Některé populární aplikace pro Android mají problémy s bezpečností

Řešíš problém s Androidem? V komunitě najdeš řešení!

reklama

Podle studie University of New Haven, která letos nalezla bezpečnostní zranitelnosti v komunikačních aplikacích Viber a WhatsApp, mají i další populární programy pro Android velmi slabou úroveň zabezpečení. Materiál uvádí, že vývojáři na této platformě často neimplementují žádná opatření na ochranu osobních údajů, a tím ohrožují soukromí až jedné miliardy uživatelů. Výzkumníci se chystají každý den vystavovat na svém YouTube kanálu jedno video, ve kterém podrobně představí nalezené bezpečnostní nedostatky.

Diskutuj o novinkách, sdílej tipy – přidej se k Android nadšencům!

reklama

Některé populární aplikace pro Android mají problémy s bezpečností

Šetření bylo prováděno s volně dostupnými nástroji pro analýzu síťového provozu, jako jsou například Wireshark a NetworkMiner, které může nainstalovat a při troše znalostí provozovat prakticky kdokoli. Těmito programy pak byla sledována komunikace a přenos dat mezi aplikacemi a domovskými servery při určitých akcích.

Šetření bylo prováděno s volně dostupným nástrojem pro analýzu síťového provozu Wireshark

Ukázalo se, že například klientská aplikace sociální sítě Instagram (nyní spadá pod křídla Facebooku) ukládá soukromé fotografie na server v nezašifrované podobě, takže je možné tato data získat. Podobný problém byl zjištěn také v aplikacích OoVoo, MessageMe a TextPlus – zde jsou zranitelné především přenosy obrázků mezi dvěma uživateli. Soubory jsou totiž posílány skrze nezabezpečený HTTP protokol, takže získat přístup k těmto datům je relativně snadné. Zvláště nebezpečná je tato zranitelnost v případech, kdy jsou tímto způsobem odesílány důležité dokumenty.

Instagram ukládá soukromé fotografie na server v nezašifrované podobě

Podobný problém byl zjištěn také v aplikaci OoVoo

Podobný problém byl zjištěn také v aplikaci MessageMe

Dalšími podobně potenciálně nebezpečnými programy jsou například Tango, HeyWire, Grindr, OkCupid a mnohé další. Problém je, že když „někdo získá přístup k tomuto spojení, může získat přístup k obrázku, který byl odeslán. Bez jakéhokoli ověřování“, uvedl Ibrahim Baggili. Zmíněné služby by měly buď zajistit rychlé odstranění souborů ze svých serverů, nebo zajistit, aby se k nim dostali pouze oprávnění uživatelé.

Tango nešifruje přenos souborů mezi uživateli

HeyWire nešifruje přenos souborů mezi uživateli

Grindr nešifruje přenos souborů mezi uživateli

Dalším vroubkem z pohledu bezpečnosti je ukládání záznamů konverzací v nešifrované podobě, což provádějí například „kecálci“ ooVoo, Kik, Nimbuzz a MeetMe. V tomto případě ohrožení nastává v momentě, kdy zařízení ztratíte nebo bude odcizeno – „Každý, kdo získá přístup k vašemu telefonu, může zobrazit všechny zprávy, které byly odeslány oběma směry.“ Ostatní aplikace dokonce ani nešifrují záznamy chatů na serveru.

Xiaomi má nový chytrý trezor! Je malý, levný a odemknete ho za půl sekundy

Zprávičky Jakub Kárník

Kik ukládá záznamy konverzací v nešifrované podobě

Nimbuzz ukládá záznamy konverzací v nešifrované podobě

MeetMe ukládá záznamy konverzací v nešifrované podobě

Výzkumníci poznamenávají, že překvapivě mnoho komunikačních programů nepoužívá správně či dokonce vůbec zabezpečené kryptografické protokoly SSL/TLS (Secure Sockets Layer/Transport Layer Security), což může vést k zachycení dat například prostřednictvím veřejné Wi-Fi skrze tzv. MITM („man-in-the-middle“) útok. Pro tyto účely lze využít třeba nástroj dSploit, který si na rootnutý telefon či tablet může nainstalovat každý (nástroji dSploit jsme se věnovali v samostatné recenzi dSploit: hackněte si svou bezdrátovou síť!).

dSploit: hackněte si svou bezdrátovou síť!

Například komunikátor OkCupid je aplikace, kterou používají asi 3 miliony lidí na celém světě, přičemž program nešifruje chaty přes SSL. S použitím „snifferu“ mohli vědci vidět text, který byl poslán, jakož i odesílatele a příjemce.

OkCupid nešifruje chaty přes SSL

OkCupid nešifruje chaty přes SSL

OkCupid nešifruje chaty přes SSL

Výsledky analýz výzkumníci odeslali vývojářům dotčených aplikací e-mailem, kde poukázali na nalezené nedostatky, nicméně odpovědi se dočkali jen v některých případech.

Základní bezpečnostní opatření, které byste měli dodržovat, pokud nechcete, aby se vaše soukromá data dostala do nepovolaných rukou, zní: nikdy neposílejte skrze Internet nic, co by neměl vidět někdo další. Když už není jiné cesty, vždy soubory před posláním zašifrujte.

Zdroje: CIO, Keinex, PC World, ComputerWorld.