開發人員錯誤配置數據庫，致1億用戶數據泄露

近日，Check Point研究人員發現：過去幾個月，共有23個APP的手機應用開發者在配置和融入第三方云服務時，沒有遵循最佳實踐導致開發者內部資源數據和用戶個人數據處于危險中。大多數APP下載量超過1000萬，累計有超過1億用戶數據泄露，包括郵件地址、密碼、隱私會話、設備位置、用戶id等敏感信息。

實時數據庫可以讓應用開發者在云端保存數據，確保與每個連接的客戶端實時同步。該服務可以解決應用開發過程中的許多問題，確保數據庫支持所有的客戶端平臺。但研究人員發現許多應用開發者并沒有配置實時數據庫的基本功能——認證。

研究人員發現，從這些開放的數據庫中可以恢復出郵件地址、密碼、隱私會話、設備位置、用戶id等敏感信息。如果惡意攻擊者獲得了這些數據的訪問權限，就可能引發欺詐、身份竊取等惡意行為。

云服務是開發者或安裝的應用用來分享文件的一種很好的解決方案。比如，兩個APP可以通過云服務共享截圖信息。但如果開發者將密鑰和訪問密鑰嵌入到服務中，那么通過云服務共享數據也可能會引發風險。研究人員分析發現，通過應用的文件，可以恢復出授予云服務文件訪問權限的密鑰。

許多開發者也知道在應用中存儲云服務秘鑰是不安全的。研究人員分析多個APP發現，許多開發者嘗試通過一些方法來進行補救，但是并沒有修復密鑰存儲的問題。比如，Jadx應用用base64編碼來隱藏密鑰，但是base64解碼非常容易，此外甚至不需要解碼，只需要復制base64編碼的秘鑰就可以訪問對應的內容。

新網云數據庫通過IP白名單授權機制，嚴格管控訪問源。支持通過VPC來獲取更高程度的網絡訪問控制，為企業的業務數據提升安全性，豐富的運維功能，大幅降低運維成本 通過數據庫運行狀態一目了然，按需定制監控策略，讓企業更專注業務發展。支持主備切換，故障秒級恢復。緊隨業務發展，盡情享受云計算所帶來的靈活體驗：http://www.xinnet.com/cs/rds.html