सुरक्षा सप्ताह 06: मोबाइल एप्लिकेशन में विज्ञापन ट्रैकर

अमेज़ॅन रिंग स्मार्ट डोरबेल मोबाइल एप्लिकेशन एक बार में तीन कंपनियों को विस्तृत उपयोगकर्ता जानकारी भेजता है, बाद के विज्ञापन लक्ष्यीकरण के लिए जानकारी एकत्र करता है, साथ ही साथ फेसबुक नेटवर्क भी। ये इलेक्ट्रॉनिक फ्रंटियर्स फाउंडेशन ( समाचार , मूल लेख ) द्वारा किए गए एक अध्ययन के परिणाम हैं । ईएफएफ विश्लेषण के परिणामों को एक चौंकाने वाली खोज नहीं कहा जा सकता है: अधिकांश मोबाइल एप्लिकेशन विज्ञापन नेटवर्क को एक या दूसरे तरीके से डेटा की आपूर्ति करते हैं। ब्याज डेटा को डिक्रिप्ट करने की विधि है, साथ ही अध्ययन के तहत आवेदन का प्रकार भी। किसी भी अन्य परिदृश्यों के विपरीत, यहां हम एक व्यक्तिगत निगरानी कैमरे के साथ काम करने के बारे में बात कर रहे हैं। इस तरह की बातचीत, सिद्धांत में, गोपनीयता के अधिकतम स्तर के साथ होनी चाहिए।

लेकिन नहीं। उदाहरण के लिए, फेसबुक सोशल नेटवर्क, अमेज़ॅन रिंग एप्लिकेशन से एप्लिकेशन के उद्घाटन, उपयोगकर्ता कार्यों के बारे में, साथ ही डेटा जो स्वामी की पहचान कर सकता है, से सूचनाएं प्राप्त करता है। इनमें स्मार्टफोन मॉडल, भाषा सेटिंग्स, स्क्रीन रिज़ॉल्यूशन, डिवाइस आइडेंटिफायर शामिल हैं। फेसबुक यह सब डेटा प्रोसेस करेगा भले ही आपके पास सोशल नेटवर्क अकाउंट न हो। यह अपने आप में एक दिलचस्प समस्या है: यदि आपके पास एक फेसबुक खाता है, तो आपके पास उस डेटा पर कम से कम न्यूनतम नियंत्रण है जो सीधे इसके साथ जुड़ा हुआ है। यदि कोई खाता नहीं है, तो कोई नियंत्रण नहीं है, लेकिन सामाजिक नेटवर्क अभी भी आपके बारे में कुछ जानता है। यद्यपि विज्ञापनदाताओं को भेजे गए सभी डेटा सेटों में विशिष्ट पहचानकर्ता नहीं होते हैं (जैसे पहले और अंतिम नाम) उपयोगकर्ता पहचानकर्ता, इसकी अक्सर आवश्यकता नहीं होती है।विभिन्न अनुप्रयोगों के डेटा का संयोजन हमें पासपोर्ट से बेहतर पहचान देता है और विज्ञापनदाताओं को ऐसे लक्षणों और आदतों के बारे में सूचित करता है, जिन पर हम खुद संदेह नहीं करते।

डेटा विश्लेषण एक मानक उपकरण का उपयोग करके किया गया था - खुले मितप्रोक्सी सॉफ्टवेयर पैकेज । स्मार्टफोन सभी डेटा को स्थानांतरित करने के लिए मितप्रोक्सी का उपयोग करता है, और https ट्रैफ़िक को डिक्रिप्ट करने के लिए, डिवाइस पर एक रूट प्रमाणपत्र स्थापित किया जाता है। ऐसे मामलों में एक अन्य आवश्यक कार्रवाई यह है कि जांच के अलावा सभी अनुप्रयोगों से डेटा के हस्तांतरण पर रोक लगाई जाए। AFWall + एप्लिकेशन का उपयोग करके ट्रैफ़िक प्रतिबंध लागू किया गया थास्मार्टफोन पर सुपरसुअर अधिकारों की आवश्यकता। हालांकि, यहां तक ​​कि ऐसा कोई संयोजन पर्याप्त नहीं था: अमेज़ॅन रिंग एप्लिकेशन विज्ञापन नेटवर्क के साथ संवाद करने के लिए अपने स्वयं के प्रमाण पत्र का उपयोग करता है, जो सिस्टम पर स्थापित हैं, उनकी अनदेखी करते हैं। रिपोर्ट में कहा गया है कि सामान्य स्थिति में यह दृष्टिकोण आंशिक रूप से समझौता किए गए स्मार्टफोन पर भी उपयोगकर्ता ट्रैफ़िक की सुरक्षा करता है, लेकिन "वैध" ट्रैफ़िक अध्ययन को जटिल बनाता है। फ्रिडा फ्रेमवर्क का उपयोग करके, चल रहे एप्लिकेशन को संशोधित करना संभव था , ताकि वह माइटप्रॉक्सी से एक प्रमाण पत्र का उपयोग करे।

