Реверс-инжиниринг в безопасности настольных и мобильных приложений

Реверс-инжиниринг программного обеспечения — это исследование готовой программы с целью понять ее внутреннее устройство, алгоритмы, структуру, используемые компоненты и принципы работы без использования исходного проекта разработки.

Если при обычной разработке специалисты движутся от требований и исходного кода к готовому программному продукту, то при reverse engineering процесс идет в противоположном направлении:

готовое приложение → исследование исполняемых компонентов → восстановление логики → понимание архитектуры и алгоритмов.

Объектами исследования могут становиться:

• настольные приложения;
• мобильные приложения для Android и iOS;
• исполняемые и системные файлы;
• библиотеки;
• драйверы;
• прошивки устройств;
• сетевые протоколы;
• отдельные программные компоненты.

В зависимости от платформы и задачи специалист может исследовать машинный код, байт-код, ресурсы приложения, строки, метаданные, используемые библиотеки и поведение программы во время выполнения.

Для этого применяются два основных подхода.

Статический анализ проводится без запуска исследуемой программы. Специалист изучает структуру файлов, библиотеки, строки, инструкции, метаданные и другие доступные элементы.

Динамический анализ, напротив, предполагает наблюдение за работающим приложением: его взаимодействием с памятью, файловой системой, операционной системой, сетью и другими компонентами.

На практике эти методы обычно дополняют друг друга.

Сам по себе реверс-инжиниринг не является атакой. Это метод исследования программного обеспечения, который активно применяется специалистами по информационной безопасности.

Одна из основных задач — поиск уязвимостей в приложениях.

Исследование скомпилированного продукта позволяет проверить, насколько трудно потенциальному атакующему разобраться в его устройстве и можно ли получить доступ к информации или функциям, которые разработчик рассчитывал скрыть.

В процессе анализа специалисты могут обнаруживать:

• небезопасную обработку пользовательских данных;
• ошибки управления памятью;
• некорректную реализацию механизмов авторизации;
• недостаточную защиту локально хранящихся данных;
• жестко заданные пароли, токены, ключи и другие секреты;
• использование устаревших или уязвимых компонентов;
• недостатки реализации криптографических механизмов;
• возможности изменения поведения приложения;
• незащищенное взаимодействие с серверной инфраструктурой.

Особенно актуален такой анализ для мобильных приложений. APK или другой клиентский компонент фактически передается пользователю, поэтому разработчик не может рассчитывать на то, что его содержимое останется полностью недоступным для исследования.

Реверс-инжиниринг также играет важную роль при анализе вредоносного программного обеспечения. Специалисты исследуют подозрительный файл, чтобы понять его функции, определить используемые механизмы закрепления в системе, сетевое взаимодействие и другие характеристики.

Полученная информация может использоваться для разработки правил обнаружения, индикаторов компрометации и мер реагирования.

Еще один сценарий — аудит приложений без доступа к исходному коду. Например, организация может захотеть оценить безопасность стороннего программного продукта перед его использованием в корпоративной инфраструктуре.

Возможность технически провести обратный анализ программы не означает, что такой анализ всегда допустим с юридической точки зрения.

Правовой статус reverse engineering зависит от:

• страны и применимого законодательства;
• условий лицензии;
• цели исследования;
• способа получения программного обеспечения;
• характера выполняемых действий;
• наличия разрешения правообладателя;
• дальнейшего использования полученной информации.

В России вопросы, связанные с программами для ЭВМ, регулируются, в частности, частью IV Гражданского кодекса РФ. Законодательство предусматривает определенные случаи, в которых лицо, правомерно владеющее экземпляром программы, может выполнять действия, необходимые для ее функционирования, изучения или достижения взаимодействия с независимо разработанной программой. Однако такие возможности имеют установленные законом условия и ограничения.

Отдельная ситуация — анализ безопасности по договору.

При проведении аудита, пентеста или исследования защищенности необходимо заранее определить разрешенный периметр работ: какие приложения, версии, серверы, учетные записи и методы исследования входят в scope.

Это важно как для заказчика, так и для исполнителя.

При коммерческом исследовании программного обеспечения юридические условия конкретного проекта следует оценивать отдельно. Техническое наличие доступа к приложению само по себе не является разрешением на проведение любых действий с ним.

Реверс-инжиниринг занимает особое место в безопасности приложений. С одной стороны, он помогает специалистам исследовать программное обеспечение, находить уязвимости, анализировать вредоносный код и оценивать устойчивость продукта к атакам. С другой — теми же возможностями располагает потенциальный злоумышленник.

Поэтому при разработке настольных и мобильных приложений разумно исходить из принципа, что клиентский код рано или поздно может стать объектом анализа. Обфускация, контроль целостности и защита от динамического исследования способны существенно усложнить этот процесс, но ключевую роль играет архитектура: критические секреты и решения, влияющие на безопасность, не должны зависеть исключительно от доверия клиентскому приложению.

Если необходимо оценить защищенность настольного или мобильного приложения, провести анализ его устойчивости к реверс-инжинирингу или проверить архитектуру до выхода продукта в эксплуатацию, специалисты «Гладиаторов информационной безопасности» помогут определить потенциальные точки атаки, оценить риски и сформировать рекомендации по усилению защиты.