طرح رتبه بندی اپلیکیشن بومی
تا دو ماه آینده و با همکاری پلیس فتا؛ طرح رتبه بندی اپلیکیشن های بومی اجرایی می شود
«برای حفظ حریم خصوصی و جلوگیری از بروز مشکلات کاربران بخصوص در حوزه امنیت سایبری و انواع دسترسی‌ها (مانند گالری، دفترچه تلفن، لوکیشن و میکروفن) طرح رتبه‌بندی اپلیکیشن‌های بومی تلفن همراه با همکاری پلیس فتا تا دو ماه دیگر نهایی میشود. ابوالقاسم صادقی، معاون امنیت سازمان فناوری اطلاعات ایران با اعلام این خبر گفت: قصدمان این است که اپ استورها و توسعه دهندگان اپلیکیشن، نسبت به عرضه نرم‌افزارهای کاربردی متعهدتر عمل کنند و کاربران نیز در استفاده از آن، آگاه‌تر شوند.»
در پی اعلام این خبر، روزنامه ایران به سراغ فعالان حوزه امنیت سایبری و برنامه‌نویسان رفت و نظر آنها را درباره این طرح جویا شد.
ارتقای اجباری امنیت سایبری اپ‌ها
کاظم فلاحی، کارشناس امنیت سایبری معتقد است که این طرح حرکت زیبایی است، چرا که این اقدام برای آگاهی دهی کاربران بسیار عالی و مفید است.
فلاحی با بیان اینکه حداقل کاربران با این کار می‌دانند کدام یک از اپ‌ها دارای چه رتبه ای در مراتب امنیت سایبری هستند، به «ایران» گفت: کاربری که تخصص ندارد، با مشاهده امتیازهایی که از نظر امنیتی و… برای یک اپ در نظر گرفته میشود براحتی تصمیم می‌گیرد که آن اپ را نصب کند یا نه، بنابراین اگر دارای امتیاز پایینی باشد، آن را دانلود نکرده و به سراغ برنامه‌ای مشابه با امنیت سایبری بالاتری می‌رود.
وی افزود: اگر این طرح عملیاتی شود، مهم‌ترین اتفاقی که روی خواهد داد این است که صاحبان اپ‌ها مجبور می‌شوند برای نصب بیشتر اپ خود از سوی کاربران، امنیت سایبری خود را ارتقا دهند تا در این راستا رتبه خوبی دریافت کنند. اکنون کسب و کارهای زیادی نیز دارای اپ هستند و با اینکه برای تبلیغات بیلبوردی آن هزینه‌های میلیاردی صرف می‌کنند ولی حاضر نیستند ریالی برای بخش امنیت سایبری و برای حفاظت از داده‌های شخصی کاربران خود هزینه کنند. آنها با اجرایی شدن این اقدام متوجه می‌شوند که اگر امنیت برنامه خود را ارتقا ندهند، کاربران آن را دانلود نمی‌کنند.این کارشناس امنیت سایبری معتقد است از آنجایی که در کشور ما اگر اطلاعات کاربران فاش شود قوانین سختگیرانه‌ای برای پیگیری مسئولان مربوطه و به دادگاه کشاندن آنها وجود ندارد، این اقدام می‌تواند تا حدی مانع از افشاگری اطلاعات کاربران شود.
فلاحی گفت: البته فروشگاه‌های برنامه‌های موبایلی، اپ‌ها را قبل از انتشار در فروشگاه خود، از بعد امنیت سایبری بررسی می‌کنند اما از آنجایی که حجم برنامه‌های ارسالی برای انتشار بالاست، بنابراین طبیعی است که نتوانند به صورت کامل و جامع بر این بخش نظارت داشته باشند.
وی با بیان اینکه باید ضمانت اجرایی قوی را برای متخلفان امنیت سایبری در نظر بگیرند، افزود: از آنجایی که برخی از کسب و کارها دارای کاربران زیادی هستند و این برنامه‌ها جزئی از زندگی روزمره مردم شده است، نمی‌توان به دلیل ارتقا ندادن امنیت سایبری، آن کسب و کار را متوقف کرد پس بهتر است ضمانت اجرایی، تعیین جریمه‌های مالی سنگین باشد.
