آیا امنیت اپلیکیشن‌های بانکی و پرداخت را جدی گرفته‌ایم؟ / اپلیکیشن‌های جعلی تنها یک هشدار هستند

میلاد یداللهی، مدیر عامل شرکت آشنا ایمن / این یادداشت را با مرور یک خاطره مربوط به چهار سال پیش از یک جلسه در خصوص امنیت اپلیکیشن همراه بانک دریکی از بانک‌های شناخته‌شده کشور شروع می‌کنم. جلسه با حضور بنده به‌عنوان مشاور امنیت، به همراه تیم توسعه موبایل و به درخواست واحد امنیت اطلاعات بانک، پیرو گزارش آسیب‌پذیری‌های امنیتی کشف‌شده روی همراه بانک تشکیل می‌شد. مرور گزارش ارزیابی امنیتی اپلیکیشن مذکور، باوجود آسیب‌پذیری‌های متنوع و فراوان و بعضاً با درجه بسیار خطرناک که توسط تیم تست نفوذ ایجادشده بود، مرا بسیار متعجب کرده بود. نمی‌توانستم باور کنم که این گزارش مربوط به همراه بانک است، زیرا از تمهیدات و کنترل‌های امنیتی بکارگرفته شده توسط بانک در حوزه‌های دیگر نظیر وب اپلیکیشن‌ها، شبکه، زیرساخت و غیره باخبر بودم و می‌دانستم وضعیت نسبتاً مناسبی از منظر امنیت در آنجا برقرار است. مسئول تیم توسعه موبایل نیز در مواجهه با گزارش بسیار متعجب بود. ایشان در پاسخ به سؤال مسئول امنیت در خصوص اینکه چرا به رفع این آسیب‌پذیری‌های خطرناک توجه نشده است، تنها یک پاسخ کوتاه داد، پاسخ این بود (البته با اندکی خلاصه‌سازی):

«ما برای امنیت اپلیکیشن اندرویدمان از ابزار امن سازی Proguard استفاده می‌کنیم، خیلی بعیده همچنین آسیب‌پذیری‌هایی را داشته باشیم؛ از طرفی خیلی جای نگرانی برای این موارد نیست، ما در بک‌اند همه تمهیدات امنیتی را دیدیم.»

نمی‌خواهم به اینکه در ادامه جلسه چه گذشت و چطور ما توانستیم مسئول تیم توسعه را قانع کنیم که نگاه او نسبت به امنیت موبایل نیاز به بازنگری جدی دارد، بپردازم. تنها به این دلیل این خاطره را بازگو کردم که بتوانم تا حدی عمق فاجعه را نشان دهم. فاجعه‌ای که از آن سال تا به امروز به‌واسطه تمرکز بیشتر شخصی و کسب‌وکاری خودم در حوزه امنیت اپلیکیشن‌های موبایل، بارها و بارها در جلسات و نقل‌قول‌های مختلف از زبان برنامه‌نویسان و حتی متصدیان حوزه امنیت اطلاعات شنیده‌ام. اشتباه نکنید، فاجعه‌ای که از آن حرف می‌زنم که خود حاصل از باورهای غلط در حوزه امنیت اپلیکیشن‌های موبایل است، تنها در لایه کسب‌وکارها و اپلیکیشن‌های ساده و کوچک دیده نمی‌شود، بلکه در میان بسیاری از افراد برنامه‌نویس و صاحبان کسب‌وکار اپلیکیشن‌های مشهور نظیر سوپر اپ ها، اپلیکیشن‌های بانکی و پرداخت و غیره که اتفاقاً در حرفه خود بسیار متخصص و متبحر هم هستند، به‌وفور مشاهده می‌شود. در اینجا سعی می‌کنم تا باهدف برچیده شدن این نوع تفکرات و باورهای اشتباه که به عقیده این حقیر مهم‌ترین عامل ضعف امنیتی بسیار وسیع در حوزه اپلیکیشن‌های بانکی و پرداخت می‌باشند، به چند نمونه از این باورهای غلط اشاره‌کنم و فضای حقیقی را ترسیم نمایم. اما قبل از آن ذکر یک مقدمه اجمالی در خصوص انواع آسیب‌پذیری‌های اپلیکیشن‌های موبایلی می‌تواند مفید باشد.

