Wie verhindern Sie Phishing in der mobilen App?

Question

Stellen Sie sich ein Szenario vor, in dem ein auf Ihrem Mobilgerät installiertes Spiel X auf Ihre Kontoinformationen vom sozialen Netzwerk Y zugreifen möchte. Nehmen Sie an, dass Y einige APIs verfügbar macht und über Funktionen wie "Anmeldung mit Y" usw. verfügt neues Browserfenster, in dem die Domäne von Y deutlich in der Adressleiste angezeigt wird, mit einem Vorhängeschloss-Symbol, das deutlich die SSL-Verbindung anzeigt. In diesem Popup fragt das soziale Netzwerk den Benutzer nach Login, Passwort und Zustimmung zur Übermittlung von Informationen (wie Name, Avatar, E-Mail) an die Anwendung X. Zum Beispiel verwendet OAuth 2 diesen Ansatz.

Meiner Meinung nach ist die Situation auf Mobilgeräten ziemlich anders, da Anwendung X die Kontrolle über den ganzen Bildschirm übernehmen kann. Insbesondere kann auf dem Bildschirm des Geräts etwas gezeichnet werden, das von einem echten Browser nicht unterscheidbar ist und den Benutzernamen und das Passwort des Benutzers entwendet.

Wie kann man bösartige Anwendungen bekämpfen, die den ganzen Bildschirm abdecken und so tun, als wären sie Browser, oder sogar die Einstellungsfenster von OS usw.?

Answer 1

Es gibt keine technologische Verteidigung dagegen sogar auf dem Desktop. Es ist trivial, das Aussehen eines Browsers nachzuahmen und eine grüne SSL-Sperre in eine falsche Adressleiste zu zeichnen. Oder Sie können einfach einen Keylogger in Ihre Anwendung integrieren, um Kennwörter für jede Anwendung auf demselben System einzugeben.

Für mobile Anwendungen einschließlich eines Keyloggers ist schwieriger. Das Zeichnen eines überzeugenden gefälschten Browserfensters ist einfach. Eine zusätzliche Verteidigung ist der Überprüfungsprozess eines App Stores. Ein offizieller App Store als einzige Quelle für vertrauenswürdige Apps mildert solche Probleme in gewissem Maße. Malware-Apps können zwar jeden Überprüfungsprozess durchlaufen, können aber entfernt werden, sobald sie erkannt wurden.

Answer 2

Wie wäre es mit einem Doppelklick auf den Home-Button, damit Sie die App-Namen sehen?

Answer 3

Sie können den Task-Manager auch ausführen, um den Namen der App zu sehen. com.android.chrome. Ich denke, Google wird nicht zulassen, dass zwei Apps mit demselben Namen auf den Markt kommen.