این کارشناس امنیت سایبری اعتقاد دارد بهتر است دستگاه‌های بالادستی کسب و کارهای اینترنتی نیز برای بخش استارتاپ‌های حوزه خود تست نفوذ اجباری دوره‌ای در نظر بگیرند. دقیقاً کاری که بانک مرکزی از بانک‌ها می‌خواهد تا هر سه ماه یکبار تست نفوذ انجام دهند تا از منظر امنیتی تست شوند و اگر مشکلی بود آن را رفع کنند و امنیت اپلیکیشن خود را ارتقا دهند. اگر تمام دستگاه‌های بالادستی این قانون را عملیاتی کنند، در بحث جلوگیری از آسیب پذیری‌ها چند گام به جلو حرکت می‌کنیم.
وی افزود: البته کسب و کارها می‌توانند برای ارتقای امنیت کسب و کار خود عضو پلتفرم‌های باگ بانتی شوند تا هکرهای کلاه سفید تست نفوذ انجام داده و در صورت داشتن باگ آن را رفع کرده و رتبه خوبی در بخش امنیت سایبری دریافت کنند.
پارسا یوسفی، دیگر کارشناس حوزه امنیت سایبری نیز این طرح را اقدام مثبتی عنوان کرد و به «ایران» گفت: اگر چنین طرحی اجرا شود، اپ‌های دارای بدافزار شناسایی می‌شوند و از اعتبار آنها کاسته میشود.
یوسفی افزود: پیش از این در کشور ما و در اپ استورها، خیلی به این موضوع پرداخته نمی‌شد و قانون هم پیگیر نبود، از این رو خسارت‌های زیادی با نصب و دانلود اپ‌های ناامن به شهروندان و بخصوص در تلفن همراه و به حریم خصوصی افراد وارد می‌شد.
وی گفت: در زمینه اجرا و شناسایی بدافزارها و نرم افزارها باید مارکت‌های ایرانی بازوی اجرایی باشند و ناظر قضیه پلیس فتا و سازمان فناوری اطلاعات باشد.
کاهش آسیب‌پذیری‌ها
علی رضایی، دیگر کارشناس حوزه امنیت سایبری نیز با بیان اینکه دفاع و صیانت از کاربران در فضای مجازی و نظارت فنی بر امنیت ابزارهای کاربردی از کارکردهای اصلی حاکمیت است، به «ایران» گفت: این طرح در دو لایه آسیب‌پذیری‌های امنیتی برنامه‌های کاربردی تلفن همراه و دسترسی‌هایی که این برنامه‌ها در زمان اجرا دریافت می‌کنند، دنبال میشود. اول اینکه این طرح گام مؤثری در حفظ امنیت کاربران است. دوم اینکه با ارزیابی قابلیت‌های امنیتی برنامه‌های کاربردی، این اطمینان حاصل میشود که مکانیسم های امنیتی لازم در اپلیکیشن بخوبی پیاده‌سازی شده است و هم برنامه‌ها در برابر حملات بدافزارها مقاوم است، هم اینکه خود اپلیکیشن‌ها بدافزار نیستند بنابراین کاربر از هر دو تهدید در امان می‌ماند.
رضایی افزود: در ادبیات عمومی امنیت، قاعده‌ای با عنوان «حداقل دسترسی مجاز» داریم و با این طرح تنها دسترسی‌های مجاز برای برنامه مورد نظر قابل اجرا میشود و اگر برنامه‌ای نیازی به فعال شدن دوربین تلفن همراه نداشت، بنابراین آن دسترسی باید از برنامه مورد نظر حذف شود.
وی در ادامه گفت: این طرح برای آگاهی‌رسانی به کاربران مفید است. به طور مشخص، کاربر در زمان دریافت یک برنامه از فروشگاه برنامه‌های موبایلی، باید نشان امنیت و رتبه‌بندی برنامه‌کاربردی را مشاهده و اطمینان پیدا کند محصولی که در حال نصب آن است حداقل معیارهای مرتبط در آن رعایت شده است.