به‌طورکلی حملات و تهدیدات امنیتی در حوزه امنیت برنامه‌های موبایلی به دودسته حملات استاتیک و پویا تقسیم می‌شوند. حملات استاتیک آن دسته از حملاتی هستند که نفوذگر در آن به تحلیل پکیج اپلیکیشن در حالت قبل از نصب می‌پردازد که معروف‌ترین آن مهندسی معکوس است. نفوذگر از طریق مهندسی معکوس اپلیکیشن، سعی دارد تا به کدها و منابع آن دسترسی پیداکرده و با تحلیل منطق اپلیکیشن و استخراج اطلاعات حساس موجود در آن (نظیر کلیدها، پسوردها، فراخوانی‌های مهم، گواهی‌ها و غیره) اقدام به پیاده‌سازی سناریوهای بدخواهانه خود نماید. حملاتی همچون ایجاد اپلیکیشن‌های جعلی، قرار دادن هرگونه بدافزار در اپلیکیشن، سرقت اطلاعات و غیره همگی با بهره‌گیری از آسیب‌پذیری‌های مربوط به مهندسی معکوس ایجاد می‌شوند.

برای مقابله با این آسیب‌پذیری‌ها عمدتاً از روش‌های مختلف مبهم سازی(obfuscation) ، رمزنگاری(encryption) و مجازی‌سازی(Virtualization)  استفاده می‌گردد. اما حتی اگر اپلیکیشن شما به‌طور کامل در برابر حملات ایستا و مهندسی معکوس امن شده باشد و به‌اصطلاح ریورس (Reverse) نشود، بازهم دسته دیگری از آسیب‌پذیری‌ها و حملات، با عنوان حملات پویا در کمین هستند. این موارد در شرایطی رخ می‌دهند که اپلیکیشن در حال اجرا بوده و هکر اقدام به سوءاستفاده از آن می‌نماید. این سوءاستفاده می‌تواند به‌صورت شبیه‌سازی عملکرد اپلیکیشن باهدفی بدخواهانه، سرقت اطلاعات و موارد مشابه باشد. برای مقابله با این تهدیدات عمدتاً از روش‌هایی استفاده می‌شود که به نحوی از تغییر و یا نصب و اجرای اپلیکیشن در دستگاه‌ها و محیط‌های ناامن نظیر فریمورک های هک اپلیکیشن، دیباگرها، امولاتورها و دستگاه‌های روت شده جلوگیری نماید. ذکر این نکته ضروری است که اپلیکیشن‌های موبایل نیز مانند سایر اپلیکیشن‌ها در بسترهای دیگر نظیر وب، دارای سایر آسیب‌پذیری‌ها نظیر تزریق کد، موارد شبکه‌ای و غیره نیز می‌باشند. موارد ذکرشده در بالا، آسیب‌پذیری‌هایی هستند که با توجه به ماهیت  خاص اپلیکیشن‌های موبایل، مخصوص این دسته از برنامه‌ها هستند.

 در ادامه به بررسی باورهای غلط امنیت اپلیکیشن‌های موبایل و عدم به‌کارگیری کنترل‌های امنیتی مکفی ناشی از این تصورات می‌پردازیم:

• ما برای امنیت اپلیکیشن اندرویدمان از ابزار امن سازی Proguard استفاده می‌کنیم، خیلی بعیده همچنین آسیب‌پذیری‌هایی را داشته باشیم.

Proguard به‌عنوان یک ابزار رایگان و محبوب ساخت شرکت Guardsquare، در پکیج برنامه‌نویسی اندروید موجود است. این ابزار به‌عنوان یک بهینه‌ساز جاوا شناخته می‌شود که با آنالیز اپلیکیشن اقدام به ایجاد بهینگی (کاهش حجم اپلیکیشن و افزایش سرعت آن) می‌کند. Proguard یک ابزار امنیتی نیست ولی دارای یک فیچر امنیتی بانام مبهم سازی اسامی (Name Obfuscation) نیز هست. درواقع با فعال‌سازی این فیچر باهدف پیچیده‌تر نمودن فرآیند تحلیل ایستای اپلیکیشن، اسامی کلاس‌ها، فیلدها و متغیرها از وضعیتی که برنامه‌نویس نام‌گذاری نموده است با حروف (a,b,c,…) جایگزین می‌شوند. Proguard انواع دیگر مبهم سازی، نظیر مبهم سازی جریان منطقی اپلیکیشن، عملیات ریاضی، اسامی assetها، resourceها و غیره را انجام نمی‌دهد. طبیعی است که سایر کنترل‌های امنیتی در برابر حملات ایستا نظیر انواع رمزنگاری‌های موردنیاز (رشته‌ها، کلاس‌ها، متدها، کتابخانه‌ها، فایل‌ها، غیره) و مجازی‌سازی‌ها و همچنین هیچ‌یک از کنترل‌های امنیتی در برابر حملات پویا (شناسایی دست‌کاری در المان‌های مختلف پکیج، شناسایی محیط‌های ناامن و غیره) نیز توسط این ابزار ارائه نمی‌شود.

