Продукт Skype для Android создает риск компрометации данных

Продукт Skype для Android создает риск компрометации данных

Такое заявление появилось вчера в блоге Android Police. Разработчик программ для ОС от Google обнаружил, что пользовательские данные, которые использует Android-приложение известного сервиса видеосвязи, хранятся в открытом незащищенном виде.


Вследствие этого любая посторонняя программа имеет возможность эти данные прочитать и использовать в своих интересах. Раскрытию подвержены такие сведения о человеке, как имя с фамилией, дата рождения, информация о географическом местоположении, баланс счета, номер телефона, электронный адрес и биография - если соответствующие поля заполнены в анкете.

Сообщается, что программист Джастин Кейс выявил проблему, изучая бета-версию продукта Skype Video; впоследствии аналогичный изъян обнаружился и в стандартном выпуске Skype для Android. Для демонстрации специалист написал "вирус", который смог извлечь всю вышеперечисленную информацию без каких-либо особых разрешений и запросов на привилегии; фактически потенциальный шпион оказался способен похитить данные сразу после установки в систему.

Ошибка безопасности вызвана некорректными разрешениями, которые программа устанавливает на свою папку для хранения пользовательских сведений. Вместо того, чтобы допустить к информации только само себя, приложение любезно предоставляет данные в распоряжение любого желающего с ними ознакомиться. Проблема осложнена тем, что адрес этой папки задан статически и хранится в определенном файле конфигурации - а, следовательно, вероятному злоумышленнику будет точно известно, где искать интересующие его сведения. Кстати, и сам этот файл содержит немало конфиденциальной информации.

Представители Skype сообщили, что ведут расследование инцидента и работают над исправлением обнаруженного изъяна. Г-н Кейс, в свою очередь, предложил разработчикам программы не только задать правильные разрешения на доступ к файлам и папкам, но и озаботиться шифрованием важных данных.

eWeek

Письмо автору

В 31% российских компаний отсутствует стратегия внедрения средств ИБ

По данным MWS Cloud (входит в МТС Web Services), стратегию внедрения средств кибербезопасности имеют лишь 42% российских компаний. У 27% бизнес-структур она находится в стадии разработки, а у 31% таковой нет.

Проведенное исследование также показало, что российский бизнес осознает необходимость вкладываться в ИБ, однако небольшие предприятия ожидаемо отстают по наличию стратегии на этом направлении (из-за ограниченных ресурсов). У крупных компаний показатель составил 58-68%, у мини и микро — лишь 31%.

Решения в отношении СЗИ обычно принимает руководство: в 66% случаев — директор по инфраструктуре, в 18% — гендиректор, в 8% — директор по кибербезу. На внедрение таких решений в российских компаниях чаще всего уходит от одного до шести месяцев, в 14% случаев — более 1 года.

Две трети крупных бизнес-структур предпочитают пользоваться облачными ИБ-услугами, в СМБ показатели скромнее (от 24 до 29%).

«Отраслевой срез показывает, что лидерами по доле средств кибербезопасности в облаке являются ИТ, сегмент развлечений и медиа, а также наука и образование (средняя доля около 36%), — отметил директор по продуктам MWS Cloud Михаил Тутаев. — Для транспорта и ретейла также характерны высокие значения (24–27%)».

RSS: Новости на портале Anti-Malware.ru