Setiap aplikasi seluler dikumpulkan dari lapisan kode yang tidak pernah dilihat oleh sebagian besar tim keamanan: perpustakaan pihak ketiga, SDK analitik, kerangka periklanan, sumber terbuka paket, dan biner kepemilikan yang sudah dikompilasi sebelumnya.
Aplikasi tersebut kemudian berjalan di perangkat yang sudah berisi firmware, perangkat lunak chipset, layanan operator, dan aplikasi sistem yang sudah diinstal sebelumnya. Masing-masing komponen tersebut memiliki ketergantungan, siklus pembaruan, dan asumsi keamanannya sendiri.
Wakil Presiden Rekayasa Solusi di Quokka.
Inilah sebabnya mengapa risiko seluler terlihat berbeda dari risiko perangkat lunak tradisional. Hal ini juga yang menjadi alasan organisasi terus berjuang mengatasi kebocoran, paparan, dan kehilangan data yang tidak terlihat seperti pelanggaran hingga semuanya terlambat.
Mengapa risiko rantai pasokan seluler berbeda
Ketika serangan rantai pasokan menjadi berita utama, serangan tersebut biasanya melibatkan sistem TI perusahaan, pembaruan yang disusupi, atau repositori yang diracuni. Namun, seluler beroperasi berdasarkan seperangkat aturan yang berbeda.
Pada desktop dan server, tim keamanan dapat memantau perilaku sistem, lalu lintas jaringan, dan menyebarkan agen dengan visibilitas mendalam. Pada perangkat seluler, tingkat akses tersebut dibatasi oleh desain. Sandboxing, model izin, dan pemeriksaan batas batasan OS.
Perangkat lunak firmware dan chipset sering kali buram. Aplikasi yang sudah diinstal sebelumnya tidak dapat dihapus atau ditambal oleh perusahaan sama sekali.
Hal ini menciptakan asimetri: perangkat seluler digunakan untuk pekerjaan sensitif, namun organisasi memiliki visibilitas yang lebih rendah terhadap internal mereka dibandingkan perangkat lainnya. titik akhir.
Keterbukaan Android memungkinkan peneliti menemukan masalah, namun juga menimbulkan fragmentasi. Setiap produsen perangkat, operator, dan vendor chipset menambahkan lapisan perangkat lunaknya sendiri. Aplikasi yang sama dapat berperilaku berbeda di seluruh perangkat bergantung pada firmware, driver, dan layanan prainstal.
Apelekosistem yang dikontrol dengan ketat mengurangi fragmentasi namun meningkatkan opacity; kelemahan bisa tetap tersembunyi selama bertahun-tahun sebelum ditemukan.
Dalam kedua kasus tersebut, rantai pasokan seluler masih jauh melampaui pengembang aplikasi keamanan akuntabilitas masih berada pada organisasi.
Kepercayaan terpecah berlapis-lapis
Ekosistem seluler berjalan dengan model kepercayaan berjenjang. Pengembang mempercayai SDK. Perusahaan mempercayai pengembang. Kepercayaan pengguna aplikasi toko. Tim keamanan mempercayai vendor platform. Ketika rantai itu putus pada titik mana pun, konsekuensinya akan terlihat jelas.
Contoh dunia nyata memperjelas hal ini. Paket sumber terbuka yang disusupi telah dimasukkan ke dalam aplikasi seluler tanpa disadari oleh pengembang. SDK berpemilik yang didistribusikan sebagai biner telah memperkenalkan koneksi jaringan tersembunyi dan kriptografi yang tidak aman.
Aplikasi sistem yang sudah diinstal sebelumnya telah membocorkan data penggunaan aplikasi, metadata SMS, dan pengidentifikasi perangkat, meskipun data tersebut tidak pernah terlihat oleh alat keamanan perusahaan.
Dalam setiap kasus, kerentanan tidak disebabkan oleh organisasi yang menggunakan aplikasi. Itu diwariskan.
Inilah sebabnya mengapa risiko seluler begitu persisten: perusahaan bertanggung jawab atas perangkat lunak yang tidak mereka buat, tidak dapat mereka lihat, dan sering kali tidak dapat mereka kendalikan.
Lapisan risiko geopolitik tambahan
Ada juga peningkatan dimensi geopolitik terhadap risiko rantai pasokan seluler yang tidak diperhitungkan oleh sebagian besar perusahaan. Banyak SDK pihak ketiga yang digunakan dalam aplikasi seluler populer ditulis, dikelola, atau dioperasikan oleh perusahaan yang berbasis di negara-negara musuh atau negara-negara yang berisiko tinggi.
