دستورالعمل توسعه تلفنهای هوشمند ENISA
به گزارش واحد فناوری اطلاعات سایبربان؛ به تازگی دستورالعملی از سوی «آژانس امنیت اطلاعات و شبکهی اتحادیهی اروپا» (ENISA1) برای توسعهی تلفنهای هوشمند منتشر شده است. این سند نوعی راهنما برای توسعهدهندگان نرمافزارهای تلفنهای هوشمند به حساب میآید تا بتوانند برنامههای امنتری را ایجاد کرده و در برابر حملات سایبری به تلفنها از خود دفاع کنند.
هر روزه برنامههای بیشتری برای انواع مختلف تلفنها ایجاد میشود که همراه با خود حملات جدیدی را نیز به وجود میآورند؛ بنابراین ایجاد برنامهای ضعیف میتواند باعث سرقت دادهها و سرمایه مالی کاربران بشوند. امنیت برنامههای موبایل یکی از اولویتهای کلیدی توسعهدهندگان این برنامهها در تأمین امنیت کاربران نهایی و حصول اطمینان از ارتباطات امن به شمار میرود.
پس از موفقیت به دست آمده از روی نسخهی اول دستورالعمل توسعهی تلفنهای هوشمند، آژانس امنیت اطلاعات و شبکهی اتحادیهی اروپا با انتشار یک بروزرسانی بخشهای جدیدی را به آن اضافه کرده است. این بخشهای جدید شامل موارد استفاده از حسگرهای بیومتریک، صداقت نرمافزار و تزریق سمت مشتری میشود. هدف این دستورالعملها پوشش کامل طیف حملاتی است که به برنامهها انجام شده و توسعهدهندگان در زمان ساخت باید آن را مدنظر قرار بدهند. موارد بروزرسانی شده شامل:
• شناسایی و حفاظت از اطلاعات حساس
• احراز هویت کاربر، مجوز و مدیریت نشستها
• اجرای ایمن عوامل احراز هویت و اعتبارسنجی بر روی دستگاه
• اطمینان از امنیت دادههای حساس در زمان انتقال
• ارائه خدمات بکاند2 (backend service)، بستر سرورها و رابط برنامهنویسی نرمافزار (API3) امن
• یکپارچهسازی دادههای امن با برنامهی شخص ثالث
• رضایت و حفاظت از حریم خصوصی
• حافظت از منابع پرداخت
• توزیع نرمافزارهای امن
• تفسیر کدهای در زمان اجرا
علاوه بر موارد بالا، بخشهای تازه نیز برای پوشش حملات جدید، سو استفاده از حسگرهای بیومتریک و مشتریان ایجاد شده است.
• تفسیر کدهای در زمان اجرا
• درستی و صداقت دستگاه و نرمافزار
• حفاظت از سمت سرویسگیرنده در برابر تزریق کد4
• استفادهی درست از حسگرهای بیومتریک
_______________________________________
1- European Network and Information Security Agency
2- بکاند، به دستگاههای ذخیرهسازی، سرورها و سختافزارهای ارائهدهنده خدمات ابری گفته میشود. خدمات بکاند بیان میکنند که نرمافزارهای متفاوت را میتوان از طریق خدمات ابری از طریق چندین سیستم مختلف اجرا کرده و به کار با آنها پرداخت.
3- Application Programming Interface
4- تزریق کد به معنی سو استفاده از باگهای یک سامانه برای اجرای کدهای مخرب یا ناخواسته روی آن است.
