Nền tảng của các phương pháp bảo mật hiệu quả bắt đầu từ tổ chức của bạn.
Tạo nhóm bảo mật và quyền riêng tư
Tạo một nhóm chuyên trách về bảo mật và quyền riêng tư, đồng thời chỉ định một người đứng đầu cho tổ chức này.
- Tạo nhóm bảo mật.
- Đảm bảo ít nhất một nhân viên chịu trách nhiệm về bảo mật, quyền riêng tư và phản hồi sự cố.
- Xác định sứ mệnh và phạm vi cho nhóm này.
- Xây dựng sơ đồ tổ chức và mô tả công việc cho: Nhà quản lý bảo mật, kỹ sư bảo mật, nhà quản lý sự cố.
- Thuê nhân viên hoặc nhà thầu bên ngoài để đảm nhận các vai trò này.
- Xác định vòng đời phát triển bảo mật (SDL). SDL của bạn phải bao gồm các khía cạnh sau:
- Yêu cầu về bảo mật đối với sản phẩm.
- Phân tích rủi ro và mô hình hoá mối đe doạ.
- Phân tích tĩnh và động của ứng dụng và mã.
- Quy trình xem xét bảo mật cuối cùng cho sản phẩm.
- Ứng phó sự cố.
- Đánh giá rủi ro tổ chức. Tạo quy trình đánh giá rủi ro và phát triển kế hoạch để loại bỏ hoặc giảm thiểu những rủi ro đó.
Quy trình xác minh bản dựng
Đánh giá những thiếu sót trong quy trình phê duyệt và xác minh bản dựng nội bộ hiện tại.
- Xác định mọi lỗ hổng trong quy trình xác minh bản dựng hiện tại có thể dẫn đến việc đưa Ứng dụng có khả năng gây hại (PHA) vào bản dựng.
- Đảm bảo bạn có quy trình xem xét và phê duyệt mã, ngay cả đối với các bản vá nội bộ cho AOSP.
- Cải thiện tính toàn vẹn của bản dựng bằng cách triển khai các chế độ kiểm soát trong những lĩnh vực sau:
- Theo dõi các thay đổi. Theo dõi kỹ sư phần mềm; ghi nhật ký thay đổi.
- Đánh giá rủi ro. Đánh giá các quyền mà ứng dụng sử dụng; yêu cầu xem xét các thay đổi về mã theo cách thủ công.
- Theo dõi. Đánh giá các thay đổi đối với mã đặc quyền.
Theo dõi thay đổi mã nguồn
Theo dõi các nội dung sửa đổi ngoài ý muốn đối với mã nguồn hoặc ứng dụng / tệp nhị phân / SDK của bên thứ ba.
- Đánh giá mối quan hệ đối tác. Đánh giá rủi ro khi làm việc với một đối tác kỹ thuật bằng cách làm theo các bước sau:
- Thiết lập tiêu chí để đánh giá rủi ro khi làm việc với một nhà cung cấp cụ thể.
- Tạo một biểu mẫu để hỏi nhà cung cấp về cách họ giải quyết các sự cố và quản lý tính bảo mật và quyền riêng tư.
- Xác minh thông báo xác nhận quyền sở hữu của họ bằng quy trình kiểm tra định kỳ.
- Theo dõi các thay đổi. Ghi lại những công ty và nhân viên chỉnh sửa mã nguồn, đồng thời tiến hành kiểm tra định kỳ để đảm bảo chỉ có những thay đổi thích hợp mới diễn ra.
- Giữ lại hồ sơ. Ghi lại những công ty nào thêm tệp nhị phân của bên thứ ba vào bản dựng của bạn và ghi lại chức năng mà các ứng dụng đó thực hiện cũng như dữ liệu mà các ứng dụng đó thu thập.
- Lập kế hoạch cập nhật. Đảm bảo rằng nhà cung cấp của bạn phải cung cấp bản cập nhật phần mềm trong suốt thời gian hoạt động của sản phẩm. Các lỗ hổng không lường trước có thể cần đến sự hỗ trợ của nhà cung cấp để giải quyết.
