Firma ochroniarska wyszczególnia obawy dotyczące prywatności; deweloper opowiada nam swoją wersję historii

Podsumujmy: późnym wieczorem w środę (lub wczesnym rankiem w czwartek) relacjonowaliśmy historię opublikowane w Mobile Beat które wyszło z konferencji Black Hat dotyczącej bezpieczeństwa online. Na konferencji Kevin MaHaffey, CTO w firmie zajmującej się bezpieczeństwem urządzeń mobilnych Uważaj, opowiadał o aplikacji od programisty „jackeey, wallpaper”, która jest w zasadzie portalem do pobierania tapet na telefon z Androidem. Historia opowiada o „wątpliwej aplikacji mobilnej do tapet na Androida, która gromadzi Twoje dane osobowe i wysyła je do tajemniczej witryny w Chinach (i) została pobrana miliony razy”.

Skontaktowaliśmy się z firmą Lookout - która powtarza, że ​​aplikacje, choć podejrzane, niekoniecznie są złośliwe. Otrzymaliśmy również odpowiedź od danego programisty. Aktualizacje z obu po przerwie.

Wyjaśnienie Lookouta

Wczesnym rankiem w czwartek otrzymaliśmy e-mail od MaHaffey dotyczący aplikacji „jackeey, tapety”. Wyjaśnił co następuje z artykułu Mobile Beat, a także z naszej historii:

„Aplikacje do tapet, które przeanalizowaliśmy, wykazały wysyłanie kilku wrażliwych danych do komputera serwer, w tym numer telefonu urządzenia, identyfikator abonenta i aktualnie zaprogramowaną pocztę głosową numer. Aplikacje, które przeanalizowaliśmy, nie miały dostępu do wiadomości SMS urządzenia, historii przeglądania ani poczty głosowej hasło (chyba że użytkownik ręcznie zaprogramował numer poczty głosowej na urządzeniu tak, aby zawierał pocztę głosową hasło)."

Dodał również, że „chociaż dane, do których uzyskują dostęp aplikacje do tapet, są z pewnością podejrzane i pochodzą z aplikacji tapetowych, nie twierdzimy, że te aplikacje są złośliwe”.

W poście na blogu wyjaśniono metodologię

W czwartek po południu MaHaffey zamieścił obszerne wyjaśnienie na blogu Lookout, szczegółowo opisując kod i powtarzając że chociaż kod, o którym mowa, jest podejrzany, „nie ma dowodów na złośliwe zachowanie”. I to jest ważne rozróżnienie robić.

Więc o co chodzi? Oto jak MaHaffey wyjaśnia rzeczy:

„W aplikacjach do tapet znajduje się kod, który umożliwia dostęp do poufnych danych. Należy pamiętać, że nie wszystkie aplikacje, które uzyskują dostęp do poufnych danych, w rzeczywistości przesyłają je z urządzenia. Aby zobaczyć, jakie informacje aplikacje tapetowe przesyłają do Internetu, przeanalizowaliśmy ruch sieciowy generowany przez aplikację. Kiedy korzystaliśmy z aplikacji, szczególnie wyróżniało się jedno żądanie, niezaszyfrowane żądanie HTTP skierowane do serwera o nazwie „imnet.us”. "

Deweloper odpowiada

Skontaktowaliśmy się dzisiaj z twórcą aplikacji do tapet i zapytaliśmy, jakie dokładnie informacje te aplikacje zbierają i dlaczego mają być wysyłane na serwer. (To, że serwer znajduje się w Chinach, prawdopodobnie nie ma znaczenia).

Możesz przeczytać całą odpowiedź poniżej, z których większość jest podważona przez poprzednie wyjaśnienie Lookout, że wiadomość tekstowa i historia przeglądania rzeczywiście nie był Zebrane. Co do tego, co zostało zebrane, deweloper powiedział nam, co następuje:

Zebrałem rozmiar ekranu, aby zwrócić bardziej odpowiednią tapetę dla telefonu. Coraz więcej użytkowników wysyłało mi e-maile z informacją, że tak bardzo kochają moje aplikacje do tapet, ponieważ nawet „Tło” nie pasuje do ekranu telefonu.
Zebrałem również identyfikator urządzenia, numer telefonu i identyfikator abonenta, nie ma to związku z danymi użytkownika. Istnieje kilka aplikacji na rynku Android, które mają funkcję ulubionych. Wielu użytkowników sugeruje, że powinienem udostępnić tę funkcję, więc używam ich do identyfikacji urządzenia, aby mogli ulubione tapety wygodniej i wznawiaj swoje ulubione po zresetowaniu systemu lub zmianie telefon.

Więc na tym właśnie stoimy. I to niekoniecznie jest nowością dla Androida. Aplikacje mogą mieć dostęp do części Twojego telefonu, których niekoniecznie potrzebują, ale bez zamiaru złośliwości. (To tam te ostatnie „X procent aplikacji na Androida może uzyskać dostęp do Twoich danych osobowych !!!” historie.) To tylko kwestia kodowania i zamiarów, prawda? To powiedziawszy, musisz zwracać uwagę na ostrzeżenie, które otrzymujesz za każdym razem, gdy instalujesz aplikację. Nasz poprzedni przykład brzmi prawdziwie: jeśli, powiedzmy, kalkulator powiedział, że musi zobaczyć moje wiadomości tekstowe, martwiłbym się. Dużo. Jest to albo źle zakodowana aplikacja, albo nic dobrego. Tak czy inaczej, nie chcę tego w moim telefonie.

Czy to wszystko FUD? Kiedy firma ochroniarska mówi, że musimy być ostrożni, jesteśmy ostrożni - a fakt, że firma ochroniarska zarabia na sprzedaży oprogramowania zabezpieczającego, nie jest dla nas stracony. Ale nie spiesz się i przeczytaj ponownie post MaHaffeya. Przeczytaj ponownie odpowiedź programisty poniżej.

Morał tej historii polega na tym, że pamiętaj o tym, co pobierasz, czytasz tyle, ile możesz, i na bieżąco. MaHaffey z Lookout również tak mówi, kończąc na „Ogólnie naszym celem jest pomoc użytkownikom i programistom na wszystkich platformach mobilnych, aby być odpowiedzialnym i czujnym w zapewnianiu bezpiecznego telefonu komórkowego doświadczenie."

W rzeczy samej.

Odpowiedź Jackeey