फेसबुक के अलावा, अमेज़ॅन रिंग ऐप डेटा को Branch.io, AppsFlyer और Mixpanel विज्ञापन एग्रीगेटर्स को भेजता है। विशेष रूप से एप्लाइस्लर - उपयोग किए गए वाहक के बारे में जानकारी प्राप्त करता है, कई उपयोगकर्ता पहचानकर्ता, साथ ही इस कंपनी के लिए एक विज्ञापन ट्रैकर की उपस्थिति, अगर यह पहले से डिवाइस पर प्रीइंस्टॉल्ड था। सबसे दिलचस्प बात, AppsFlyer भी स्मार्टफोन के भौतिक सेंसर से जानकारी प्राप्त करता है: मैग्नेटोमीटर, एक्सेलेरोमीटर और जाइरोस्कोप। मिक्सपैनल नेटवर्क, ईएफएफ के अनुसार प्राप्त करता है, निजी जानकारी की अधिकतम: पूर्ण नाम, ईमेल, पता, डिवाइस प्रोफाइल, स्थापित कैमरों के मापदंडों के साथ आवेदन सेटिंग्स और बहुत कुछ।

अमेज़ॅन रिंग के प्रवक्ता ने अपेक्षित तरीके से अध्ययन पर टिप्पणी की: यह ठीक है! आवेदन को बेहतर बनाने, विपणन अभियानों की प्रभावशीलता को मापने के लिए आंकड़ों को इकट्ठा करने के लिए एक तीसरे पक्ष को डेटा ट्रांसफर का उपयोग किया जाता है। जिन सेवाओं में डेटा स्थानांतरित किया जाता है, वे केवल जानकारी का उपयोग करने के लिए अनुबंधित किए जाते हैं क्योंकि उन्हें आवेदन डेवलपर द्वारा अनुमति दी जाती है, और किसी अन्य तरीके से नहीं। और डेवलपर उन्हें क्या करने की अनुमति देता है? इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन ने शिकायत की है कि अमेज़ॅन रिंग न केवल उपयोगकर्ता के बारे में जानकारी एकत्र करता है, बल्कि वास्तव में उसे इसके बारे में सूचित नहीं करता है। आईटी उद्योग के कई आधुनिक दिग्गजों का व्यवसाय उपभोक्ता डेटा के संग्रह और प्रसंस्करण पर बनाया गया है, और आज उपयोगकर्ता की जानकारी प्रसारित करने का अभ्यास आम तौर पर स्वीकार किया जाता है। अमेज़न रिंग अन्य ऐप्स से अलग नहीं है,जिसे हम खुद या जो फोन निर्माता ने डाउनलोड किया है, वह डिवाइस को रिटेल में भेजने से पहले डाउनलोड करता है। केवल नैतिक मानकों का संशोधन (और उपयोगकर्ता समझौते नहीं), आमतौर पर उपयोगकर्ता जानकारी की सुरक्षा के लिए स्वीकार किए जाते हैं इस स्थिति को बदल सकते हैं। कम से कम उपयोगकर्ता के लिए सबसे संवेदनशील परिदृश्यों के मामले में - जब बैंक खाते, पासवर्ड या होम वीडियो निगरानी प्रणाली की बात आती है।

