Nền tảng của các biện pháp bảo mật tốt bắt đầu từ tổ chức của bạn.
Tạo nhóm bảo mật và quyền riêng tư
Tạo một nhóm chuyên trách về bảo mật và quyền riêng tư, đồng thời thiết lập người lãnh đạo cho tổ chức này.
- Xây dựng đội an ninh.
- Đảm bảo ít nhất một nhân viên chịu trách nhiệm về bảo mật, quyền riêng tư và ứng phó sự cố.
- Xác định sứ mệnh và phạm vi cho nhóm này.
- Xây dựng sơ đồ tổ chức và mô tả công việc cho: Giám đốc An ninh, Kỹ sư An ninh, Người quản lý Sự cố.
- Thuê nhân viên hoặc nhà thầu bên ngoài để đảm nhận những vai trò này.
- Xác định vòng đời phát triển bảo mật (SDL) . SDL của bạn phải bao gồm các lĩnh vực sau:
- Yêu cầu bảo mật cho sản phẩm.
- Phân tích rủi ro và mô hình mối đe dọa.
- Phân tích tĩnh và động của ứng dụng và mã.
- Quy trình xem xét bảo mật cuối cùng cho sản phẩm.
- Ứng phó sự cố.
- Đánh giá rủi ro tổ chức . Tạo đánh giá rủi ro và phát triển các kế hoạch để loại bỏ hoặc giảm thiểu những rủi ro đó.
Xây dựng quy trình xác minh
Đánh giá các lỗ hổng trong quy trình phê duyệt và xác minh bản dựng nội bộ hiện có của bạn.
- Xác định bất kỳ lỗ hổng nào trong quy trình xác minh bản dựng hiện tại của bạn có thể dẫn đến việc đưa Ứng dụng có khả năng gây hại (PHA) vào bản dựng của bạn.
- Đảm bảo bạn có quy trình phê duyệt và đánh giá mã, ngay cả đối với các bản vá nội bộ cho AOSP .
- Cải thiện tính toàn vẹn của bản dựng bằng cách triển khai các biện pháp kiểm soát trong các lĩnh vực sau:
- Theo dõi các thay đổi . Theo dõi kỹ sư phần mềm; giữ nhật ký thay đổi.
- Đánh giá rủi ro . Đánh giá các quyền được ứng dụng sử dụng; yêu cầu xem xét thủ công các thay đổi mã.
- Màn hình . Đánh giá các thay đổi được thực hiện đối với mã đặc quyền.
Theo dõi thay đổi mã nguồn
Giám sát các sửa đổi ngoài ý muốn của mã nguồn hoặc ứng dụng/nhị phân/SDK của bên thứ ba.
- Đánh giá quan hệ đối tác . Đánh giá rủi ro khi làm việc với đối tác kỹ thuật bằng các bước sau:
- Thiết lập các tiêu chí về cách đánh giá rủi ro khi làm việc với một nhà cung cấp cụ thể.
- Tạo một biểu mẫu hỏi nhà cung cấp cách họ giải quyết sự cố cũng như quản lý bảo mật và quyền riêng tư.
- Xác minh các yêu cầu của họ bằng một cuộc kiểm toán định kỳ.
- Theo dõi các thay đổi . Ghi lại những công ty và nhân viên sửa đổi mã nguồn và tiến hành kiểm tra định kỳ để đảm bảo chỉ những thay đổi phù hợp mới diễn ra.
- Giữ hồ sơ . Ghi lại những công ty nào thêm các tệp nhị phân của bên thứ ba vào bản dựng của bạn và ghi lại chức năng mà các ứng dụng đó thực hiện cũng như dữ liệu chúng thu thập.
- Cập nhật kế hoạch . Đảm bảo rằng nhà cung cấp của bạn được yêu cầu cung cấp các bản cập nhật phần mềm trong suốt vòng đời sản phẩm của bạn. Các lỗ hổng không lường trước được có thể yêu cầu hỗ trợ từ nhà cung cấp để giải quyết.