این کارشناس امنیت سایبری با بیان اینکه این طرح به ضمانت اجرایی نیاز دارد، گفت: همه چیز بستگی به سازوکار و روش اجرایی این رتبه‌بندی دارد. کاربران باید اطمینان حاصل کنند که یک برنامه کاربردی رتبه‌بندی شده، در هر به‌روزرسانی و تحت هر شرایطی، تهدیدی برای امنیت و حریم خصوصی آنها نیست.
وی افزود: به خصوص در برنامه‌های کاربردی مثل تاکسی‌های اینترنتی که اطلاعات شخصی کاربران نظیر آدرس‌های رفت و آمد و… ثبت میشود، بجز سطح فنی، به شکل حقوقی نیز نیازمند ضمانت‌های اجرایی است. به عبارتی برنامه کاربردی بجز سطح کاربر، در سطح سرور نیز داده‌های حریم خصوصی و امنیتی کاربران ذخیره میشود. ممکن است در زمان ارزیابی و رتبه‌بندی، امنیت لازم سرورهای ذخیره اطلاعات تأمین شده باشد، اما نیاز است با اخذ یک تعهد حقوقی از توسعه‌دهنده، از عدم انتشار داده‌های کاربران در طول چرخه عمر محصول نیز اطمینان حاصل شود.
رضایی با بیان اینکه این نوع رتبه‌بندی‌ها نیز در دنیا رعایت میشود، افزود: آزمایشگاه‌هایی در دنیا وجود دارند که اقدام به ارزیابی امنیتی برنامه‌های کاربردی تلفن همراه می‌کنند. همچنین نهادهایی وجود دارند که اقدام به طراحی و توسعه استانداردهای امنیتی و روش تست برنامه‌های کاربردی تلفن همراه می‌کنند. مثلاً بنیاد OWASP که به شکل تخصصی نیازمندی‌های امنیتی برنامه‌های کاربردی را بررسی و تهدیدات مرتبط را اعلام می‌کند.
۱۰ تهدید اصلی برنامه‌های کاربردی تلفن همراه را اعلام کرده که شامل استفاده ناامن از پلتفرمی که برنامه در بستر آن کار می‌کند، ذخیره ناامن داده‌ها، ارتباطات شبکه‌ای ناامن، اعتبارسنجی ناامن، رمزنگاری ناکافی، کنترل دسترسی ناامن، برنامه‌نویسی ناامن در سطح برنامه کاربردی، آسیب‌پذیری کد برنامه در برابر حملات فیشینگ و بدافزارها، امکان مهندسی معکوس کد برنامه و وجود قابلیت‌های اضافه و مخفی از دید کاربر که توسط نفوذگر قابل سوءاستفاده است، می شود.
عماد رحمانی فعال بازی‌ساز، این طرح را اقدامی خوب و مثبت عنوان کرد و گفت: رتبه بندی اپ‌ها بخصوص از منظر امنیتی و برای جلوگیری از آسیب پذیری برای کاربرانی که با این موارد آشنایی و تخصص کمی دارند و به عبارتی کاربران عام هستند، مفید خواهد بود.رحمانی با بیان اینکه به نظر می‌رسد سازمان فناوری اطلاعات با همکاری پلیس فتا می‌خواهد طرح گسترده‌تری را درخصوص بحث دسترسی‌ها و امنیت کاربران اجرا کند، افزود: ولی معمولاً بیشتر فروشگاه‌های برنامه‌های موبایلی خود محدودیت‌هایی برای دسترسی‌ها هنگام انتشار برنامه‌ها اعمال می‌کنند و هر برنامه‌ای که قرار است از سوی فروشگاه‌های برنامه‌های موبایلی منتشر شود باید درباره تمام دسترسی‌ها توضیح دهد که البته معمولاً نظارت نسبی دارند.
وی افزود: اما به نظر می‌رسد باید ضمانت اجرایی خوبی برای عملیاتی شدن این طرح در نظر بگیرند. از سوی دیگر باید ساختاری تعریف شود که پروسه زمانبر و هزینه‌بر نباشد و فروشگاه‌ها بتوانند آنها را با نظارت دولت و پلیس به راحتی انجام دهند تا بتوان اپلیکیشن‌های با امنیت بالا را به دست کاربران رساند تا کمتر دچار آسیب پذیری شده و اطلاعات آنها که بیشتر در تلفن همراه خود ذخیره می‌کنند، لو نرود.