脅用戶數(shù)據(jù)安全。硬編碼憑證，即直接在源代碼中嵌入的明文密碼或敏感信息，如SSH密鑰、API密鑰等，成為了安全隱患的源頭。
研究人員深入審查了多款移動(dòng)應(yīng)用代碼，發(fā)現(xiàn)了令人擔(dān)憂的問題。其中，多款應(yīng)用在Google Play上擁有數(shù)百萬次下載量，卻存在硬編碼且未加密的云服務(wù)憑證。
在Google Play上，Pic Stitch、Meru Cabs等多款應(yīng)用被發(fā)現(xiàn)存在微軟Azure Blob Storage硬編碼憑證。而蘋果App Store上的Crumbl、Eureka等應(yīng)用則被發(fā)現(xiàn)存在亞馬遜硬編碼憑證。
賽門鐵克研究人員強(qiáng)調(diào)，這種危險(xiǎn)的做法使得任何能夠訪問應(yīng)用二進(jìn)制文件或源代碼的人，都可能輕松提取憑證并濫用，進(jìn)而操控或竊取數(shù)據(jù)，造成嚴(yán)重的安全漏洞。
