up_icon
Internet Security

Κίνδυνος διαρροής προσωπικών δεδομένων από εκατομμύρια εφαρμογές λόγω third-party κώδικα

19 Απριλίου 2018 Yannis Elpidis

Κίνδυνος διαρροής προσωπικών δεδομένων από εκατομμύρια εφαρμογές λόγω third-party κώδικα

Ενώ ανέλυαν δημοφιλείς εφαρμογές online dating, οι ερευνητές της Kaspersky Lab διαπίστωσαν ότι μερικές μεταδίδουν μη κρυπτογραφημένα δεδομένα χρήστη μέσω του επισφαλούς πρωτοκόλλου HTTP, διακινδυνεύοντας την έκθεση των δεδομένων χρήστη. Αυτό οφείλεται στο γεγονός ότι μερικές εφαρμογές χρησιμοποιούν έτοιμα διαφημιστικά SDKs, τα οποία είναι μέρος κάποιων από τα πιο δημοφιλή διαφημιστικά δίκτυα. Οι εμπλεκόμενες εφαρμογές περιλαμβάνουν ορισμένες με δισεκατομμύρια εγκαταστάσεις παγκοσμίως και ένα σοβαρό σφάλμα ασφάλειας σημαίνει ότι τα ιδιωτικά δεδομένα θα μπορούσαν να υποκλαπούν, να τροποποιηθούν και να χρησιμοποιηθούν σε περαιτέρω επιθέσεις, αφήνοντας πολλούς χρήστες ανυπεράσπιστους.

Ένα SDK είναι ένα σύνολο εργαλείων development, τα οποία συχνά διανέμονται δωρεάν και επιτρέπουν στους δημιουργούς λογισμικού να εστιάζουν στα βασικά στοιχεία μιας εφαρμογής, ενώ εμπιστεύονται άλλα χαρακτηριστικά σε έτοιμα SDKs. Οι προγραμματιστές συχνά χρησιμοποιούν κώδικα τρίτου κατασκευαστή για να εξοικονομήσουν χρόνο επαναχρησιμοποιώντας την υπάρχουσα λειτουργικότητα για να δημιουργήσουν μέρος της εφαρμογής. Για παράδειγμα, τα SDK διαφημίσεων συλλέγουν δεδομένα χρηστών για να εμφανίζουν σχετικές διαφημίσεις, βοηθώντας έτσι τους προγραμματιστές να δημιουργούν έσοδα από το προϊόν τους. Τα κιτ στέλνουν δεδομένα χρήστη στα domains δημοφιλών διαφημιστικών δικτύων για πιο στοχευμένη προβολή διαφημίσεων.

Ωστόσο, βαθύτερη ανάλυση των εφαρμογών έδειξε ότι τα δεδομένα αποστέλλονται χωρίς κρυπτογράφηση και μέσω του HTTP, που σημαίνει ότι είναι απροστάτευτα όταν μεταφέρονται στους servers. Λόγω της απουσίας κρυπτογράφησης, τα δεδομένα μπορούν να υποκλαπούν από οποιονδήποτε - μέσω μη προστατευμένου Wi-Fi, από τον Πάροχο Υπηρεσιών Διαδικτύου ή μέσω κακόβουλου λογισμικού σε οικιακό router. Ακόμα χειρότερα, τα δεδομένα που έχουν υποκλαπεί μπορούν επίσης να τροποποιηθούν, πράγμα που σημαίνει ότι στην εφαρμογή θα εμφανίζονται κακόβουλες διαφημίσεις αντί νόμιμων. Στη συνέχεια, οι χρήστες θα δελεαστούν ώστε να «κατεβάσουν» μια διαφημιζόμενη εφαρμογή, η οποία θα αποδειχθεί ότι είναι κακόβουλο λογισμικό και τους θέτει σε κίνδυνο.

