Güvenlik firması gizlilik endişelerini detaylandırır; geliştirici bize hikayenin kendi tarafını anlatıyor

Özetleyelim: Çarşamba gecesi geç (veya Perşembe sabahı erken), bir hikaye yayınladık Mobile Beat'te yayınlandı Black Hat çevrimiçi güvenlik konferansından çıktı. Konferansta, mobil güvenlik firmasının CTO'su Kevin MaHaffey Bak, temelde Android telefonunuz için duvar kağıtları indirmek için bir portal olan geliştirici "jackeey, duvar kağıdı" nın bir uygulamasından bahsedildi. Hikaye, "kişisel verilerinizi toplayan ve Çin'deki gizemli bir siteye gönderen (ve) milyonlarca kez indirilen şüpheli bir Android mobil duvar kağıdı uygulaması" nın hikayesini anlattı.

Lookout ile iletişim halindeydik - bu, uygulamaların şüpheli olsa da mutlaka kötü niyetli olmadığını yineliyor. Ayrıca söz konusu geliştiriciden bir yanıt aldık. Aradan sonra her ikisinden de güncellemeler.

Lookout'un açıklaması

Perşembe sabahı erken saatlerde, MaHaffey'den "jackeey, duvar kağıdı" uygulamalarıyla ilgili bir e-posta aldık. Mobile Beat parçasından ve hikayemizden aşağıdakileri açıkladı:

"Analiz ettiğimiz duvar kağıdı uygulamalarının birkaç hassas veriyi bir bir cihazın telefon numarası, abone tanımlayıcısı ve şu anda programlanmış sesli posta dahil olmak üzere sunucu numara. Analiz ettiğimiz uygulamalar bir cihazın SMS mesajlarına, tarama geçmişine veya sesli postasına erişmedi şifre (kullanıcı cihazdaki sesli posta numarasını sesli postayı içerecek şekilde manuel olarak programlamadıysa) parola)."

Ayrıca, "duvar kağıdı uygulamalarının eriştiği veriler duvar kağıdı uygulamalarından gelen kesinlikle şüpheli olsa da, bu uygulamaların kötü amaçlı olduğunu söylemiyoruz." Dedi.

Blog yazısı metodolojiyi açıklıyor

Perşembe öğleden sonra MaHaffey, Lookout'un blogunda söz konusu kodu detaylandıran ve yineleyen uzun bir açıklama yayınladı. söz konusu kod şüpheli olsa da, "kötü niyetli davranışa dair hiçbir kanıt yoktur." Ve bu önemli bir ayrım Yapmak.

Peki önemli olan nedir? MaHaffey olayları şöyle açıklıyor:

"Duvar kağıdı uygulamalarında hassas verilere erişen kod vardır. Hassas verilere erişen tüm uygulamaların, verileri cihazdan gerçekten aktarmadığına dikkat etmek önemlidir. Duvar kağıdı uygulamalarının internete ne tür bilgiler aktardığını görmek için uygulamanın oluşturduğu ağ trafiğini inceledik. Uygulamayı kullandığımızda, özellikle bir istek göze çarpıyordu, 'imnet.us' adlı bir sunucuya şifrelenmemiş bir HTTP isteği. "

Geliştirici yanıt verir

Bugün duvar kağıdı uygulamalarının geliştiricisiyle iletişim halindeydik ve uygulamaların tam olarak hangi bilgileri topladığını ve neden herhangi bir bilginin bir sunucuya gönderileceğini sorduk. (Sunucunun Çin'de olması muhtemeldir.)

Aşağıdaki yanıtın tamamını okuyabilirsiniz; bunların çoğu, Lookout'un daha önceki kısa mesaj ve göz atma geçmişine ilişkin açıklamasıyla tartışmalı hale getirilmiştir. değildi toplanmış. Neyin toplandığına gelince, geliştirici bize şunları söyledi:

Telefona daha uygun duvar kağıdını döndürmek için ekran boyutunu topladım. Her geçen gün daha fazla kullanıcı bana e-posta ile duvar kağıdı uygulamalarımı çok sevdiklerini, çünkü "Arka Plan" bile telefonun ekranına tam olarak uymuyor.
Ayrıca cihaz kimliği, telefon numarası ve abone kimliğini de topladım, kullanıcı verileriyle hiçbir ilişkisi yok. Android pazarında favoriler özelliğine sahip birkaç uygulama var. Birçok kullanıcı özelliği sağlamamı öneriyor, böylece bunları cihazı tanımlamak için kullanıyorum, böylece duvar kağıtlarını daha rahat bir şekilde favorilerinize ekleyin ve sistemi sıfırladıktan veya değiştirdikten sonra telefon.

Yani, durduğumuz yer burası. Ve bu, Android için mutlaka yeni bir şey değil. Uygulamalar, telefonunuzun ihtiyaç duymadıkları, ancak herhangi bir kötü niyet söz konusu olmayan bölümlerine erişebilirler. (Bu son zamanlarda "Android uygulamalarının yüzde X'i kişisel verilerinize ulaşabilir !!!" hikayeler geldi.) Bu sadece bir kodlama ve niyet meselesi, değil mi? Bununla birlikte, bir uygulamayı her yüklediğinizde aldığınız uyarıya dikkat etmeniz gerekir. Önceki örneğimiz doğru geliyor: Diyelim ki, bir hesap makinesi metin mesajlarımı görmesi gerektiğini söylese, endişelenirim. Çok. Ya kötü kodlanmış bir uygulama ya da işe yaramıyor. Her iki durumda da telefonumda istemiyorum.

Hepsi bu mu FUD? Bir güvenlik şirketi ihtiyatlı olmamız gerektiğini söylediğinde temkinli davranırız ve bir güvenlik şirketinin parasını güvenlik yazılımı satarak kazandığı gerçeği bizim için kaybolmaz. Ama acele etmeyin ve MaHaffey'in gönderisini tekrar okuyun. Ve geliştiricinin yanıtını aşağıda tekrar okuyun.

Hikayenin ahlaki, indirdiklerinize dikkat edin, olabildiğince çok okuyun ve her şeyi takip edin. Lookout'tan MaHaffey de öyle söylüyor ve "Genel olarak amacımız kullanıcılara ve geliştiricilere aynı şekilde tüm mobil platformlarda güvenli bir mobil sağlamak için sorumlu ve tetikte olmak deneyim."

Aslında.

Jackeey Yanıtı