211service.com
Jak twórcy aplikacji pozostawiają otwarte drzwi inwigilacji NSA
Wiadomość, że Agencja Bezpieczeństwa Narodowego od lat zbiera dane osobowe wyciekające z aplikacji mobilnych, takich jak Angry Birds, wywołała wczoraj nową falę plotek o zasięgu NSA. Jednak NSA i jej brytyjski odpowiednik, GCHQ, prawie nie musiały przełamywać technicznego gruntu, aby zebrać te dane. Niewiele aplikacji mobilnych wdraża technologię szyfrowania w celu ochrony danych przesyłanych przez Internet, więc agencje mogą w trywialny sposób zbierać i dekodować te dane, korzystając z istniejącego dostępu do sieci internetowych.
Dokumenty oglądane i publikowane przez New York Times oraz Opiekun gazety pokazują, że NSA i GCHQ mogą zbierać informacje, takie jak wiek, lokalizacja i orientacja seksualna danej osoby z danych przesyłanych przez Internet przez aplikacje. Takie dane osobowe są zawarte w danych, które aplikacje wysyłają z powrotem do firm, które je obsługują i wspierają. Obejmuje to dane wysyłane do firm, które wyświetlają i kierują reklamy w aplikacjach mobilnych.
To dowód na zaniedbany poziom braku bezpieczeństwa ze strony producentów aplikacji, mówi Piotr Eckersly , dyrektor projektów technologicznych w Electronic Frontier Foundation. Eckersly mówi, że starał się przekonać firmy do: bezpieczny ruch internetowy pokazuje powszechne lekceważenie zagrożeń związanych z przesyłaniem danych osób przez Internet bez zabezpieczeń przed przechwyceniem. Większość firm nie ma uzasadnionego powodu, aby nie zabezpieczać tych danych, mówi Eckersly. Często bezpieczeństwo i prywatność ich użytkowników jest tak daleko na liście priorytetów, że nawet o tym nie pomyśleli.
DO Badanie 2012 z 13 500 aplikacji na Androida opracowanych przez badaczy w Niemczech tylko 0,8 procent korzystało wyłącznie z połączeń szyfrowanych, a 43 procent w ogóle nie używa szyfrowania. W zeszłym tygodniu firma MetaIntell zajmująca się bezpieczeństwem aplikacji mobilnych zgłoszone że 92 procent z 500 najpopularniejszych aplikacji na Androida przekazywało niektóre dane w sposób niepewny.
Często trudno jest stwierdzić, czy aplikacja używa szyfrowania, czy też nie przesyła danych. Przeglądarki internetowe wyświetlają ikonę kłódki obok adresu internetowego witryny, jeśli używa ona szyfrowania, ale nie ma takiego odpowiednika w przypadku aplikacji mobilnych. Ręczne sprawdzanie, czy aplikacja mobilna zabezpiecza transfery danych, obejmuje sprawdzanie dzienników sieciowych w celu zbadania, w jaki sposób aplikacja łączy się z serwerami.
Dokumenty opublikowane w poniedziałek wskazują, że Mapy Google wyciekają szczególnie przydatne dane do celów inwigilacyjnych. Dokumenty zarówno z NSA, jak i GCHQ odnotowują, w jaki sposób zapytania przechwycone z tej aplikacji mogą ujawnić ruchy danej osoby. Dokument GCHQ z 2008 r. stwierdza, że system skonfigurowany do przechwytywania danych skutecznie oznacza, że każdy, kto korzysta z Map Google na smartfonie, obsługuje G.C.H.Q. system.
Google ustawił szyfrowanie jako domyślne dla swoich wyszukiwarek internetowych we wrześniu zeszłego roku, ale nie podaje do publicznej wiadomości, które z jej aplikacji mobilnych używają szyfrowania. Rzecznik firmy powiedział: Przegląd technologii MIT że obecne wersje aplikacji Mapy Google używają szyfrowania do ochrony danych przesyłanych z powrotem na serwery firmy. Sugeruje to, że agencje wywiadowcze nie mogą już widzieć miejsc, których ludzie szukają, przechwytując ruch internetowy.
Dokumenty, które wyciekły, pokazują również, w jaki sposób technologia kierowania reklam wbudowana w wiele aplikacji może ujawnić dane osobowe. Wiele firm produkujących aplikacje korzysta z technologii zewnętrznych firm reklamowych, które zbierają i przesyłają dane dotyczące śledzenia i kierowania reklam (patrz: Firmy zajmujące się reklamami mobilnymi szukają nowych sposobów śledzenia Cię i przygotowują się na reklamy, które śledzą Cię z jednego urządzenia na drugie ).
Dane te często zawierają dane profilowe dotyczące osoby, takie jak płeć, przybliżony wiek i lokalizacja. Raport GCHQ z 2012 r. szczegółowo opisuje technologię zaprojektowaną do wyciągania takich profili z danych przesyłanych przez grę Angry Birds. Przeprowadzona przez MetaIntell analiza obecnej wersji tej aplikacji na Androida wykazała, że wysyła ona niezaszyfrowane dane do AdMob, firmy reklamowej na telefony komórkowe należącej do Google. W raporcie z 2012 r. wyróżniono również firmę reklamową Tysiącletni , który kompiluje profile, które mogą również obejmować pochodzenie etniczne, stan cywilny i orientację seksualną danej osoby. Rzecznik Millennial powiedział Przegląd technologii MIT że firma widzi tylko te dane, które jej partnerzy mają pozwolenie na zbieranie od swoich użytkowników i że reklamy nie są kierowane na podstawie orientacji seksualnej.
Firmy zajmujące się technologiami reklamowymi, takie jak Millennial, mają mniejszą motywację do poświęcania czasu na ochronę przesyłanych danych niż twórcy aplikacji, ponieważ pracują za kulisami. Wydaje się, że firmy reklamowe są szczególnie mało prawdopodobne, aby korzystały z szyfrowania, mówi niezależny badacz Aszkan Soltani . Przyczynił się do ankieta 2010 prywatności i bezpieczeństwa aplikacji mobilnych przez dziennik 'Wall Street okazało się, że większość danych wysyłanych przez aplikacje nie była chroniona przez szyfrowanie. Większość platform reklamowych go nie obsługuje.
Marc Rogers, główny badacz bezpieczeństwa w firmie zajmującej się bezpieczeństwem mobilnym Uważaj , mówi, że poniedziałkowe wiadomości mogą pomóc to zmienić. Mówi, że jako branża twórcy aplikacji mobilnych, a zwłaszcza reklamodawcy mobilni, będą musieli zmienić swoje rozumienie tego, co należy uznać za wrażliwe, aby uwzględnić wszelkie dane osobowe przesyłane przez sieć.
Jeśli tak się nie stanie, nie będzie to spowodowane obciążeniami technicznymi i finansowymi. Przy obecnym stanie technologii żadna aplikacja mobilna nie powinna mieć pozwolenia na wdrożenie odpowiedniego szyfrowania, mówi Rogers.