Desarrolladores, ¡Cuidado!: Las Malas Prácticas de Codificación Resultan en Mala Seguridad de Aplicaciones Móviles
Las organizaciones empresariales interesadas en desarrollar sus propias aplicaciones móviles se beneficiarían de leer el nuevo Informe de Riesgo Cibernético 2015 de HP Security Research. El informe presenta un análisis detallado de la seguridad de TI empresarial en general, y al igual que otros informes de seguridad, aborda la seguridad de las aplicaciones móviles y la amenaza del malware móvil.
Pero lo que es particularmente inquietante son los hallazgos del informe sobre las vulnerabilidades de seguridad que resultan de malas prácticas de codificación. Vale la pena citar el resumen de HP sobre la mala seguridad de las aplicaciones móviles en su totalidad:
“Las causas principales de las vulnerabilidades de software comúnmente explotadas son consistentemente [sic] defectos, errores y fallos de lógica. Los profesionales de la seguridad han descubierto que la mayoría de las vulnerabilidades provienen de un número relativamente pequeño de errores comunes de programación de software. Se ha escrito mucho para guiar a los desarrolladores de software sobre cómo integrar las mejores prácticas de codificación segura en su trabajo diario de desarrollo. A pesar de todo este conocimiento, seguimos viendo vulnerabilidades antiguas y nuevas en el software que los atacantes explotan rápidamente. Puede ser un desafío, pero hace mucho tiempo que el desarrollo de software debería ser sinónimo de desarrollo de software seguro. Aunque puede que nunca sea posible eliminar todos los defectos de código, un proceso de desarrollo seguro implementado adecuadamente puede disminuir el impacto y la frecuencia de tales errores.”
¿Cómo se manifiestan estos errores de programación en el mundo de la seguridad de las aplicaciones móviles?
Grandes Amenazas de Malos Hábitos de Codificación
La clasificación del informe de las cinco principales vulnerabilidades móviles derivadas de malas prácticas de codificación son:
- Violación de privacidad: 74%
- Almacenamiento inseguro: 71%
- Transporte inseguro: 66%
- Implementación insegura: 62%
- Mala práctica de registro: 47%
Estos resultados destacan la mala seguridad de las aplicaciones móviles y también violan las políticas de seguridad corporativa más amplias y las mejores prácticas. Más específicamente, y más preocupante, la mala seguridad de las aplicaciones móviles protege insuficientemente los datos empresariales en almacenamiento y en tránsito. Si los datos empresariales, que a menudo contienen información sensible como propiedad intelectual, información financiera e información personal identificable (PII), se ven comprometidos y accedidos por usuarios no autorizados, seguramente dañará el valor de marca de la empresa infractora, destruirá la lealtad del cliente y provocará una violación de cumplimiento.
Entonces, ¿cuáles son las implicaciones de las malas prácticas de codificación y la seguridad insuficiente de las aplicaciones móviles? Al examinar más de cerca las aplicaciones móviles, se informaron los siguientes problemas comunes:
- Almacenamiento inseguro debido a protección de datos insuficiente: 54%
- Mala práctica de registro: 47%
- Hash criptográfico débil: 43%
- Falta de detección de jailbreak: 37%
- Conocer la huella de superficie de ataque móvil: 34%
El informe también encontró que las aplicaciones móviles a menudo usaban incorrectamente la geolocalización, potencialmente divulgando datos confidenciales sobre ubicaciones y almacenamiento en caché de pantalla.
¿Cuáles Son los Estándares de Codificación Segura en Aplicaciones Móviles?
Los estándares de codificación segura en aplicaciones móviles se refieren a las mejores prácticas y directrices para desarrollar aplicaciones móviles que sean seguras y estén protegidas contra ataques maliciosos. Estos estándares ayudan a garantizar que una aplicación sea segura de usar y evite que los hackers accedan a los datos personales del usuario. Ejemplos de estándares de codificación segura incluyen la validación de entrada, cifrado, autenticación y autorización, almacenamiento de datos y el uso de protocolos de comunicación seguros.
5 Medidas para Incluir en Tu Lista de Verificación de Mejores Prácticas de Codificación Segura
La codificación segura es una parte vital para lograr una buena seguridad de software. Siguiendo las mejores prácticas de codificación segura, los desarrolladores pueden prevenir posibles vulnerabilidades y ciberataques en su código. Todos los desarrolladores deberían usar una lista de verificación de mejores prácticas de codificación segura para asegurar que su código sea lo más seguro posible. Aquí hay cinco medidas para incluir en tu lista de verificación de mejores prácticas de codificación segura:
- Usa bibliotecas de seguridad estándar: Usa las versiones más seguras de las bibliotecas de seguridad estándar disponibles para asegurar que el código sea seguro y cumpla con los estándares aceptados por la industria.
- Adopta prácticas de codificación segura: Las prácticas de codificación segura incluyen el uso de características modernas del lenguaje como lenguajes con seguridad de tipos, asegurando un manejo robusto de errores y registros, y sanitizando la entrada para evitar ataques.
- Usa análisis automatizado de código fuente: El análisis automatizado de código fuente puede ayudar a detectar errores y fallos de seguridad en el código.
- Realiza escaneos de vulnerabilidades: Realiza periódicamente escaneos de vulnerabilidades en el código para identificar posibles vulnerabilidades.
- Cifra todos los datos sensibles: Todos los datos sensibles deben ser cifrados y almacenados de manera segura para prevenir el acceso no autorizado.
La Importancia de las Aplicaciones Móviles Seguras
La computación móvil será cada vez más importante en los próximos años. Ya es el medio preferido para muchos empleados, y en los próximos cinco años, podemos esperar que aún más trabajo involucre aplicaciones móviles.
Para aprovechar esta revolución móvil y aumentar aún más la productividad, muchas empresas están desarrollando ahora sus propias aplicaciones móviles internamente. Esto es un trabajo loable pero difícil. Los sistemas operativos móviles como Android todavía son relativamente jóvenes. Los sistemas de datos heredados son antiguos, diversos y están dispersos por toda la empresa.
Combinar lo último en uso compartido seguro de archivos móviles e integración simple con diversos sistemas heredados, como los sistemas de Gestión de Contenido Empresarial (ECM) incluyendo Microsoft SharePoint y EMC Documentum, no es una tarea fácil. Pero es una tarea que, si se hace bien, promete rendir enormes beneficios en términos de productividad, eficiencia y agilidad operativa.
Como indica este informe, sin embargo, estos beneficios pueden verse rápidamente socavados por violaciones de datos resultantes de una mala seguridad de las aplicaciones móviles. Los equipos de desarrollo empresarial deben, por lo tanto, prestar atención a las advertencias de este informe y esforzarse por la seguridad de las aplicaciones móviles al desarrollar aplicaciones móviles funcionales. Al diseñar aplicaciones que mejoren la productividad sin comprometer la seguridad de las aplicaciones móviles, los desarrolladores evitarán estos errores comunes.