شهدت السنوات القليلة الماضية ارتفاع هائل في استخدام الهواتف المحمولة الذكية بل ان عدد ما انتج وبيع ومنها زاد على عدد سكان العالم (1). ولا شك ان هذه الزيادة جعلت هذه الهواتف هدفاً خصباً للصوص الانترنت وحتى الحكومات التي تريد التجسس على مواطنيها أو مواطني دول أخرى. في المقالة السابقة ركزت على أمن الهواتف الذكية بشكل عام. هنا إن شاء الله سأركز على أمن التطبيقات.
هواتفنا اليوم تحمل جميع أسرارنا وهي لا تفارقنا في كل الاوقات على عكس الحاسب الشخصي او المحمول. هذه الهواتف تحمل صورنا ورسائلنا، تعرف من نتصله به ومتى، وتعرف كل الاماكن التي نتردد عليها. قدرات هواتفنا المحمولة هذه زادت كذلك فنراها أصبحت حواسيب مصغرة تحمل العشرات ان لم يكن المئات من البرامج. نحن كمستخدمين نقوم بتحميل هذه البرامج في كثير من الأحيان بدون أن نعرف ما الذي تقوم به هذه البرامج أو ما هي الصلاحيات التي تتطلبها.
تركيزنا هنا سيكون على الهواتف التي تعمل بنظام اندرويد كونه الأكثر انتشارا وكذلك الاكثر عرضة للاصابة بالبرامج الخبيثة التي تسهتدف المستخدم ومعلوماته وذلك لعدّة أسباب منها: نظام أندوريد يسمح بارسال رسائل نصية بدون علم المستخدم، تعدد أسواق البرامج والتي لا يوجد أي نوع من الراقبة في بعضها، سهولة إعادة تغليف البرامج الشرعية ببرمجيات خبيثة ومن ثمّ اعادة طرحها مرّة أخرى، طريقة توزيع النظام من خلال مزويدي الخدمة مع كثرة العتاد مع تأخرّ أو انعدام الدعم الفني وتحديدا التحديثات كلها أمور تجعل من النظام بئية جذابة للصوص الانترنت.
سأحاول في المستقبل إن شاء الله أن أغطي تفاصيل النظام التقنية بالتفصيل ولكن لاختصار الوقت هنا سأركز على الصلاحيات للبرامج. نظام أندوريد والذي اطلقته غوغل يسمح لشركات العتاد بإصدار هواتف تدعم حاجات وقدرات المستخدمين المختلفة. والتسهيلات التي تضعها غوغل على المطورين تجعله بئية ممتازة لهم كون القيود المفروضة عليه أقل من مثيلتها في نظام ويندوز فون وأقل بكثير منها في نظام iOS الذي تصدره شركة آبل والذي يعد ثاني أشهر انظمة الهواتف المحمولة.
فلسفة غوغل تقوم على نظام مفتوح للجميع تنتقل فيه مسؤولية الحماية والأمان للهاتف من غوغل إلى المستخدم، ولهذا فعلى المستخدم مراقبة ما يقوم بتحميله من برامج ومعرفة صلاحيات هذه البرامج.
ما هي صلاحيات البرامج؟
كل برنامج يحتاج إلى صلاحيات حسب وظيفة هذا البرنامج يسهلها له نظام التشغيل. مثلا برنامج سكايب الذي يستخدم في الاتصالات الهاتفية سوف يحتاج الى المايكروفون والى الكاميرا الى غير ذلك من الصلاحيات. في حين ان لعبة ما قد تحتاج الى صلاحيات الوصول الى الانترنت من أجل متابعة أداء اللاعبين ونقاطهم ومراحل تقدمهم فيها. لكن عندما نشاهد مثلا برنامج لحاسبة علمية يحتاج الوصول الى الرسائل النصية،فعندها نحتاج كمستخدمين أن نتسائل لماذا يحتاج مثل هكذا برنامج الى مثل هكذا خدمة. الصورة التالية تظهر أمثلة على بعض البرامج وصلاحياته.