Οι ερευνητές της Kaspersky Lab εξέτασαν τα αρχεία καταγραφής και την κίνηση δικτύου εφαρμογών στο εσωτερικό Android Sandbox για να ανακαλύψουν ποιες εφαρμογές μεταδίδουν μη κρυπτογραφημένα δεδομένα χρήστη σε δίκτυα μέσω HTTP. Εντοπίστηκαν αρκετά σημαντικά domains, εκ των οποίων τα περισσότερα αποτελούν τμήμα δημοφιλών διαφημιστικών δικτύων. Ο αριθμός των εφαρμογών που χρησιμοποιούν αυτά τα SDK ανέρχεται σε αρκετά εκατομμύρια, με τις περισσότερες από αυτές να μεταδίδουν τουλάχιστον ένα από τα παρακάτω στοιχεία δεδομένων με μη κρυπτογραφημένο τρόπο:

  • Προσωπικές πληροφορίες, κυρίως όνομα χρήστη, ηλικία και φύλο. Μπορεί να περιλαμβάνει ακόμη και το εισόδημα του χρήστη. Ο αριθμός τηλεφώνου και η διεύθυνση email τους θα μπορούσε επίσης να διαρρεύσει (οι άνθρωποι μοιράζονται πολλές προσωπικές πληροφορίες στις εφαρμογές online dating, σύμφωνα με άλλη μελέτη της Kaspersky Lab.
  • Πληροφορίες συσκευής, όπως ο κατασκευαστής, το μοντέλο, η ανάλυση οθόνης, η έκδοση συστήματος και το όνομα εφαρμογής.
  • Τοποθεσία εφαρμογής.

Όπως δήλωσε ο Roman Unuchek, ερευνητής ασφάλειας στην Kaspersky Lab.

"Όταν ξεκινήσαμε την έρευνά μας θεωρούσαμε ότι θα συναντήσουμε μερικές συγκεκριμένες περιπτώσεις απρόσεκτου σχεδιασμού εφαρμογών, αλλά η πραγματική εικόνα μάς εξέπληξε αρνητικά. Εκατομμύρια εφαρμογές περιλαμβάνουν SDK τρίτων κατασκευαστών, εκθέτοντας ιδιωτικά δεδομένα που μπορούν εύκολα να υποκλαπούν και να τροποποιηθούν - οδηγώντας σε «μολύνσεις» από κακόβουλο λογισμικό, εκβιασμούς και άλλους πολύ αποτελεσματικούς φορείς επίθεσης στις συσκευές σας"

Οι ερευνητές της Kaspersky Lab συμβουλεύουν τους χρήστες να λαμβάνουν τα εξής μέτρα:

  • Ελέγξτε τα δικαιώματα της εφαρμογής σας. Μην παραχωρήσετε πρόσβαση σε κάτι αν δεν καταλαβαίνετε γιατί. Οι περισσότερες εφαρμογές δεν χρειάζονται πρόσβαση στην τοποθεσία σας, οπότε μην την παραχωρείτε.
  • Χρησιμοποιήστε ένα VPN. Θα κρυπτογραφήσει την κίνηση δικτύου μεταξύ της συσκευής σας και των servers. Ωστόσο, θα παραμείνει μη κρυπτογραφημένη πίσω από τους VPN servers, αλλά τουλάχιστον ο κίνδυνος διαρροής μειώνεται κατά τη διαδικασία.

 

Yannis Elpidis

Είμαι ένας λάτρης της τεχνολογίας και του διαδικτύου. Γνώρισα τον πρώτο μου υπολογιστή στα μέσα της δεκαετίας του '80 και ήταν "love at first sight" που λένε και στο χωριό μου. Θα με βρείτε καθημερινά στη "Darkpony Digital".

Αγαπημένο μότο:
 "There are 10 kinds of people, those who understand binary and those who don't."

ΣΧΟΛΙΑ
read more

Google: Απαγορεύει τα downloads και τις αναβαθμίσεις των επί πληρωμή εφαρμογών στη Ρωσία

10 Μαΐου 2022 Christos Elpidis

Δυσκολεύει ακόμη περισσότερο η «ψηφιακή» καθημερινότητα για εκατομμύρια χρήστες που ζουν στη Ρωσία, καθώς η Google ανακοίνωσε νέα μέτρα σχετικά με τη διανομή των εφαρμογών και των αναβαθμίσεων τους μέσα από το ...

