Desenvolvimento Seguro Android GDG RIO

Desenvolvimento Seguro

Augusto Marinhoaugustomarinho@conteudoatual.com.br

Motivação

Quais os problemas?

Owasp top ten mobile r isks

Uma proposta. . .

/mnt/sdcard SQLITE_INSEGURO.db

Armazenamento inseguro dos dados

Client Side Injection

android:exported="true"

Exposição de dados por terceiros

... uma opção

Exposição de dados por terceiros

Proteção ineficiente no transporte dos dados

Vamos então ao socket SSL ....

Fornecimento de informações sensíveis

Dados sensíveis capturados por inputs inseguros

/data/system/accounts.db

Controles de autorização e autenticação fracos

Problema

md5(sha1(password))

md5(md5(salt) + md5(password))

sha1(sha1(password))

Isso não resolve!!!!!

Criptografia Fraca

Controles frágeis do lado servidor

Captura de Sessão

Para desenvolver um aplicativo seguro, não basta utilizar as

melhores tecnologias; não basta ser excelente tecnicamente se você

não estiver conectado ao negócio e entender quais os impactos

negativos para imagem do seu produto, caso uma vulnerabilidade

seja explorada com sucesso.

Para f inal izar

Obrigado!

Augusto Marinhoaugustomarinho@conteudoatual.com.br