Xác thực tính toàn vẹn của mã nguồn và phả hệ
Kiểm tra và xác thực mã nguồn do nhà sản xuất thiết bị gốc (ODM), bản cập nhật qua mạng (OTA) hoặc nhà cung cấp dịch vụ cung cấp.
- Quản lý việc ký chứng chỉ .
- Lưu trữ khóa trong mô-đun bảo mật phần cứng (HSM) hoặc dịch vụ đám mây bảo mật (không chia sẻ chúng).
- Đảm bảo quyền truy cập vào chứng chỉ ký được kiểm soát và kiểm tra.
- Yêu cầu tất cả việc ký mã phải được thực hiện trong hệ thống xây dựng của bạn.
- Thu hồi chìa khóa bị mất.
- Tạo khóa bằng cách sử dụng các phương pháp hay nhất.
- Phân tích mã mới . Kiểm tra mã mới được thêm bằng các công cụ phân tích mã bảo mật để kiểm tra sự xuất hiện của các lỗ hổng mới. Ngoài ra, hãy phân tích chức năng tổng thể để phát hiện biểu hiện của các lỗ hổng mới.
- Xem xét trước khi xuất bản . Tìm kiếm các lỗ hổng bảo mật trong mã nguồn và ứng dụng của bên thứ ba trước khi bạn đưa chúng vào sản xuất. Ví dụ:
- Yêu cầu các ứng dụng sử dụng liên lạc an toàn.
- Tuân theo nguyên tắc đặc quyền tối thiểu và cấp bộ quyền tối thiểu cần thiết để ứng dụng hoạt động.
- Đảm bảo dữ liệu được lưu trữ và truyền qua các kênh an toàn.
- Luôn cập nhật các phần phụ thuộc của dịch vụ.
- Áp dụng các bản vá bảo mật cho SDK và thư viện nguồn mở.
Ứng phó sự cố
Android tin vào sức mạnh của một cộng đồng bảo mật mạnh mẽ có thể giúp tìm ra sự cố. Bạn nên tạo và công khai cách thức để các bên bên ngoài liên hệ với bạn về các vấn đề bảo mật dành riêng cho thiết bị.
- Thiết lập liên lạc . Tạo một địa chỉ email, chẳng hạn như your-company hoặc một trang web có hướng dẫn rõ ràng về cách báo cáo các vấn đề bảo mật tiềm ẩn liên quan đến sản phẩm của bạn ( ví dụ ).
- Thiết lập Chương trình Phần thưởng Lỗ hổng (VRP) . Khuyến khích các nhà nghiên cứu bảo mật bên ngoài gửi báo cáo về lỗ hổng bảo mật ảnh hưởng đến sản phẩm của bạn bằng cách đưa ra phần thưởng bằng tiền cho những bài gửi hợp lệ ( ví dụ ). Chúng tôi khuyên bạn nên thưởng cho các nhà nghiên cứu những phần thưởng có tính cạnh tranh trong ngành, chẳng hạn như 5.000 USD cho các lỗ hổng có mức độ nghiêm trọng nghiêm trọng và 2.500 USD cho các lỗ hổng có mức độ nghiêm trọng cao.
- Đóng góp những thay đổi ngược dòng . Nếu bạn biết có sự cố bảo mật ảnh hưởng đến nền tảng Android hoặc thiết bị của nhiều nhà sản xuất thiết bị, hãy liên hệ với Nhóm bảo mật Android bằng cách gửi báo cáo lỗi bảo mật .
- Thúc đẩy thực hành bảo mật tốt . Chủ động đánh giá các biện pháp bảo mật của các nhà cung cấp phần cứng và phần mềm cung cấp dịch vụ, thành phần và/hoặc mã cho thiết bị của bạn. Yêu cầu các nhà cung cấp chịu trách nhiệm duy trì tình trạng bảo mật tốt.