Продукт Skype для Android создает риск компрометации данных

Продукт Skype для Android создает риск компрометации данных

Такое заявление появилось вчера в блоге Android Police. Разработчик программ для ОС от Google обнаружил, что пользовательские данные, которые использует Android-приложение известного сервиса видеосвязи, хранятся в открытом незащищенном виде.


Вследствие этого любая посторонняя программа имеет возможность эти данные прочитать и использовать в своих интересах. Раскрытию подвержены такие сведения о человеке, как имя с фамилией, дата рождения, информация о географическом местоположении, баланс счета, номер телефона, электронный адрес и биография - если соответствующие поля заполнены в анкете.

Сообщается, что программист Джастин Кейс выявил проблему, изучая бета-версию продукта Skype Video; впоследствии аналогичный изъян обнаружился и в стандартном выпуске Skype для Android. Для демонстрации специалист написал "вирус", который смог извлечь всю вышеперечисленную информацию без каких-либо особых разрешений и запросов на привилегии; фактически потенциальный шпион оказался способен похитить данные сразу после установки в систему.

Ошибка безопасности вызвана некорректными разрешениями, которые программа устанавливает на свою папку для хранения пользовательских сведений. Вместо того, чтобы допустить к информации только само себя, приложение любезно предоставляет данные в распоряжение любого желающего с ними ознакомиться. Проблема осложнена тем, что адрес этой папки задан статически и хранится в определенном файле конфигурации - а, следовательно, вероятному злоумышленнику будет точно известно, где искать интересующие его сведения. Кстати, и сам этот файл содержит немало конфиденциальной информации.

Представители Skype сообщили, что ведут расследование инцидента и работают над исправлением обнаруженного изъяна. Г-н Кейс, в свою очередь, предложил разработчикам программы не только задать правильные разрешения на доступ к файлам и папкам, но и озаботиться шифрованием важных данных.

eWeek

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России собираются узаконить статус Гостеха как единой платформы для ГИС

Минцифры России предлагает внести в закон «Об информации, информационных технологиях и о защите информации» поправки с целью регулирования работы облачной платформы «ГосТех». Новый проект уже согласован с профильной правовой комиссией.

Закрепление на этом уровне статуса и правил эксплуатации Гостеха» не сулит заметных изменений для пользователей. Нормативы, введенные указом президента №231 от 31 марта 2023 года и постановлением правительства №2338 от 16 декабря 2022-го, в целом останутся прежними.

Помимо прочего новый законопроект расширяет состав участников взаимодействия на облачной платформе, систематизируя их роли, права и обязанности. Он также предусматривает возможность доступа коммерческих структур, для которых использование сайта будет платным.

По словам представителя Минцифры, законопроект позволит ускорить переход на платформу всех органов власти и организаций, а также упростит создание ГИС за счет обмена разработками и существенно снизит расходы ведомств на ИТ.

Создание «Гостеха» было анонсировано в 2021 году. Первый сервис на этой платформе запустили в 2022 году, а с апреля 2023-го все госорганы обязали при создании и размещении ИС использовать только эту платформу.

В 2024 году такую же норму ввели для муниципальных органов власти. Исключение составляют лишь системы с гостайной.

К марту 2026 года на «Гостехе» планируется запустить ГИС «Антифрод», способной обеспечить взаимодействие госсектора, банков, операторов связи, IM-сервисов, хостинг-провайдеров в рамках борьбы с телефонным и онлайн-мошенничеством.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru