فناوران - هادی سجادی، معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات گفت: بر اساس الزامات شبکه ملی اطلاعات و همچنین با توجه به تاکید وزیر ارتباطات مبنی بر تسریع در تحقق این الزامات، باید توصیه های امنیتی برای کسب و کارهای گوناگون فعال در فضای مجازی در جهت جلوگیری از بروز آسیب های احتمالی برای بهره برداران خدمات تدوین و عملیاتی شود. وی افزود: در همین راستا و به دلیل گستره وسیع تولید و استفاده از نرم افزارهای کاربردی تلفن همراه، توصیه های ارتقای امنیت برای توزیع کنندگان برنامه های سامانه های هوشمند تهیه و برای بهره برداری در اختیار صاحبان این کسب و کارها قرار گرفت.

سجادی گفت: برای این منظور، مطالعات دقیقی با کمک صاحب نظران انجام گرفت و طی نشست مشترک با مدیران کسب و کارهای مرتبط در حوزه توزیع و انتشار برنامه های کاربردی موبایلی و اخذ نظر مشورتی و دیدگاه ها و دغدغه های ایشان، نخستین بسته توصیه های امنیتی مربوط به این حوزه تهیه و نهایی شد.

معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات، یکی از مشکلاتی را که از سوی صاحبان کسب و کارها برای اجرایی شدن این توصیه نامه مطرح می شود، نداشتن تجهیزات آزمایشگاهی عنوان کرد و افزود: مقرر شد تا زمان تامین و تکمیل شدن آزمایشگاه های مربوط به هریک از توزیع کنندگان محتوا، مرکز ماهر با درنظر گرفتن اولویت هایی نظیر اهمیت برنامه و تعداد مخاطبان، ارزیابی های لازم را انجام و در صورت وجود مخاطرات احتمالی، مراتب به تولید کننده و توزیع کنندگان برنامه به صورت مستقیم اطلاع داده می شود.

وی با بیان این مطلب که فرآیند ارزیابی ها به صورت مشارکتی و تدریجی و بر اساس اولویت ها است، گفت: توصیه نامه مذکور در سه بخش تهدیدهای توزیع برنامه ها، توصیه های امنیتی برای رفع این تهدیدها و استانداردهای فنی دنیا برای امن سازی برنامه های کاربردی موبایلی منتشر شده است.

تهدیدات توزیع برنامه ها

براساس سند منتشره، تهدید عامل بالقوه ای است که از آسیب پذیری های موجود در سامانه ها استفاده می کند تا بتواند مقاصد مورد نظر حمله کننده را برآورده سازد. از این رو با استفاده از مدل سازی تهدید، مخاطرات مربوط به زیست بوم برنامک ها استخراج شده اند:

دور زدن فروشگاه برنامک: در این مخاطره مهاجم اقدام به دور زدن فروشگاه برنامک رسمی کرده و برنامک های خود را از طریق فروشگاه های غیر مجاز (یا منابع تایید نشده) عرضه می کند. پس از آن فعالیت های غیر مجاز همانند افزودن برنامک های مخرب و روت کیت به فروشگاه غیر رسمی را انجام می دهد.

سوءاستفاده از آسیب پذیری های موجود در برنامک های نصب شده: در صورت وجود آسیب پذیری در برنامک های نصب شده، مهاجم اطلاعات حساس (همانند مشخصات کاربرانی که اقدام به نصب برنامک کرده اند، اطلاعاتی که مشخص می کنند کدام برنامک ها روی کدام دستگاه نصب شده اند و همچنین اطلاعات مربوط به دستگاهی که کاربر مورد استفاده قرار می دهد) را به دست می آورد. تبدیل برنامک ها به برنامک های مخرب: در این مخاطره فقط تهدیدات مربوط به اجرای برنامک مورد توجه قرار می گیرند، زیرا در اغلب موارد، رفتار مخرب در زمان اجرا پدیدار می شود. در این نوع تهدیدات، مهاجم فرایند اجرای برنامک را جعل یا دست کاری کرده یا روی فرایند اجرای سربار اعمال کرده تا اقدام به انجام عملیات مخرب کند.