در مقاله دیگری به این موضوع پرداختیم که چرا Proguard برای امنیت اپلیکیشن‌های موبایل کفایت نمی کند. در اینجا نیز همان‌طور که در بالا تشریح شد، Proguard برای هدف بهینگی طراحی‌شده است نه امنیت! مبهم سازی اسامی که سوی Proguard انجام می‌شود شاید ما را تنها یک درصد در مسیر امنیت کمک می‌کند که همان یک درصد هم درصورتی‌که در کنار سایر کنترل‌های امنیتی قرار نگیرد بسیار شکننده بوده و به‌راحتی قابل دور زدن است.  برای مطالعه بیشتر در خصوص ویژگی‌های این ابزار از منظر امنیتی به این مقاله مراجعه شود.

• اپلیکیشن ما چیز خاصی ندارد و تنها یک پوسته است، ما در بک‌اند همه تمهیدات امنیتی را دیدیم.

به‌طورکلی اکثر افرادی که این جمله را بیان می‌کنند، دارای یک اپلیکیشن از نوع تین کلاینت هستند. برنامه موبایل تین کلاینت، یک اپلیکیشن سبک و کم‌حجم است که کدهای برنامه‌نویسی کمی را بر روی موبایل کاربر اجرا نموده و عمده فعالیت‌ها و منطق فرآیندی و کسب‌وکار را در سمت سرویس‌دهنده مدیریت می‌نماید. فعالیت‌هایی همچون اعتبارسنجی درخواست‌ها از سوی کاربر و یا پردازش‌های اصلی به‌جای اجرا در سمت کلاینت، در سمت سرور انجام می‌شود. در این‌گونه برنامه‌ها معمولاً فعالیت خود اپلیکیشن (سمت کلاینت) محدود به اجرای رابط کاربری، دریافت داده‌ها و اقدامات ورودی از کاربر و همچنین نشان دادن نتایج و خروجی‌ها می‌شود. این نوع معماری اپلیکیشن در بسیاری از نرم‌افزارهای موبایلی بانکداری و یا پرداخت بسیار متداول بوده و به‌وفور به چشم می‌خورد.

طبیعی است که با توجه به حجم کد کمتر در سمت کلاینت، سطح حملات به‌صورت کلی کاهش می‌یابد و طراحان با اطمینان بیشتری نسبت به محافظت از برنامه در سمت سرور اقدام می‌نمایند. اما این مزیت غیرقابل‌انکار در این نوع برنامه‌ها نباید منجر به ایجاد این تفکر در ذهن شما گردد که برنامه‌های موبایلی تین کلاینت در مقابل کلیه حملات مهاجمین مصون هستند و یا اصلاً هک نمی‌شوند. بر این اساس ذکر این نکته ضروری است که باوجود کاهش چشمگیر احتمال وقوع بسیاری از حملات در این حالت، بسیاری از آسیب‌پذیری‌ها نظیر هوکینگ، ایجاد اپلیکیشن‌های جعلی، آنالیز منطق و غیره به قوت خود باقی می‌مانند (برای مطالعه بیشتر در خصوص آسیب‌پذیری‌های این اپلیکیشن‌ها به مقاله چرا برنامه‌های موبایلی پرداخت و بانکی آسیب پذیر هستند؟ مراجعه شود) که می‌بایست اقدامات تقابلی و تمهیدات مناسب امنیتی برای آن‌ها در نظر گرفته شود. ذکر این نکته نیز ضروری است که اقدامات کنترلی اعمال‌شده در سمت سرور درواقع ما را در لایه‌ای دیگر محافظت می‌نمایند و ارتباطی به اقدامات ما در سمت اپلیکیشن (کلاینت) ندارند.

• اپلیکیشن‌های اپل هک نمی‌شوند. iOS امن است.

