Um método prognóstico para desenvolvimento seguro de aplicativo

Abstract

Atualmente a plataforma Android domina o mercado de smartphones. Uma pesquisa realizada pela HP indicou que a maioria dos aplicativos para Android possuem vulnerabilidades. Isto ocorre porque os desenvolvedores, inconscientemente, introduzem códigos vulneráveis no aplicativo, e isto acarreta o vazamento de informações sensíveis e privadas do usuário quando uma vulnerabilidade é explorada. Vulnerabilidades inseridas em um código-fonte colocam as informações dos usuários em risco, uma vez que estas podem ocasionar o comprometimento de importantes aspectos de segurança, como a confidencialidade, a integridade e a disponibilidade. Contudo, a procura por vulnerabilidades em aplicativos tem sido objeto de estudo de diversos trabalhos que utilizam uma abordagem para detectar estas vulnerabilidades tardiamente, baseada no dex bytecode do aplicativo, quando este está pronto e disponível para download em lojas, o que pode ter afetado milhares de dispositivos. Este trabalho possui dois objetivos. Inicialmente será apresentada uma classificação das vulnerabilidades enumeradas em Top Ten Mobile Risks, relacionando-as com os aspectos de segurança da informação definidos pela ABNT NBR ISO/IEC 27.002:2013 e com os métodos Java que introduzem estas vulnerabilidades no sistema. Fundamentado nesta classificação o segundo objetivo apresentado é um método, baseado na técnica de análise estática com casamento de padrões, para identificar, analisar e avaliar códigos potencialmente vulneráveis, de forma antecipada, durante o desenvolvimento de aplicativos para Android. Este método foi utilizado para a criação da ferramenta appDroidAnalyzer, que foi usada para avaliar esta metodologia. Esta ferramenta permitirá ao desenvolvedor aprimorar o código-fonte do seu programa e evitar que brechas vulneráveis sejam inseridas neste. Esta técnica foi avaliada através de uma prova de conceito experimental em 859 aplicativos obtidos do catálogo de projetos open source F-Droid. Estes foram avaliados pela ferramenta appDroidAnalyzer que identificou 65 aplicações com potenciais vulnerabilidades em seu código-fonte.