دور زدن فرایند بررسی برنامک ها: در این مخاطره، مهاجم تهدیداتی را اعمال کرده و فرایند بررسی برنامک را دور می زند. رفتارهای پرخطر از سوی توسعه دهندگان شناخته شده می تواند نشانه ای از یک حمله (همانند فیشینگ) باشد.

تحریف اعتبار برنامک ها: مهاجم چندین هویت مستعار برای خود ایجاد کرده و با به دست آوردن نفوذ زیاد، اعتبار برنامک ارایه شده در فروشگاه را تحریف می کند (با این هدف که اعتبار بیشتری را برای برنامک ها نشان دهد).

ممانعت از تشخیص توسط کاربر: در این مخاطره، مهاجم از طریق اعمال سربار روی فروشگاه برنامک یا جعل فروشگاه برنامک، از اینکه کاربران بتوانند نظرات و شکایات خود را ثبت کنند یا توضیحات مربوط به برنامک را مشاهده کنند، ممانعت می کنند.

ممانعت از دریافت به روز رسانی ها و امحای برنامک: مهاجم از طریق انجام فعالیت های مخرب مانع از دریافت به روز رسانی ها یا امحای مربوط به برنامک های نصب شده روی دستگاه کاربر می شود.

41 توصیه امنیتی

در ادامه این سند، 41 توصیه امنیتی فروشگاه های توزیع برنامک در سه سطح باید در نظر گرفته شود و ضروری منتشر شده است.

1- فروشگاه های برنامک در راستای اعتلای امنیت برنامک ها در کشور، با اعلام توافق روی مواردی از جمله حداقل سطح توصیه شده برای امنیت، به تشکیل ائتلاف و توافق با سایر فروشگاه ها مبادرت کنند (سطح می تواند).

2- فروشگاه برنامک، مکانیسمی را بکار گیرد که به کاربران اجازه دهد مشروعیت فروشگاه را شناسایی کنند (سطح ضروری).

3- کلیه فروشگاه های برنامک از مرکز توسعه تجارت الکترونیکی وزارت صنعت، معدن و تجارت برای سایت خود نماد اعتماد الکترونیکی اخذ کنند (سطح ضروری).

4- فروشگاه برنامک از ارایه برنامک هایی که نیاز به محدودیت زدایی (jailbreak کردن یا root کردن) دارند خودداری کند (سطح ضروری).

5- فروشگاه برنامک از ارایه آموزش های مرتبط با محدودیت زدایی (jailbreak کردن یا root کردن) سامانه های هوشمند همراه خودداری کند (سطح ضروری).

6- فروشگاه برنامک در بخش راهنمای نصب برنامک ها یا در صفحه اول سایت خود، کاربران را از خطرات امنیتی مربوط به نصب برنامک ها از منابع ناشناخته آگاه کند (سطح ضروری).

7- فروشگاه برنامک قبل از عرضه برنامک ها به کاربران نهایی، آنها را با استفاده از ابزارهای تحلیل امنیتی و براساس چک لیست مصوب و حداقل های امنیتی در نظر گرفته شده بررسی و مستند کند. به علاوه فروشگاه دستورالعملی مدون درباره رعایت حداقل های امنیتی لازم برای برنامک ها داشته باشد (سطح ضروری).

8- فروشگاه برنامک نتایج تجزیه و تحلیل های امنیتی خود درباره برنامک ها را با سایر فروشگاه های برنامک و محققین امنیتی به اشتراک بگذارد (سطح می تواند).

9- فروشگاه برنامک، توسعه دهندگان برنامک ها را از نظر امنیتی احراز اصالت کند تا توسعه دهندگان جعلی نتوانند از اسم و رسم و اعتبار (خوب) توسعه دهندگان دیگر سوءاستفاده نکنند (سطح ضروری).

10- فروشگاه برنامک برای هریک از توسعه دهندگان برنامک یک پروفایل امنیتی ایجاد کند و ریسک های ایجاد شده از سوی آنها را به دقت رصد کند (سطح ضروری).

11- فروشگاه برنامک اعتبار توسعه دهندگان برنامک ها را بررسی کند (سطح باید در نظر گرفته شود).