Dalam beberapa kasus, SDK ini berkomunikasi dengan infrastruktur di luar yurisdiksi AS atau sekutunya, sehingga menimbulkan potensi paparan terhadap undang-undang pengawasan asing, intersepsi data, atau pengaruh.
Pemerintah semakin meneliti aplikasi seluler dan SDK yang memiliki hubungan dengan Tiongkok dan negara-negara musuh lainnya karena data yang dapat mereka akses dan ke mana data tersebut dapat mengalir.
Saat aplikasi menyematkan SDK pihak ketiga, aplikasi tersebut secara efektif mewarisi profil risiko hukum, operasional, dan geopolitik dari entitas di baliknya, meskipun pengembang tidak mengetahui hubungan tersebut.
Mengapa keamanan seluler tradisional tidak lagi berfungsi
Sebagian besar program keamanan seluler masih bergantung pada persetujuan toko aplikasi resmi. Ini berfungsi di era yang lebih sederhana, ketika aplikasi lebih kecil dan ketergantungan terbatas.
Penyaringan App Store berfokus pada pola malware yang diketahui, bukan yang tidak disengaja data kebocoran atau perilaku pihak ketiga yang berisiko. Hal ini menciptakan titik buta yang dapat dieksploitasi oleh penyerang dan aplikasi yang bocor bisa lolos.
Melihat keseluruhan rantai pasok memerlukan pendekatan yang berbeda
Untuk mengurangi risiko rantai pasokan seluler, tim keamanan perlu mengubah perspektif mereka. Unit risiko bukan lagi aplikasi. Ini adalah rantai pasokan di balik aplikasi.
Itu berarti memahami apa kode sebenarnya dikirimkan, bukan hanya apa yang dinyatakan. Artinya memeriksa biner, bukan hanya sumber. Ini berarti mengevaluasi perilaku, bukan hanya izin. Dan ini berarti memperlakukan perangkat lunak dan firmware yang sudah diinstal sebelumnya sebagai bagian dari permukaan ancaman, bukan sesuatu di luar jangkauan.
Ketika organisasi menerapkan praktik Perangkat Lunak Bill of Materials ke seluler, dikombinasikan dengan inspeksi biner dan analisis perilaku, mereka mulai melihat risiko yang sebelumnya tidak terlihat.
SDK tersembunyi, implementasi kriptografi yang ketinggalan jaman, rahasia yang dikodekan secara keras, dan komunikasi jaringan yang tidak terduga, semuanya muncul saat Anda melihat melampaui permukaan aplikasi.
Yang lebih penting lagi, teknik ini memungkinkan tim keamanan merespons perubahan. Aplikasi seluler diperbarui terus-menerus. Pergeseran ketergantungan. Risiko baru muncul tanpa peringatan. Visibilitas berkelanjutan adalah satu-satunya cara untuk mengimbanginya.
Realitas baru dari risiko seluler
Perangkat seluler adalah alat bisnis utama. Mereka mengautentikasi pengguna, mengakses sistem sensitif, dan menyimpan data yang diatur. Namun mereka tetap menjadi salah satu bagian permukaan serangan perusahaan yang paling sedikit dipahami.
Sebelum organisasi mulai beralih dari sekadar aplikasi ke rantai pasokan aplikasi, risiko yang diwariskan akan terus terakumulasi. Aplikasi yang bocor akan tetap ada. Kelemahan firmware tidak akan diketahui. Dan organisasi akan terus bereaksi terhadap insiden yang tidak pernah mereka sangka akan terjadi.
Pertanyaannya bukan lagi apakah ada risiko rantai pasokan seluler. Yang menentukan adalah apakah organisasi Anda mampu melihatnya sebelum hal tersebut menjadi pelanggaran.
Kami telah menampilkan perangkat lunak enkripsi terbaik.
Artikel ini dibuat sebagai bagian dari saluran Expert Insights TechRadarPro tempat kami menampilkan para pemikir terbaik dan tercemerlang di industri teknologi saat ini. Pandangan yang diungkapkan di sini adalah milik penulis dan belum tentu milik TechRadarPro atau Future plc. Jika Anda tertarik untuk berkontribusi, cari tahu lebih lanjut di sini: https://www.techradar.com/news/submit-your-story-to-techradar-pro
