* Por Will LaSala
O jogo do momento em todo o mundo é o Pokémon Go, desenvolvido pela Niantic. Ele obriga você a ir para fora e interagir com o mundo real (de um modo seguro, espera-se). À medida que você caminha, o Pokémon aparece e permite que você atire Pokéballs na direção deles na tentativa de capturá-los. Quanto mais você se movimenta mais capturas você pode fazer e mais forte seu Pokémon se torna. A chave técnica desse jogo é empregar o GPS para rastrear o seu movimento e combiná-lo com os dados móveis dos pontos obtidos.
Apenas três dias após o lançamento do jogo, relatos de atividades de hackers começaram a aparecer. Isso é comum na indústria de jogos. No universo dos games para computadores, os mais populares são hackeados no mesmo dia do lançamento. No mundo dos dispositivos moveis há uma falsa sensação de segurança. A plataforma PC está entre nós há anos e tanto desenvolvedores como consumidores estão bem cientes de todos os perigos de ataques existentes. Na plataforma móvel, as pessoas ainda não estão plenamente conscientizadas de que os criminosos podem fazer, mas elas estão aprendendo rapidamente.
No caso dos dispositivos móveis, os ataques mais perigosos são o Jailbreaking ou Rooting, que permitem acesso ao sistema operacional. Eles são o Santo Graal dos criminosos em um telefone celular. Uma vez que o hacker tenha acesso a ele, passa a controlar o seu aparelho. Isso significa que ele pode ver qualquer aplicação e ter acesso a todos os seus dados encriptados. Isso também significa que ele pode modificar como qualquer aplicação trabalha e executar ações criminosas cada vez mais danosas.
Com o Pokémon Go, os criminosos fazem simplesmente isso: invadem o seu telefone e analisam a aplicação. Como o mecanismo principal emprega o GPS para rastrear sua localização, esse é a primeira coisa que o hacker tem como objetivo. Ele constrói biblioteca de dados que passa a rodar no aplicativo, manipulando os dados do GPS que o jogo já mapeou. Isso permite ao hacker parecer estar em lugares que ele nunca esteve e caminhar em áreas que ele nunca visitou.
Proteção aos dados
Os desenvolvedores da Niantic tentaram remediar o problema aprimorando o código e acrescentando verificações que detectam invasões. Infelizmente, o dano já ocorreu e os hackers também podem aplicar seus próprios “remendos” que desabilitam as aplicações de proteção.
Detecção é a melhor receita para evitar essas invasões e dessa forma é sempre melhor começar cedo e não compartilhar o que você está fazendo. No caso do Pokémon Go, é óbvio que a aplicação agora inclui um mecanismo de prevenção porque o dado que está sendo usado não pode mais ser acessado.
Na maioria das aplicações, é melhor usar a tecnologia RASP (Runtime Application Self Protection) que protege contra invasões cada vez que a aplicação é aberta ou começa a rodar no telefone. Quando a RASP verifica o sistema e acusa alguma anormalidade, então basta simplesmente sair do aplicativo e não deixar o hacker saber que algo foi encontrado.
Mesmo se há o comprometimento do sistema e o atacante pode acessar a aplicação, a RASP pode oferecer tecnologias adicionais para auxiliar a prevenir os tipos de ataques comuns no Pokémon Go. Isso ocorre no momento em que o hacker pode manipular a biblioteca do GPS e injetar a sua própria. Ao empregar a solução RASP, a aplicação é capaz de detectar essa biblioteca falsa, impedindo a aplicação de rodar o programa fraudulento.
Nenhuma solução é à prova de falhas e nenhuma plataforma está livre de ser atacada. Todos os dias novos ataques são executados e todos os dias novas soluções são desenvolvidas. Tecnologias como a RASP irão auxiliar o novo ecossistema de aplicações móveis a se proteger e tornar mais fácil a vida de um desenvolvedor de aplicações.
* diretor de Serviços da Vasco Data Security
Acesse os outros sites da VideoPress
Portal Vida Moderna – www.vidamoderna.com.br
Radar Nacional – www.radarnacional.com.br
–