12- فرایند بررسی برنامک یک فرایند مستمر باشد و فروشگاه باید برنامک را پس از اینکه (توسط فروشگاه) مورد پذیرش قرار گرفت نیز به طور دوره ای (6 ماهه) تحلیل یا رصد امنیتی کند (سطح ضروری).

13- فروشگاه برنامک، به روز رسانی های برنامک های به روز شده موجود در فروشگاه و تحلیل امنیتی مجدد آنها را حداکثر 3 روز پس از دریافت آخرین نسخه یا وصله از توسعه دهندگان برنامک انجام داده و سپس به روزرسانی برنامک را به اطلاع مشتریان خود برساند (سطح ضروری).

14- فروشگاه برنامک توسعه دهندگان را ملزم کند که برنامک های خود را جهت پذیرش در فروشگاه به صورت دیجیتالی امضا کند (سطح ضروری).

15- فروشگاه برنامک بررسی کند که مجوزهای دسترسی درخواست شده توسط هر برنامک با اهداف آن برنامک تناقضی نداشته باشد (سطح ضروری).

16- فروشگاه برنامک بررسی کند که تمامی برنامک ها لیست مجوزهای دسترسی مورد نیاز خود را در زمان نصب نمایش می دهند (سطح ضروری).

17- فروشگاه برنامک راهنماها و دستورالعمل های امنیتی را جهت کمک به توسعه دهندگان برای تولید و ارایه برنامک هایی مطابق با قوانین تعیین شده از سوی فروشگاه و نهادهای ذی صلاح، برای رعایت حداقل های امنیتی ارایه دهند. (سطح باید در نظر گرفته شود).

18- فروشگاه برنامک، سیاست ها، قوانین و شرایطی را که در ارتباط با امنیت و حریم خصوصی وضع کرده است، به تایید نهادهای ذی صلاح برساند (در صورت وجود چنین نهادهایی) و پس از اعلام عمومی قوانین در سایت فروشگاه، بدون تایید نهادهای مربوطه اقدام به تغییر آنها ننماید (سطح ضروری).

19- فروشگاه برنامک درباره استفاده غیرقانونی از برنامک های موجود در فروشگاه، هشدارهایی را به کاربران اعلام کند (سطح ضروری)

20- فروشگاه برنامک، برای خدمات پرداخت های درون برنامکی یک کتابخانه تهیه کند و آن را در اختیار توسعه دهندگان قرار دهد یا استفاده از کتابخانه های مورد تایید نهادهای ذی صلاح بانکی را به آنها توصیه نماید (سطح ضروری).

21- فروشگاه برنامک بر تبلیغات درون برنامکی برنامه های فروشگاه، مطابق قوانین و سیاست های کشور نظارت داشته و در این خصوص دستورالعمل داشته باشد (سطح ضروری).

22- فروشگاه برنامک از انتشار برنامک هایی که از بستر USSD برای انجام تراکنش های مالی خود استفاده می کنند، خودداری کند (سطح ضروری).

23- فروشگاه برنامک، آموزش ها و اطلاع رسانی های مرتبط با امنیت سیستم عامل، امنیت برنامک ها یا آلوده شدن سامانه های هوشمند همراه به انواع بدافزارها و نرم افزارهای مخرب را در سایت یا ویترین خود قرار دهد (سطح باید در نظر گرفته شود).

24- فروشگاه برنامک پیش از انتشار برنامک ها آنها را از نظر وجود بدافزار، آزمون و ارزیابی کند و از انتشار برنامک های حاوی بدافزار جلوگیری نماید. همچنین پس از کسب اطلاع از وجود بدافزار در برنامک ها سریعا آنها را از ویترین فرشگاه خارج نماید (سطح ضروری).

25-  فروشگاه برنامک پیش از انتشار برنامک هایی که نیاز به دریافت مجوز از نهادهای مربوطه دارند، از وجود این مجوزها اطمینان حاصل کند (سطح ضروری).