Twitter Article: Δοκιμές για δημοσίευση long-form κειμένων στο Twitter

09 Μαΐου 2022 Christos Elpidis

Εν μέσω των υποσχέσεων που ξεκίνησε να μοιράζει ο Elon Musk στους υπόλοιπους μετόχους της Twitter (σ.σ. κάνει λόγο για τετραπλασιασμό του αριθμού των χρηστών μέσα στα επόμενα χρόνια), η γνωστή ερευνήτρια Jane ...

Apple, Google και Microsoft υπόσχονται ένα μέλλον χωρίς passwords από το 2023

06 Μαΐου 2022 Christos Elpidis

Με αφορμή την Παγκόσμιο Ημέρα Password (World Password Day), οι Google, Apple και Microsoft ανακοίνωσαν από κοινού ότι συμπράττουν για ένα μέλλον χωρίς passwords στις πλατφόρμες τους. Αυτό σημαίνει πως σχετικά ...

TikTok Pulse: Το νέο πρόγραμμα ανταμοιβής των δημιουργών περιεχομένου

05 Μαΐου 2022 Christos Elpidis

Η ByteDance δημιουργεί νέους τρόπους εξοικονόμησης χρημάτων για τους δημιουργούς περιεχομένου στην δημοφιλή πλατφόρμα TikTok, με την εταιρεία να ανακοινώνει πως σκοπεύει να μοιράσει τα κέρδη των διαφημίσεων που...

Google: Αφαίρεσε πάνω από 3.4 δισ. κακόβουλων διαφημίσεων το 2021

05 Μαΐου 2022 Techgear Team

Όταν λαμβάνουμε αποφάσεις που αφορούν σε διαφημίσεις και πληρωμένο περιεχόμενο στις πλατφόρμες μας, η ασφάλεια των χρηστών αποτελεί κορυφαία προτεραιότητά για εμάς. Στην πραγματικότητα, χιλιάδες άνθρωποι της ...

Samsung Internet 17.0: Διαθέσιμη η νέα έκδοση του mobile web browser

04 Μαΐου 2022 Techgear Team

Η Samsung κυκλοφόρησε επίσημα σήμερα το Samsung Internet 17.0, μια νέα αναβάθμιση του προγράμματος περιήγησης της Samsung που εισάγει λειτουργίες απορρήτου και ασφάλειας με επίκεντρο τον χρήστη. Η τελευταία ...

Mozilla Firefox 100: Διαθέσιμη η επετειακή έκδοση με νέα χαρακτηριστικά

03 Μαΐου 2022 Christos Elpidis

Έφτασε και η ώρα για τη Mozilla να λανσάρει την τελική επετειακή έκδοση του Firefox browser, καθώς εδώ και λίγη ώρα είναι διαθέσιμος ο Firefox 100 για όλες τις πλατφόρμες και φέρνει ορισμένα χρήσιμα νέα ...

Microsoft Edge: Ενσωμάτωση υπηρεσίας VPN στον web browser

28 Απριλίου 2022 Christos Elpidis

Η Microsoft συνεχίζει τις προσπάθειες βελτίωσης του Edge browser με την προσθήκη νέων λειτουργιών που θα τον διαφοροποιήσουν από τον μεγάλο αντίπαλο, το Google Chrome, παρά το γεγονός ότι βασίζεται στην ίδια ...

Google: Αφαίρεση προσωπικών δεδομένων χρηστών από τη μηχανή αναζήτησης

28 Απριλίου 2022 Christos Elpidis

Το περίφημο «δικαίωμα στη λήθη» που προσφέρει η Google στους χρήστες σχετικά με την εμφάνιση τους στα αποτελέσματα αναζήτησης επεκτείνεται πλέον σε περισσότερους τομείς. Η εταιρεία ανακοίνωσε μέσω της ...

ΕΠΙΣΗΜΟ: Το Twitter στα χέρια του Elon Musk!

25 Απριλίου 2022 Christos Elpidis

Η πρόταση του Elon Musk για εξαγορά της Twitter έναντι περίπου €44 δισ. έγινε αποδεκτή από το ΔΣ της εταιρείας και πλέον βρισκόμαστε μπροστά σε ένα από τα μεγαλύτερα και ιστορικότερα deals που αφορούν τον χώρο ...

Loader
techgear_icon