Tartalomjegyzék:
Összefoglaljuk: Kedden szerdán este (vagy csütörtök kora reggel) beszámoltunk egy, a Mobile Beatban közzétett történetről, amely a Black Hat online biztonsági konferenciáján jelent meg. A konferencián Kevin MaHaffey, a Lookout mobil biztonsági cég műszaki vezetője elmondta a „Jackeey, háttérkép” fejlesztő alkalmazását, amely alapvetően portál háttérképek letöltésére Android telefonjára. A történet a "megkérdőjelezhető Android mobil háttérkép-alkalmazás, amely a személyes adatait összegyűjti és egy titokzatos webhelyre küldi Kínában, (és) több millió alkalommal töltötte le a meseét."
Kapcsolatban voltunk a Lookout-lal - amely megismétli, hogy bár az alkalmazások gyanítják, hogy nem feltétlenül rosszindulatúak. Válaszunk van a kérdéses fejlesztőtől is. Frissítések mindkét oldalról, a szünet után.
A kilátás pontosítása
Kora csütörtök reggel e-mailt kaptunk a MaHaffey-től a „jacquey, wallpaper” alkalmazásokról. A következőket tisztázta a Mobile Beat darabjából, valamint a mi történetünkből:
"Az elemzett háttérképalkalmazások számos érzékeny adatot küldtek a kiszolgálóra, beleértve az eszköz telefonszámát, előfizetői azonosítóját és a jelenleg beprogramozott hangposta számot. Az elemzett alkalmazások nem tudtak hozzáférni egy eszköz SMS-jéhez, a böngészési előzményekhez vagy a hangpostához. jelszó (kivéve, ha a felhasználó manuálisan programozta be a hangpostát a készüléken a hangposta jelszó megadására)."
Azt is hozzátette, hogy "míg a háttérkép-alkalmazásokhoz hozzáférő adatok minden bizonnyal gyanúsak a háttérkép-alkalmazásokból, nem mondjuk azt, hogy ezek az alkalmazások rosszindulatúak".
A blogbejegyzés magyarázza a módszertant
Csütörtök délután a MaHaffey hosszú magyarázatot tett a Lookout blogjába, részletezve a kérdéses kódot, és megismételve, hogy bár a kérdéses kód gyanús, "nincs bizonyíték a rosszindulatú magatartásra". És ez fontos különbségtétel.
Szóval mi a nagy ügy? Így magyarázza a MaHaffey dolgokat:
"A háttérkép alkalmazásokban van olyan kód, amely hozzáfér az érzékeny adatokhoz. Fontos megjegyezni, hogy nem minden olyan alkalmazás, amely érzékeny adatokhoz fér hozzá, valójában nem továbbítja azt az eszközről. Annak érdekében, hogy megnézhesse, milyen típusú információkat küld a háttérkép alkalmazás az internetre, elemezte az alkalmazás által generált hálózati forgalmat, amikor az alkalmazást külön kiemelte, egy titkosítatlan HTTP-kérést az „imnet.us” szervernek."
A fejlesztő válaszol
A mai napon kapcsolatba kerültünk a háttérkép-alkalmazások fejlesztőjével, és pontosan megkérdeztük, hogy az alkalmazások milyen információkat gyűjtenek, és miért kerülnek elküldésre az információk egy szerverre. (Az, hogy a szerver valószínűleg Kínában van, nem releváns.)
Az alábbiakban olvashatja a teljes választ, amelynek nagy részét felvette a Lookout korábbi magyarázata, miszerint a szöveges üzenet és a böngészési előzmények valóban nem kerültek összegyűjtésre. Ami begyűjtött volt, a fejlesztő a következőket mondta nekünk:
Összegyűjtöttem a képernyő méretét, hogy megfelelőbb háttérképet kapjak a telefonhoz. Egyre több felhasználó e-mailen küldött nekem, mondván, hogy annyira szeretik a háttérkép alkalmazásokat, mert még a „háttér” sem felel meg jól a telefon képernyőjének.
Összegyűjtöttem az eszköz azonosítóját, telefonszámát és előfizetői azonosítóját is, nincs kapcsolat a felhasználói adatokkal. Kevés alkalmazás található az Android piacon a kedvenc funkcióval. Sok felhasználó azt javasolja, hogy biztosítsam ezt a funkciót, ezért ezeket használom az eszköz azonosítására, hogy kényelmesebben kedvenceik legyenek a háttérképeknek, és a telefon alaphelyzetbe állítása vagy cseréje után folytathassák kedvenceit.
Szóval itt állunk. És ez nem feltétlenül újdonság az Android számára. Az alkalmazások hozzáférhetnek a telefon azon részeire, amelyekre nem szükségszerűen szükségük van, de nem szándékoznak rosszindulatot tenni. (Innentől származnak ezek a legutóbbi "Android alkalmazások X százaléka az Ön személyes adataihoz !!!"). Csak a kódolás és a szándék kérdése, igaz? Ennek ellenére figyelmet kell fordítania a figyelmeztetésre, amelyet minden alkalommal telepít egy alkalmazás telepítésekor. Az előző példa igaznak tűnik: Ha mondjuk egy számológép azt állítja, hogy látnia kell a szöveges üzeneteimet, akkor aggódnék. Nagyon. Vagy rosszul kódolt alkalmazás, vagy akár nem is jó. Akárhogy is, nem akarom a telefonomra.
Ez mind FUD? Amikor egy biztonsági társaság azt mondja, hogy óvatosnak kell lennünk, óvatosak vagyunk - és az a tény, hogy egy biztonsági társaság pénzt keres a biztonsági szoftverek értékesítésével, nem veszít elénk. De szánjon rá időt, és olvassa el újra MaHaffey hozzászólását. És olvassa el újra a fejlesztő válaszát.
A történet erkölcsi szempontja az, hogy mit tölt le, annyit olvas, amennyit csak tudsz, és tartsa a dolgok tetején. A Lookout MaHaffey kijelenti, hogy a következőképpen fejeződik be: "Összességében célunk az, hogy segítsünk a felhasználóknak és a fejlesztőknek egyaránt az összes mobil platformon, hogy felelősségteljesek és éberek legyenek a biztonságos mobil élmény biztosításában."
Valóban.
Jackeey válasz
