Love AI
New member
Mỗi ứng dụng di động là tập hợp nhiều lớp mã nguồn và thành phần bên thứ ba mà đội bảo mật thường không thấy. Những thành phần này cùng với phần mềm sẵn có trên thiết bị tạo ra rủi ro khó kiểm soát, từ rò rỉ dữ liệu đến phơi bày trước ảnh hưởng địa chính trị.
Mỗi ứng dụng di động được ghép từ nhiều lớp mã: thư viện bên thứ ba, SDK phân tích, framework quảng cáo, gói mã nguồn mở và các nhị phân đóng gói sẵn. Những thành phần này thường đến dạng đã biên dịch, khiến đội an ninh khó đánh giá toàn diện.
Thiết bị chạy ứng dụng cũng mang theo firmware, phần mềm chipset, dịch vụ nhà mạng và ứng dụng hệ thống được cài sẵn. Mỗi thành phần có chu trình cập nhật, phụ thuộc và giả định bảo mật riêng, tạo ra bề mặt tấn công rộng hơn so với phần mềm truyền thống.
Trên máy tính để bàn và máy chủ, đội bảo mật có thể triển khai agent, giám sát mạng và hành vi hệ thống. Trên di động, sandbox, mô hình quyền, và giới hạn của hệ điều hành ngăn cản việc quan sát sâu. Ứng dụng hệ thống cài sẵn thường không thể gỡ hoặc vá bởi doanh nghiệp, gây ra bất đối xứng: thiết bị dùng cho công việc nhạy cảm nhưng có rất ít tầm nhìn vào cấu phần bên trong.
Android dễ cho các nhà nghiên cứu khám phá lỗi nhưng đồng thời dẫn đến phân mảnh: mỗi nhà sản xuất, nhà mạng và nhà cung cấp chipset thêm lớp phần mềm riêng, khiến cùng một ứng dụng có thể hành xử khác nhau trên từng thiết bị. Ngược lại, hệ sinh thái chặt chẽ của Apple giảm phân mảnh nhưng tăng độ mờ: lỗi có thể tồn tại nhiều năm trước khi bị phát hiện.
Mô hình tin cậy trong di động là chuỗi xếp chồng: nhà phát triển tin vào SDK, doanh nghiệp tin vào nhà phát triển, người dùng tin vào kho ứng dụng, đội an ninh tin vào nhà cung cấp nền tảng. Khi một mắt xích bị gãy — SDK bị tấn công, gói mã nguồn mở bị nhiễm, ứng dụng hệ thống rò rỉ — hậu quả lan rộng và thường không rõ ràng ngay lập tức vì lỗi được thừa hưởng, không phải do tổ chức trực tiếp viết phần mềm.
Có cả chiều kích địa chính trị: nhiều SDK phổ biến được viết, duy trì hoặc vận hành bởi các công ty ở các nước có rủi ro cao. Lưu lượng hoặc hạ tầng bên ngoài vùng tài phán đồng minh có thể khiến dữ liệu doanh nghiệp bị tiếp cận theo luật pháp nước ngoài hoặc bị nghe lén. Khi một app nhúng SDK bên thứ ba, nó thừa hưởng cả hồ sơ pháp lý và vận hành của tổ chức đứng sau SDK đó.
Khoảng trống kiểm soát còn lớn vì nhiều chương trình bảo mật di động vẫn đặt niềm tin vào phê duyệt kho ứng dụng. Kiểm duyệt cửa hàng tập trung vào dấu hiệu mã độc đã biết chứ không phải hành vi rò rỉ dữ liệu vô tình hay hành vi rủi ro của bên thứ ba, tạo ra điểm mù mà kẻ tấn công có thể khai thác.
Để giảm rủi ro chuỗi cung ứng di động, đội an ninh cần thay đổi góc nhìn: đơn vị rủi ro không còn là từng ứng dụng, mà là chuỗi cung ứng phía sau ứng dụng đó. Các bước thực tế bao gồm:
Chuỗi cung ứng phần mềm di động sẽ tiếp tục phức tạp hơn khi mọi ứng dụng phụ thuộc vào ngày càng nhiều thành phần bên ngoài. Doanh nghiệp cần thừa nhận rằng họ đang chịu trách nhiệm về phần mềm họ không tự viết — và phải xây dựng khả năng hiển thị, kiểm soát và phản ứng phù hợp để giảm thiểu rủi ro đó.
Nguồn: Techradar
Mỗi ứng dụng di động được ghép từ nhiều lớp mã: thư viện bên thứ ba, SDK phân tích, framework quảng cáo, gói mã nguồn mở và các nhị phân đóng gói sẵn. Những thành phần này thường đến dạng đã biên dịch, khiến đội an ninh khó đánh giá toàn diện.
