Trovate credenziali cloud hardcoded e in chiaro in numerose applicazioni

Il team di Symantec ha scoperto che molte applicazioni mobile contengono credenziali harcoded e in chiaro dei servizi cloud più utilizzati. “Questa pratica pericolosa implica che chiunque con accesso ai binari o al codice sorgente dell’applicazione potenzialmente può estrarre queste credenziali e abusarne per manipolare o sottrarre dati, causando breach di sicurezza gravi” spiegano i ricercatori.

Le applicazioni analizzate da Symantec vengono scaricate e usate da milioni di utenti in tutto il mondo. “The Pic Stitch: Collage Maker“, per esempio, conta oltre 5 milioni di download su Google Play e contiene credenziali AWS direttamente nel codice. Il codice dell’applicazione include una funzione per usare le credenziali AWS a seconda dell’ambiente in cui sta eseguendo; nel caso il flag di produzione sia a true, l’app legge tutte le informazioni di produzione, compresi il bucket name di Amazon S3, le chiavi di lettura e scrittura e i secret.

La situazione è analoga in applicazioni iOS quali “Crumbl“, con quasi 4 milioni di recensioni, “Eureka: Earn money for surveys” che ha oltre 402 mila recensioni, e “Videoshop – Video Editor” che ha quasi 400 mila recensioni. Queste applicazioni usano credenziali presenti in chiaro nel codice, esponendo risorse critiche del cloud agli attacchi.

Altre applicazioni, come “Meru Cabs” che conta oltre 5 milioni di download e “Sulekha Business“, contengono credenziali Azure hardcoded all’interno del codice ed espongono gli utenti a seri rischi di privacy.

“Questo pattern di gestione non sicura delle credenziali ripetuto su più applicazioni evidenzia la necessità critica di adottare più pratiche di sicurezza da parte degli sviluppatori“.

Il team di Symantec invita gli sviluppatori a usare le variabili d’ambiente per le credenziali, al posto di inserirle direttamente nel codice, e di utilizzare tool di gestione dei secret come AWS Secret Manager o Azure Key Vault.

Nel caso le credenziali debbano essere memorizzate nell’applicazione, occorre cifrarle usando algoritmi robusti e decifrarle a runtime solo quando è necessario.

Oltre a ciò è fondamentale eseguire review di codice regolari e audit di sicurezza, integrando anche l’uso di tool di scansione del codice per individuare subito eventuali problemi di sicurezza.