CSRF в мобильных приложениях

Ситуация:

Алиса использует веб-сайт онлайн-банкинга, в котором хранится файл cookie ее учетных данных.

До истечения срока действия файла cookie Eve отправляет Алисе злонамеренный URL-адрес, который впоследствии заставляет Алису снимать деньги со своего банковского счета и отправлять его в Eve.

Это общий пример CSRF для веб-приложений, но насколько это возможно сделать в мобильном приложении?

Что делать, если Алиса использует банковское приложение на своем телефоне, где хранится файл cookie, а затем посещает сайт от Eve, который имеет аналогичный результат?

Будет ли cookie на мобильном устройстве Alice из родного (или гибридного) приложения уязвимым для манипуляции или эти куки обычно как-то песка помещаются на устройстве?

Я бы предположил, что файлы cookie на iOS, Android и т.д. работают так же, как обычный браузер, но на самом деле это так?

EDIT:

Первоначально этот вопрос должен был быть общим для всех мобильных устройств. Я думаю, что даже что-то вроде создания cookie в JavaScript, а затем с помощью PhoneGap или Titanium. Прочитав больше в этом, мне также интересно, если компиляция JavaScript с использованием одной из этих других технологий повлияет на куки файлы собственных устройств и их сохранение.

Основным моментом использования файлов cookie было бы поддерживать учетные данные пользователя, чтобы им не приходилось каждый раз выходить из системы и регистрироваться в своем банковском счете. Прочитав больше об этой проблеме, кажется, что для каждого конкретного устройства существуют разные сценарии, и на самом деле это возможно для CSRF-приложения. Например, Общие предпочтения в Android помечены в песочнице, чтобы другие приложения не обращались к значениям.

Ответ 1

Будет ли cookie на мобильном устройстве Alice из родного (или гибридного) приложения уязвимым для манипуляции или эти куки обычно как-то песка помещаются на устройстве?

Атака CSRF включает одно приложение: браузер. Предлагаемая атака включает в себя два отдельных приложения: банковское приложение и браузер.

Вообще говоря, отдельные приложения являются отдельными. Safari не делит данные с Firefox, даже если оба установлены на одном компьютере OS X. Теперь могут быть ошибки в том или ином, которые могут позволить JS иметь неограниченный доступ к файловой системе ОС и, следовательно, разрешить веб-сайту в Safari получать доступ к данным Firefox (или наоборот), но это не связано с CSRF.c

То же самое относится к любым отдельным приложениям на любой современной ОС.

Даже такое, как создание cookie в JavaScript, а затем использование PhoneGap или Titanium может быть релевантным, я считаю.

На самом деле, не более того, Safari, где есть файлы cookie и Firefox с кукисами, каким-то образом связаны.

на самом деле возможно CSRF приложение

Вы можете представить доказательства своих заявлений или предоставить свое личное определение CSRF, которое будет охватывать такие сценарии, как Safari, атакующие Firefox.

В качестве примера, Shared Preferences на Android помечены в песочнице, чтобы другие приложения не могли получить доступ к значениям.

Правильно. Это имеет мало общего с CSRF.

В случае Android, похоже, что то, как вы создаете и храните файлы cookie, имеет значение в атаке и может иметь уязвимости.

Опять же, вы можете предоставить доказательства своих заявлений или предоставить свое личное определение CSRF, которое будет охватывать такие сценарии, как Safari, атакующие Firefox.

хотя физический доступ к устройству приводит к проблеме безопасности

Имея технологию телепортера, которая позволила бы CSRF заставить мобильное устройство физически изменять свое местоположение и, следовательно, оказывать влияние на физический доступ, еще не разработана.

Ответ 2

Веб-браузеры и приложения не используют один и тот же хранилище файлов cookie, поэтому атаки CSRF таким образом не могут быть возможными. Приложения также могут использовать веб-представление, но каждый веб-просмотр имеет свой собственный магазин cookie [1], поэтому атака CSRF между двумя приложениями также невозможна.

Из чтения [2] видно, что можно хранить файлы cookie в файловой системе, которые могут использоваться как вектор атаки через другое приложение, но не через веб-браузер.

[1] http://developer.appcelerator.com/question/123991/cookie-sharing-between-defaultnative-browser-and-webviews-in-an-app

[2] http://developer.android.com/reference/android/webkit/CookieManager.html