احتمالاً شما هم شنیده‌اید که خیلی‌ها بر این باورند که پلتفرم Apple iOS از منظر آسیب‌پذیری مهندسی معکوس دارای امنیت بالاتری نسبت به اندروید است. بر این اساس سه تفکر زیر بسیار متداول است:

• مکانیسم رمزنگاری کدها توسط App Store برای عدم امکان مهندسی معکوس اپلیکیشن کفایت می‌کند.
• کد اپلیکیشن‌های iOS برنمی‌گردد یا این کار بسیار مشکل است.
• مکانیسم sign اپلیکیشن‌ها در Apple از دست‌کاری کد و انتشار مجدد اپلیکیشن تغییریافته جلوگیری می‌کند.

اما متأسفانه باید گفت که این تصورات رایج کاملاً اشتباه است و به‌طورکلی، یک اپلیکیشن iOS به همان اندازه که اپلیکیشن‌های اندرویدی امکان دست‌کاری دارند، مستعد تحلیل هکرها و اعمال تغییرات سودجویانه هستند. در مقاله باورهای اشتباه متداول در خصوص امنیت پلتفرم های موبایل به‌صورت کامل و عملی، وجود آسیب‌پذیری‌های فوق و نقض باورهای غلط فوق را در یک اپلیکیشن iOS نمونه نشان داده‌ایم.

---

سه چالش مهم امنیتی برای اپلیکیشن‌های بانکی و پرداخت

---

رشد تعداد تراکنش‌های مالی آنلاین و استفاده افراد از خدمات الکترونیک به‌ویژه در دوره پاندمی کرونا بسیار مشهود است. دراین‌بین اپلیکیشن‌های مالی بیشترین رشد را در میان خدمات آنلاین به خود اختصاص داده‌اند. به‌طوری‌که در یک آمار منتشرشده، 67 درصد از افراد در ایالات‌متحده از اپلیکیشن‌های همراه بانک یا اپلیکیشن‌های پرداختی استفاده می‌کنند. از سوی دیگر متأسفانه، برنامه‌های مالی نیز بیش از هر زمان دیگری در معرض تهدیدات امنیتی حوزه موبایل هستند. دلیل آن این است که این اپلیکیشن‌ها، اطلاعات شخصی مانند سپرده‌های بانکی، شماره کارت و سایر داده‌های ارزشمند را ذخیره و پردازش می‌کنند. علاوه بر این، تغییر سریع به سمت دیجیتالی شدن، فرصتی را برای هکرها ایجاد کرده است تا برنامه‌هایی را که به‌سرعت و بدون در نظر گرفتن تمهیدات امنیتی در پی پاندمی کرونا راه‌اندازی شده‌اند، هدف قرار دهند. در ادامه به سه چالش مهم امنیتی برای اپلیکیشن‌های بانکی و پرداخت می‌پردازیم.

• اپلیکیشن‌های جعلی بانکی:

شاید شما نیز اخیراً با اخبار مربوط به انتشار اپلیکیشن‌های جعلی همراه بانک مرتبط با چند بانک داخلی در گوگل اپ استور مواجه شده باشید و یا احتمالاً با انبوهی از پیامک‌ها و اطلاع‌رسانی‌هایی از سوی بانک برخورد کرده‌اید که به شما هشدار می‌دهند که اپلیکیشن‌های بانکی را تنها از سایت خودشان دانلود کنید. در این نوع حمله، مهاجمین از طریق مهندسی معکوس اپلیکیشن اصلی، اقدام به ایجاد یک اپلیکیشن جعلی با مقاصد سودجویانه کرده و آن را در استورهای بین‌المللی و شبکه‌های اجتماعی منتشر می‌کنند. قربانی با دانلود اپلیکیشن جعلی که اتفاقاً دارای شباهت بصری و عملکردی با اپلیکیشن اصلی است، ممکن است بسیاری از اطلاعات شخصی خود را ناخواسته افشا کرده و دچار ضررهای سنگین مالی گردد.