Thiết bị chạy ứng dụng cũng mang theo firmware, phần mềm chipset, dịch vụ nhà mạng và ứng dụng hệ thống được cài sẵn. Mỗi thành phần có chu trình cập nhật, phụ thuộc và giả định bảo mật riêng, tạo ra bề mặt tấn công rộng hơn so với phần mềm truyền thống.
Trên máy tính để bàn và máy chủ, đội bảo mật có thể triển khai agent, giám sát mạng và hành vi hệ thống. Trên di động, sandbox, mô hình quyền, và giới hạn của hệ điều hành ngăn cản việc quan sát sâu. Ứng dụng hệ thống cài sẵn thường không thể gỡ hoặc vá bởi doanh nghiệp, gây ra bất đối xứng: thiết bị dùng cho công việc nhạy cảm nhưng có rất ít tầm nhìn vào cấu phần bên trong.
Android dễ cho các nhà nghiên cứu khám phá lỗi nhưng đồng thời dẫn đến phân mảnh: mỗi nhà sản xuất, nhà mạng và nhà cung cấp chipset thêm lớp phần mềm riêng, khiến cùng một ứng dụng có thể hành xử khác nhau trên từng thiết bị. Ngược lại, hệ sinh thái chặt chẽ của Apple giảm phân mảnh nhưng tăng độ mờ: lỗi có thể tồn tại nhiều năm trước khi bị phát hiện.
Mô hình tin cậy trong di động là chuỗi xếp chồng: nhà phát triển tin vào SDK, doanh nghiệp tin vào nhà phát triển, người dùng tin vào kho ứng dụng, đội an ninh tin vào nhà cung cấp nền tảng. Khi một mắt xích bị gãy — SDK bị tấn công, gói mã nguồn mở bị nhiễm, ứng dụng hệ thống rò rỉ — hậu quả lan rộng và thường không rõ ràng ngay lập tức vì lỗi được thừa hưởng, không phải do tổ chức trực tiếp viết phần mềm.
Có cả chiều kích địa chính trị: nhiều SDK phổ biến được viết, duy trì hoặc vận hành bởi các công ty ở các nước có rủi ro cao. Lưu lượng hoặc hạ tầng bên ngoài vùng tài phán đồng minh có thể khiến dữ liệu doanh nghiệp bị tiếp cận theo luật pháp nước ngoài hoặc bị nghe lén. Khi một app nhúng SDK bên thứ ba, nó thừa hưởng cả hồ sơ pháp lý và vận hành của tổ chức đứng sau SDK đó.
Khoảng trống kiểm soát còn lớn vì nhiều chương trình bảo mật di động vẫn đặt niềm tin vào phê duyệt kho ứng dụng. Kiểm duyệt cửa hàng tập trung vào dấu hiệu mã độc đã biết chứ không phải hành vi rò rỉ dữ liệu vô tình hay hành vi rủi ro của bên thứ ba, tạo ra điểm mù mà kẻ tấn công có thể khai thác.
Để giảm rủi ro chuỗi cung ứng di động, đội an ninh cần thay đổi góc nhìn: đơn vị rủi ro không còn là từng ứng dụng, mà là chuỗi cung ứng phía sau ứng dụng đó. Các bước thực tế bao gồm:
- Lập danh mục (SBOM) các thư viện và SDK được dùng trong ứng dụng và theo dõi cập nhật của chúng.
- Đánh giá và phân loại rủi ro nhà cung cấp bên thứ ba, bao gồm nơi lưu trữ dữ liệu và vùng tài phán của họ.
- Áp dụng kiểm tra hành vi runtime: giám sát kết nối mạng bất thường, chuyển hướng dữ liệu và hành vi gia tăng quyền.
- Thiết lập chính sách mua sắm phần mềm nghiêm ngặt: hạn chế SDK không cần thiết, ưu tiên giải pháp mã nguồn mở được duy trì tốt hoặc SDK có minh bạch về dữ liệu.
- Triển khai các công cụ Mobile Threat Defense và kiểm tra tư thế thiết bị trước khi cho truy cập dữ liệu nhạy cảm.
- Áp dụng whitelist/allowlist mạng cho các endpoint quan trọng và mã hóa dữ liệu nhạy cảm khi truyền tải.
- Thực hiện kiểm tra định kỳ, scan lỗ hổng cho cả thư viện và thành phần hệ thống, kèm quy trình phản ứng khi phát hiện rò rỉ.
Chuỗi cung ứng phần mềm di động sẽ tiếp tục phức tạp hơn khi mọi ứng dụng phụ thuộc vào ngày càng nhiều thành phần bên ngoài. Doanh nghiệp cần thừa nhận rằng họ đang chịu trách nhiệm về phần mềm họ không tự viết — và phải xây dựng khả năng hiển thị, kiểm soát và phản ứng phù hợp để giảm thiểu rủi ro đó.
Nguồn: Techradar
Bài viết liên quan
