Sie befinden sich hier:
Einstellungen und Richtlinien für Push-Benachrichtigungen für Mobilgeräte: Mobile Push-Sicherheitssteuerung
Das Steuerelement richtet eine sichere Architektur für die Übertragung von Außer-Band-Benachrichtigungen an Mobilgeräte ein, indem es die von Benachrichtigungsservices verwendeten Inhalts-, Verschlüsselungs- und Zustellungsprotokolle regelt.
Steuerelementname
Externe Client-Anwendungen: Einstellungen und Richtlinien für Push-Benachrichtigungen für Mobilgeräte: Mobile Push-Sicherheit
Empfohlene Konfiguration
Richten Sie Push-Benachrichtigungen für die mobile Anwendung ein.
Steuerelementübersicht
Das Steuerelement richtet eine sichere Architektur für die Übertragung von Außer-Band-Benachrichtigungen an Mobilgeräte ein, indem es die von Benachrichtigungsservices verwendeten Inhalts-, Verschlüsselungs- und Zustellungsprotokolle regelt.
Sicherheitsrisiko, wenn nicht konfiguriert
Das Fehlen einer definierten Push-Benachrichtigungsrichtlinie erhöht die Wahrscheinlichkeit, dass sensible Daten durch Klartextnutzlasten verloren gehen, die auf gesperrten Gerätebildschirmen angezeigt oder über unsichere Zustellungskanäle abgefangen werden.
Bedrohungsszenarien
Eine nicht autorisierte Person kann vertrauliche Transaktionsdetails oder Multi-Faktor-Authentifizierungscodes direkt auf dem Bildschirm der Gerätesperre anzeigen, ohne dass eine physische Authentifizierung für das Mobilteil erforderlich ist.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn der Benachrichtigungsinhalt nicht geschützt wird, kann dies zu einer Verletzung der Vertraulichkeit vertraulicher Informationen führen, was möglicherweise zu Identitätsdiebstahl, Accountübernahme oder Nichteinhaltung der Datenschutzbestimmungen führen kann.
Höheres Risiko, wenn
Die Risikostufen erhöhen sich, wenn Benachrichtigungsnutzlasten personenbezogene Daten enthalten oder wenn die Anwendung Nachrichtenvorschauen nicht maskiert, während sich das Gerät in einem gesperrten Zustand befindet.
Geringes Risiko, wenn
Das Risiko wird reduziert, wenn die Anwendung nur generische Pings sendet, bei denen der Benutzer sich in der Anwendung authentifizieren muss, um den tatsächlich vertraulichen Inhalt anzuzeigen, oder wenn die Nutzlast durchgängig verschlüsselt ist.
Überlegungen zu Unternehmen und Integration
Für die Einrichtung dieser Richtlinien ist eine Koordinierung zwischen Backend-Benachrichtigungsservern und APIs für mobile Betriebssysteme erforderlich, was sich auf Kennzahlen zum Benutzerengagement und die Aktualität wichtiger Benachrichtigungen auswirken kann.
Empfohlene Sanierung
Implementieren Sie eine Richtlinie, die sensible Daten in Push-Nutzlasten einschränkt und die Anwendung so konfiguriert, dass allgemeine Platzhalter für Benachrichtigungen verwendet werden, die auf dem Sperrbildschirm auf Systemebene angezeigt werden.
Anleitung zur Sicherheitsintegritätsprüfung
Halten Sie sich an sichere Messaging-Prinzipien, indem Sie festlegen, dass Push-Benachrichtigungen nur als Signalisierungsmechanismus und nicht als primärer Transport für sensible Daten oder kryptografische Geheimnisse dienen.