توسعه‌دهندگان اپلیکیشن موبایل می‌توانند با استفاده از ترکیبی از اقدامات امن سازی و تشخیص دست‌کاری کد (Tampering) و به‌طور خاص‌تر، مبهم سازی کد از ایجاد برنامه‌های جعلی جلوگیری کنند. با تغییر نام، تغییر ساختار و پنهان کردن برخی از عناصر کد منبع برنامه، بانک‌ها و مؤسسات مالی می‌توانند از مهندسی معکوس و انتشار مجدد کد خود به‌عنوان یک برنامه جعلی توسط مهاجمین جلوگیری کنند. علاوه بر فن‌های فوق، به‌کارگیری مبهم سازی در لایه جریان منطقی و کنترلی برنامه و همچنین عملیات ریاضی موجود در اپلیکیشن، می‌تواند موجب شود تا هکرها، حتی با استفاده از پیشرفته‌ترین ابزارهای تحلیل استاتیک، نتوانند به کدهای برنامه دسترسی پیدا کنند.

• بدافزارها و تروجان های بانکی:

انتشار تروجان ها و بدافزارهای بانکی روش سودآوری است که هکرها علیه بانک‌ها و مؤسسات مالی از آن استفاده می‌کنند. گزارش امنیتی تهدیدات که توسط شرکت نوکیا در سال 2021 منتشرشده است، نشان می‌دهد که بر اساس داده‌های ترافیک شبکه مربوط به بیش از 200 میلیون موبایل در سراسر جهان، تعداد تروجان‌های بانکی جدید نسبت به سال گذشته 80 درصد افزایش داشته است. تروجان‌های بانکی برنامه‌های مخربی هستند که در سایر اپلیکیشن‌های موبایل مانند بازی‌ها پنهان می‌شوند که پس از نصب، هنگام استفاده کاربران از اپلیکیشن‌های مالی خود، سعی در سرقت اطلاعات دارند. یکی از کارکردهای متداول این تروجان ها تلاش برای سرقت پیامک‌های حاوی رمزهای عبور یک‌بارمصرف (پویا) هست.

با استفاده از ابزارهای تحلیل پویا که پیش‌ازاین توضیح داده شد، هکرها می‌توانند برنامه‌های بانکی را مستقیماً در زمان اجرا برای اجرای کدهای مخرب، تغییر مسیر فراخوانی‌های API یا نصب بدافزار برای سرقت اطلاعات کاربر و همچنین دسترسی غیرمجاز به حساب‌هایشان، دست‌کاری کنند. علاوه بر این، بروز پدیده بانکداری باز، که در کشور ما نیز موردتوجه بانک‌ها قرارگرفته است، استفاده گسترده از APIها را در برنامه‌های بانکی و پرداخت شخص ثالث افزایش داده است که خود بروز این آسیب‌پذیری را نمایان‌تر می‌کند.

به همین دلیل است که محافظت از اپلیکیشن‌های بانکی با استفاده از فن‌های امن سازی اپلیکیشن در دولایه ‌ایستا و پویا باید به‌عنوان یک الزام برای مؤسسات مالی مدنظر قرار گیرد. محافظت از برنامه در زمان اجرا، با بهره‌گیری از تکنیک‌هایی نظیر، شناسایی محیط (دستگاه) های پر ریسک (مانند روت شده/Jail break شده، دیباگ، شبیه‌سازها، محیط‌های مجازی) و همچنین پیش‌بینی واکنش مناسب اپلیکیشن موبایل در مواجهه با آن‌ها، ما را در برابر تهدیدات مذکور محافظت می‌نماید.

• افشای اطلاعات:

یکی دیگر از نگرانی‌های اصلی که در میان اپلیکیشن‌های بانکی رایج است، نشت و افشای اطلاعات است که به هکرها اجازه می‌دهد اطلاعات محرمانه‌ای نظیر اطلاعات حساب، کارت، هویتی و غیره افراد را به دست آورند. تنها برای اینکه بدانیم این حوزه چقدر می‌تواند برای ما خطرناک باشد، ذکر این آمار می‌تواند بسیار مفید باشد. حملات سایبری علیه مؤسسات مالی و بانک‌ها در نیمه اول سال 2021 در جهان 118 درصد افزایش‌یافته است و 77 درصد از اپلیکیشن‌های مالی حداقل یک آسیب‌پذیری دارند که می‌تواند منجر به نشت اطلاعات شود. بدیهی است، حملاتی که منجر به افشای اطلاعات شخصی یا مالی می‌شوند، می‌توانند به میزان قابل‌توجهی به اعتماد مشتریان بانک و اعتبار یک شرکت مالی آسیب برسانند.

