Artikel top billede

(Foto: PC World)

Her sejler sikkerheden i dine mobil-apps

Mobile-applikationer behandler i dag store mængder følsomt data, men it-sikkerheden er under al kritik, fortæller it-sikkerhedsekspert.

Læs også:
Du bliver altså nødt til at tage mobil sikkerhed alvorligt

Stort problem: Ansatte mister deres mobil-telefoner

Sådan får du nemt markant bedre sikkerhed på din mobil

Som smartphoneejer skal du være opmærksom på, at din telefon i flere tilfælde ikke gemmer eller behandler dine personfølsomme data hensigtsmæssigt.

Det drejer sig om det data, der lagres direkte i din telefon.

Problemet består som regel i, at udviklerne ikke krypterer data eller bruger svage krypteringsmetoder, der lagres direkte på din telefon.

Derudover er benyttelse af genbrugskode med usikre funktioner eller brug af usikre sammenkoblinger mellem den udviklede applikation og fabrikantens eget framework også udbredt.

"Sikkerhedstests viser, at der kan manipuleres med applikationer, og at der åbnes sikkerhuller på telefonen. Man bør derfor overveje, hvilke rettigheder applikationen arbejder med, og hvilke konsekvenser det har i relation til privacy," fortæller Thomas Wong, der chef sikkerhedskonsulent og ansvarlig for metodik omkring test af applikationer for it-sikkerhedsvirksomheden Ford Consult.

Ny funktionalitet er lig sikkerhedshuller

Første generation af applikationer indeholdt ikke samme grad af personfølsomme oplysninger.

"Første generation af applikationer behandlede typisk bare informationer, reklamer og oversigter for brugeren. Sikkerhedsafdelingerne havde ikke så mange problemer, fordi det benyttede data ikke var så farligt," siger Thomas Wong.

Men med anden generations applikationer er brugerens egen data mere i centrum.

"Den nye type af applikationer er kendetegnet ved, at sensitive forretningskritiske data og følsomme personoplysninger bliver integreret," fortæller it-sikkerhedskonsulenten.

Thomas Wong ser også flere eksempler på, at udviklerne ikke har gennemtænkt rettighedstildelingen for brugeren.

"Du lader telefonen foretage beregninger. Herefter fortælleren brugerens enhed, hvilken rolle brugeren har på den bagvedliggende server," siger Thomas Wong, der af kundehensyn ikke vil pege konkrete eksempler ud.

Genbrug af kode giver udfordringer

Ifølge Thomas Wong er et af de store problemer, at udviklerne ofte bruger genbrugskode, der indeholder flere funktioner, end der er brug for.

"I stedet for at trække relevant kode ud og lade det unødvendige ligge, benyttes der ofte kode på alt for mange linjer med alt for mange ubrugelige funktioner," forklarer Thomas Wong og forsætter:

"Det fungerer jo meget fint, men vi har set eksempler, hvor applikationer er bygget op omkring genbrugskode, hvor der samtidig bruges personfølsomme data i gamle databaser."

Login-funktionerne husker evigt

En anden faldgruppe er også login-funktioner, der altid husker, hvem du er.

"De fleste applikationer husker din authentication, og beholder den ofte evigt. Det er jo rart for brugeren, men hvis du nu glemmer din enhed et sted, så har du et problem," mener Thomas Wong.

Selvom din telefon er låst efter alle kunstens regler, så vil udefrakommende alligevel kunne trække data ud.

"Selvom alt på telefonen slettes, når den falder i hænderne på en anden, så kan vedkommende ofte stadig installere applikationer og få adgang til visse informationer, fordi applikationen kan huske dine indstillinger ud fra telefonens unikke id-nummer," siger it-sikkerhedseksperten.

Udviklerne skal optimere login-processen

Ofte kan brugeren helt undgå, at login-oplysningerne gemmes permanent.

"Ved brugen af eksempelvis Bank-applikationer, er brugerne indforståede med, at du skal logge ind hver gang," vurderer Thomas Wong.

Ifølge it-sikkerhedseksperten bør udviklerne arbejde hen mod login-løsninger, der både gør det nemt for brugeren og højner sikkerheden.

"En umiddelbar god løsning er, at hvis brugeren skal udføre en unormal ændring, kan brugeren tvinges til at logge ind igen på den hårde måde. Her mødes man på midten, og brugeren skal ikke logge ind hver gang," siger Thomas Wong.

Stil krav til udviklerne

Hvis sikkerhedssituationen skal forbedres, er det nødvendigt at stille krav til it-sikkerheden, mener Thomas Wong.

"Virksomhederne er ikke gode nok til at stille krav til leverandørerne eller egne udviklere. Sikkerheden spiller en rolle, og vi kan ikke bare håndtere det lemfældigt," afslutter han.

Læs også:
Du bliver altså nødt til at tage mobil sikkerhed alvorligt

Stort problem: Ansatte mister deres mobil-telefoner

Sådan får du nemt markant bedre sikkerhed på din mobil




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Advania Danmark A/S
Hardware, licenser, konsulentydelser

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Digital vækst 2024

På Digital Vækst 2024 bringer vi danske virksomheders organisation, forretning og data i spil samt spejler dem i det, som teknologipartnerne bringer til fadet. Konferencen bliver tætpakket med dygtige digitale ledere og frontkæmpere fra ind- og udland. De har én opgave på dagsordenen: At inspirere dig til at træffe de rigtige forretningsmæssige, teknologiske og strategiske valg i 2024, som kan sikre vækst for dig.

19. marts 2024 | Læs mere


Cyber Threats 2024: Sådan arbejder de IT-kriminelle – og sådan beskytter du dig

De cyberkriminelle har udviklet sig betydeligt, arbejder professionelt, fleksibelt og udnytter hinandens specifikke kompetencer – omtrent som en velsmurt koncern med klar ansvarsfordeling – og har ofte en klar politisk eller kommerciel motivation. Det stiller også nye krav til din tilgang til cybersikkerhed, og på Cyber Threats 2024 får du viden, som gør dig i stand til bedre at prioritere, planlægge og eksekvere en tidssvarende cybersikkerhedsstrategi.

20. marts 2024 | Læs mere


AI Impact Day: Har du styr på risiko og governance – og er du klar til AI Act?

AI og Machine Learning har for længst gjort sit indtog i centrale, kritiske forretningssystemer, og både udviklere, platformleverandører og koncerner er begyndt at udforske mulighederne. På dette eksklusive event dykker vi ned i AI's indflydelse på fremtidens forretnings- og IT-drift. Men vi ser også på, hvordan du mest effektivt arbejder med governance og risikostyring på dine AI-projekter.

21. marts 2024 | Læs mere