और क्या हुआ: तीसरे पक्ष के चैनलों के माध्यम से इंटेल प्रोसेसर के कैश से डेटा लीक (2019 की चौथी तिमाही से पहले जारी) पर
एक नया अध्ययन । वैज्ञानिक कार्यों के लेखकों ने पहले खोजी गई कमजोरियों से निपटने के लिए इंटेल द्वारा उपयोग किए गए पैच को दरकिनार करने में कामयाब रहे। कैशेओट हमले ने न केवल कैश फ्लशिंग को रोक दिया, बल्कि आपको एक निश्चित डिग्री सटीकता के साथ चयन करने की अनुमति देता है कि क्या जानकारी निकाली जा सकती है। भेद्यता सैद्धांतिक रूप से "एक आभासी मशीन से बच" परिदृश्य को लागू करने के लिए इस्तेमाल किया जा सकता है, हालांकि इंटेल के अनुसार , व्यावहारिक शोषण की संभावना नहीं है। समर्थित प्रोसेसर में माइक्रोकोड अपडेट द्वारा कमजोरता को बंद कर दिया जाएगा।

Adobe बंद हो गयाई-कॉमर्स प्लेटफॉर्म Magento में कई कमजोरियाँ। उनमें से एक महत्वपूर्ण समस्या है जो SQL इंजेक्शन और मनमाने कोड निष्पादन की अनुमति देती है। साइट से डेटा चुराने या वास्तविक समय में उपयोगकर्ताओं से भुगतान विवरणों को इंटरसेप्ट करने के लिए अनपेक्षित मैगेंटो-आधारित सिस्टम पर नियमित रूप से हमला किया जाता है।

बन्द हैवेब कॉन्फ्रेंसिंग ज़ूम के लिए सेवा में प्रतिबंधात्मक भेद्यता। डिफ़ॉल्ट रूप से, कॉन्फ़्रेंस कॉल तक पहुंच पासवर्ड से सुरक्षित नहीं है, और कनेक्शन के लिए आपको केवल 9–11 अंकों के पहचानकर्ता की आवश्यकता है। चेक प्वाइंट सॉफ्टवेयर के शोधकर्ताओं ने एक हजार यादृच्छिक पहचानकर्ता उत्पन्न किए, जिसके बाद वे उन्हें सेवा अनुरोधों में स्थानापन्न करने लगे। भेद्यता इस तथ्य में निहित है कि कनेक्शन अनुरोध के तुरंत बाद ज़ूम सर्वर रिपोर्ट करता है कि पहचानकर्ता सही है या नहीं (4% यादृच्छिक आईडी "संपर्क किया गया")। यदि पहचानकर्ता सही है, तो आप बैठक (आयोजकों और प्रतिभागियों के नाम, तिथि और समय) के बारे में जानकारी प्राप्त कर सकते हैं और उससे जुड़ सकते हैं। ग्राहक के अनुरोध के जवाब में डिफ़ॉल्ट पासवर्ड का उपयोग करके, और सर्वर द्वारा दी गई जानकारी को सीमित करने के लिए समस्या को हल किया गया था (वैध ग्राहकों को अभी भी इसकी आवश्यकता नहीं है)।

Google और मोज़िलाक्रोम और फ़ायरफ़ॉक्स ब्राउज़रों के लिए स्वच्छ ऐड-ऑन स्टोर। क्रोम से, या तो अस्थायी रूप से या स्थायी रूप से सभी भुगतान किए गए ऐड-ऑन को हटा दिया जाता है - कम से कम जब तक उपयोगकर्ताओं से पैसे निकालने वाले धोखाधड़ी एक्सटेंशन के साथ समस्या हल नहीं होती है। बाहरी स्रोतों से निष्पादन योग्य कोड को लोड करने वाले एक्सटेंशन को फ़ायरफ़ॉक्स ऐड-ऑन कैटलॉग से हटा दिया गया है। वितरण में सम्मेलन कॉल के लिए बी 2 बी घटक, एक बैंकिंग सेवा और एक बहु-उपयोगकर्ता ब्राउज़र गेम के लिए एक विस्तार शामिल था।

Source: https://habr.com/ru/post/undefined/