26- فروشگاه برنامک مکانیسم هایی را جهت تعیین و نمایش اعتبار برنامک ها و توسعه دهندگان آنها در نظر بگیرد (دستورالعمل داشته باشند) (سطح ضروری).

27- فروشگاه برنامک اعتبار سنجی مجزایی را درباره رتبه امنیتی و حریم خصوصی برنامک های عرضه شده در نظر بگیرد (سطح باید در نظر گرفته شود).

28- فروشگاه برنامک، نظرات و شکایات کاربران سامانه های هوشمند همراه درباره برنامک ها را با رعایت حفظ حریم خصوصی کاربران در تحلیل امنیتی برنامک ها دخالت داده، آرشیو کرده یا به صورت عمومی نمایش دهد (سطح باید در نظر گرفته شود).

29- فروشگاه برنامک، تبادل اطلاعات مرتبط با اعتبار برنامک ها با سایر فروشگاه های برنامک را مدنظر قرار دهد (سطح می تواند).

30- فروشگاه برنامک به منظور عرضه کلیه خدمات خود، اقدام به پیاده سازی بستر ثبت نام و ایجاد حساب کاربری برای کاربران و توسعه دهندگان کند (سطح ضروری).

31- فروشگاه برنامک امکان مشاهده رتبه بندی، امتیازات و نظرات کاربران روی برنامک ها را برای توسعه دهندگان برنامک ها فراهم کند (سطح ضروری).

32- فروشگاه برنامک محرمانگی و حریم خصوصی اطلاعات دریافتی از سوی کاربران و توسعه دهندگان برنامک ها (همچون نام، نام خانوادگی، شماره تلفن همراه، شماره ملی و شماره حساب بانکی) را حفظ کند (سطح ضروری). 

33- فروشگاه برنامک به منظور حفظ کیفیت نظرات ثبت شده از سوی کاربران، آنها را پس از بازبینی و تایید انسانی نمایش دهد (سطح می تواند).

34- فروشگاه برنامک جهت انجام تراکنش های مالی (دریافت هزینه از کاربران و توسعه دهندگان برنامک) تمامی جوانب یک پرداخت ایمن را در نظر بگیرد (سطح ضروری).

35- فروشگاه برنامک مکانیسم امحای برنامک را پیاده سازی کند (که به این روش switch–killنیز گویند) (سطح باید در نظر گرفته شود).

36- فروشگاه برنامک کاربران خود را تشویق کند که به طور مستمر به روز رسانی های مربوط به برنامک های به روز شده و نصب شده روی سامانه هوشمند همراه خود را انجام دهند (ضروری).

37- فروشگاه برنامک تا حدی که امکان دارد، وصله ها و به روز رسانی های امنیتی برنامک ها را در اندازه های کوچک ارایه کند (سطح می تواند).

38- فروشگاه برنامک با هدف تشخیص برنامک هایی که باید امحا شوند یا از فروشگاه خارج شوند، نظرات و شکایات کاربران را به صورت مستمر تحت نظارت قرار دهد (سطح ضروری).

39- فروشگاه برنامک ضمن داشتن دستورالعمل، از کارشناسان امنیتی برای مکانیسم امحای برنامک ها در سطوح مختلف (فروشگاه، توسعه دهنده، مشتری، سامانه) استفاده کند (سطح ضروری).

40- فروشگاه برنامک در صورت مشاهده تخلف توسط یک توسعه دهنده برنامک (همانند سوء استفاده از اطلاعات کاربران، کپی کردن برنامک یک توسعه دهنده دیگر، تقلب و دستکاری در امتیازدهی برنامک و ثبت نظرات خالف واقع)، نسبت به حذف برنامک متخلف از ویترین فروشگاه اقدام کرده و جلوی کلیه دسترسی های داده شده به آن توسعه دهنده را بگیرد یا در صورت لزوم موضوع را با سایر فروشگاه ها یا نهادهای ذی صلاح به اشتراک بگذارد (سطح ضروری).

41- فروشگاه برنامک در صورت دریافت درخواست از سوی یک توسعه دهنده درباره حذف برنامک از ویترین فروشگاه، این کار را با تایید تیم امنیتی فروشگاه انجام دهد (سطح ضروری).