در همین راستا پیشنهاد می‌شود، توسعه‌دهندگان اپلیکیشن موبایل برای مؤسسات مالی و بانک‌ها، مطابق با استانداردها و دستورالعمل‌های امنیتی نظیر PCI-DSS، SOC 2 و PSD2 از اعمال کنترل‌های امنیتی نظیر رمزنگاری اطلاعات حساس اطمینان حاصل نمایند. هرگونه داده مهم، ازجمله کلیدهای API، پسوردها، اطلاعات هویتی شخصی و موارد دیگر باید به‌طور پیش‌فرض رمز شوند. همچنین، آن بخش‌های از کد (نظیر کلاس‌ها و متدها) که به پردازش این اطلاعات حساس و مهم می‌پردازند نیز باید مورد رمزگذاری قرار گیرند. از سوی دیگر به‌عنوان یک‌لایه امنیتی دیگر، دسترسی به این کلاس‌ها را می‌توان با فن‌های امن سازی مبهم کرد.  علاوه بر این، بهره‌گیری از کنترل‌های امنیتی در زمان اجرا (پویا) که پیش‌ازاین به آن پرداختیم، می‌تواند اطمینان خاطر بیشتری برای ما ایجاد نماید. به‌عنوان‌مثال با بهره‌گیری از کنترل‌های امنیتی، درصورتی‌که یک فعالیت مشکوک در دستگاه شناسایی گردید، اپلیکیشن فورا از حالت اجرا خارج‌شده و متعاقب آن جهت پیگیری موضوع، یک پیام هشدار برای کارشناسان امنیت در بانک ارسال گردد.

---

جمع‌بندی

---

پس از مطالعه این یادداشت، ممکن است این سؤال برای شما ایجادشده باشد که حال، وضعیت امنیتی اپلیکیشن‌های موبایل داخلی به‌ویژه در حوزه بانکی چگونه است؟ آیا باوجوداین فضای تهدیدات و آسیب‌پذیری‌های متنوع و خطرناک، تمهیدات لازم اندیشیده شده است؟ برای دریافت پاسخ دقیق‌تر برای این سؤال، بهتر است مقاله گزارش تحلیلی از امنیت اپلیکیشن‌های بانکی و پرداخت داخلی و بین‌المللی را مطالعه نمایید که در آن سعی کردیم در یک پژوهش به‌صورت کامل به این موضوع بپردازیم. اما به‌صورت خلاصه باید گفت که متأسفانه وضعیت بسیاری از این اپلیکیشن‌ها از منظر اعمال کنترل‌های امنیتی و آمادگی در برابر آسیب‌پذیری‌ها بسیار نامناسب است. متأسفانه باید گفت که در برخی از این دسته اپلیکیشن‌ها که به لحاظ ماهیتی بسیار حساس و مهم نیز هستند، می‌توان با صرف زمان نسبتاً کوتاهی و اتفاقاً بدون نیاز به دانش خیلی زیاد در حوزه ارزیابی امنیتی و تست نفوذ، به اطلاعات محرمانه‌ای دست پیدا نمود که می‌توانند تبعات و مشکلات فراوانی را برای موسسه و بانک مربوطه و درنهایت برای مشتریان ایجاد نماید.

به نظر می‌رسد علیرغم سرمایه‌گذاری مناسب بانک‌ها و مؤسسات مالی و پرداختی بر روی مسائل امنیتی در خصوص سایر حوزه‌های زیرساختی فناوری اطلاعات و ارائه خدمات آنلاین، متأسفانه ایشان هنوز موضوع امنیت اپلیکیشن‌های بانکی و پرداخت را جدی نگرفته‌اند. رخدادهای امنیتی اخیر با عنوان انتشار اپلیکیشن‌های جعلی، تنها یک هشدار هستند که درصورتی‌که به این موضوع به‌صورت جدی از سوی مدیران بانکی، توسعه‌دهندگان و برنامه‌نویسان اپلیکیشن، متصدیان حوزه امنیت و نهادهای بالادستی پرداخته نشود، ممکن است در آینده تبعات جبران‌ناپذیری را به همراه داشته باشد. در این راستا به‌کارگیری الزامات برنامه‌نویسی امن و همچنین بهره‌گیری از نرم‌افزارهای امن سازی معتبر جهانی نظیر ابزارهای DexGuard برای اپلیکیشن‌های اندرویدی به‌عنوان نسخه تجاری ابزار رایگان و نام‌آشنای Proguard و همچنین iXGuard برای برنامه‌های iOS با ارائه ویژگی‌های امنیتی چندلایه و متنوع می‌توانند مورداستفاده قرار گیرند.