الصورة الأولى للعبة تطلب عدّة صلاحيات منها الموقع ومعرّف الجهاز ومعلومات عن المكالمات بالإضافة الى معلومات أخرى.
game_perms_1
الصورة الثانية لبرنامج فيسبوك والذي يطلب صلاحيات تتضمن جهات الاتصال والمايكروفون والكاميرا والرسائل النصية، إلخ.
facebook_perms
الصورة الثالثة لبرنامج f-secure والذي يقوم بإعلام المستخدم بالصلاحيات الفعلية التي تستخدمها البرامج المثبتة على هاتفه ولكنه لا يحتاج الى أي صلاحيات على الهاتف.
f-secure_perm_monitor
الهاتف المحمول المخترق وطرق استخدامه
شكل -1- يظهر تشريح لهاتف محمول وكيف يمكن للصوص الاستفادة منه. هذا الشكل هو من تقرير صادر لشركة سوفس وقام مجتمع الحماية بترجمة الشكل للعربية. أي هاتف يجري اختراقه يجري استخدامه طبقا لما يريده المخترق. فلصوص الانترنت هدفهم بالدرجة الاولى مادي وبالتالي سيكون اختراقهم من أجل ارسال رسائل نصية عالية التكلفة (كالرسائل التي ترسل الى برامج شهيرة للتصويت على مشترك ما او التبرع المادي لقضية ما). اما الحكومات فهدفها سيكون بالدرجة الأولى تجسسي لذلك ستحاول التلصص على المكالمات أو تسجيل المحادثات وما إلى ذلك.
صورة تظهر حالة هواتف أندرويد والاخطار المعرضة لها
شكل -1- صورة تظهر حالة هواتف أندرويد والاخطار المعرضة لها
كيف يقوم الأشرار باخترق الهواتف المحمولة
هناك عدّة طرق يمكن للاشرار استخدامها لاختراق هواتف الضحايا، أسهلها هو متابعة اشهر البرامج في السوق ومن ثم تحميلها والتعديل عليها لزرع برامج خبيثة فيها ومن ثم طرحها مجددا في السوق الرئيسي او الاسواق الأخرى. في حالة الحكومات أو غيرها من المنظمات الإجرامية يمكن أن يتم عبر انشاء شركات وهمية تقوم باصدار برامج مغرية يقوم المستخدمون العاديون بتحميلها ومن ثم اعطاء صلاحيات لها ولهم على هواتفهم. اما الطرق الأخرى للاختراق فتكون عبر استغلال ثغرة في نظام التشغيل نفسه او في أحد البرامج الشرعية او تحويل المستخدمين الى صفحات ويب وهمية لسرقة صلاحياتهم. شكل -2- يظهر كيف يقوم مطور خبيث بسرقة برنامج شرعي ومن ثم زرع برمجيته فيها ورفعها الى سوق البرامج.
شكل -2- يظهر عملية كيف يقوم الأشرار باستغلال برامج شرعية لزرع برمجياتهم الخبيثة بهدف اختراق هواتف المستخدمين
شكل -2- يظهر عملية كيف يقوم الأشرار باستغلال برامج شرعية لزرع برمجياتهم الخبيثة بهدف اختراق هواتف المستخدمين لشركة Lookout
ما العمل
تذكر أن هاتفك هو مستودع أسرارك فلا تسمح لما هب ودب من برامج بالعمل عليه.
راجع صلاحيات كل برنامج قبل ان تقوم بتثبيته على هاتفك.
لو كان برنامجك المفضل يحتاج الى صلاحيات كبيرة فابحث عن بديل له. لا يغرك أن شركة كبيرة تقوم بتطويره. الشركة فيها موظفين والموظفون ليسوا ملائكة فقد تسوّل لبعضهم انفسهم بالتلصص على وبيع معلومات المستخدمين. حصل مثل هذا سابقا ولا يوجد ما يمنع حدوثه اليوم.
قم بتثبيت برامج مثل f-secure في الصورة الثالثة أعلاه أو برنامج Dcentral لمعرفة صلاحيات البرامج على هاتفك. برنامج Dcentral يعطي تقييم لهذه البرامج بناء على نوع الصلاحيات التي تطلبها. الصورة التالية تظهر مثال لعمل برنامج Dcentral