Xác thực tính toàn vẹn và nguồn gốc của mã nguồn
Kiểm tra và xác thực mã nguồn do nhà sản xuất thiết bị gốc (ODM), bản cập nhật qua mạng không dây (OTA) hoặc nhà mạng cung cấp.
- Quản lý chứng chỉ ký.
- Lưu trữ khoá trong mô-đun bảo mật phần cứng (HSM) hoặc dịch vụ đám mây bảo mật (không chia sẻ khoá).
- Đảm bảo quyền truy cập vào chứng chỉ ký được kiểm soát và kiểm tra.
- Yêu cầu tất cả các hoạt động ký mã phải được thực hiện trong hệ thống xây dựng.
- Thu hồi khoá bị mất.
- Tạo khoá bằng các phương pháp hay nhất.
- Phân tích mã mới. Kiểm thử mã mới thêm bằng các công cụ phân tích mã bảo mật để kiểm tra xem có lỗ hổng mới hay không. Ngoài ra, hãy phân tích chức năng tổng thể để phát hiện biểu hiện của các lỗ hổng mới.
- Kiểm tra trước khi xuất bản. Tìm các lỗ hổng bảo mật trong mã nguồn và ứng dụng bên thứ ba trước khi đẩy các ứng dụng đó vào phiên bản chính thức. Ví dụ:
- Yêu cầu ứng dụng sử dụng phương thức giao tiếp bảo mật.
- Tuân thủ nguyên tắc về đặc quyền tối thiểu và cấp bộ quyền tối thiểu cần thiết để ứng dụng hoạt động.
- Đảm bảo dữ liệu được lưu trữ và chuyển qua các kênh bảo mật.
- Luôn cập nhật các phần phụ thuộc dịch vụ.
- Áp dụng các bản vá bảo mật cho SDK và thư viện nguồn mở.
Ứng phó với sự cố
Android tin tưởng vào sức mạnh của một cộng đồng bảo mật vững mạnh để giúp phát hiện vấn đề. Bạn nên tạo và công bố cách thức để các bên bên ngoài liên hệ với bạn về các vấn đề bảo mật dành riêng cho thiết bị.
- Thiết lập mối liên hệ. Tạo một địa chỉ email, chẳng hạn như security@your-company.com hoặc một trang web có hướng dẫn rõ ràng để báo cáo các vấn đề bảo mật tiềm ẩn liên quan đến sản phẩm của bạn (ví dụ).
- Thành lập Chương trình phần thưởng phát hiện lỗ hổng bảo mật (VRP). Khuyến khích các nhà nghiên cứu bảo mật bên ngoài gửi báo cáo lỗ hổng bảo mật ảnh hưởng đến sản phẩm của bạn bằng cách trao thưởng bằng tiền cho những báo cáo hợp lệ (ví dụ). Bạn nên thưởng cho các nhà nghiên cứu bằng các phần thưởng cạnh tranh trong ngành, chẳng hạn như 5.000 đô la cho các lỗ hổng có mức độ nghiêm trọng là Critical (Cực kỳ nghiêm trọng) và 2.500 đô la cho các lỗ hổng có mức độ nghiêm trọng là High (Cao).
- Góp phần thay đổi nguồn cấp dữ liệu. Nếu bạn phát hiện thấy một vấn đề bảo mật ảnh hưởng đến nền tảng Android hoặc thiết bị của nhiều nhà sản xuất thiết bị, hãy liên hệ với Nhóm bảo mật Android bằng cách gửi báo cáo lỗi bảo mật.
- Truyền bá các phương pháp bảo mật hiệu quả. Chủ động đánh giá các phương pháp bảo mật của nhà cung cấp phần cứng và phần mềm cung cấp dịch vụ, thành phần và/hoặc mã cho thiết bị của bạn. Yêu cầu nhà cung cấp chịu trách nhiệm duy trì trạng thái bảo mật tốt.