Apple снова следит за пользователями мобильных устройств

Apple снова следит за пользователями мобильных устройств

 В iPhone 5, впрочем как и любом мобильном устройстве под управлением iOS 6, не только по умолчанию реализована функция слежения за пользователями в интересах рекламодателей и маркетологов, но и максимально усложнена процедура отказа от просмотра целевой рекламы, и отслеживания активности пользователей.

После того, как Apple запретила отслеживать пользовательскую активность своих клиентов при помощи системы UDID, в основном, чтобы избежать обвинений в нарушении конфиденциальности, была создана и внедрена совершенно новая система отслеживания пользовательской активности. Система называется IFA и, по словам руководителей ряда компаний, работающих в сфере мобильной рекламы, является наиболее эффективным инструментом подобного рода, созданным на сегодняшний день. Эксперты компании Apsalar сравнивают её с "постоянными куки." Эта система позволяет заинтересованным сторонам получить наиболее точные данные о покупательских привычках пользователей мобильных устройств. Специалисты утверждают, что новая система не так сложна, как старая, которая вообще не позволяла пользователям отключить функцию слежения. Но тот факт, что Apple сделала процедуру отключения данной функции достаточно сложной, сводит на нет весь положительный эффект от внедрения системы IFA, с точки зрения сохранения конфиденциальности пользовательской активности.

Основная разница между UDID и IFA состоит в том, что при использовании системы IFA, пользователи могут отключить функцию отслеживания активности как полностью, так и частично, отключая лишь отдельные функции системы слежения, по мере их активации. Однако, следует отметить, что оба эти процесса достаточно сложны и потребуют от пользователей совершить гораздо больше действий, чем хотелось бы большинству из них. Например, как утверждают специалисты компании TrustE, «чтобы отключить функцию слежения полностью, пользователям придётся стереть свои устройства для удаления ID», это довольно экстремальный аналог процесса очистки куки в браузере. В мобильных устройствах под управлением iOS 6 присутствует опция ограничения функции слежения, но она скрыта глубоко в настройках телефона. Её нет в настройках конфиденциальности, хотя её размещение в данном разделе настроек было бы логичным. К тому же, по умолчанию данная опция отключена. Это означает, что телефон будет следить за пользователями. Включить опцию можно в разделе «Меню»: «о программе» (about), нажав на маленький виджет «реклама» (advertising).

Детальную инструкцию по включению опции, позволяющей ограничить функцию отслеживания пользовательской активности, можно найти на сайте Business Insider.

Одноразовые СМС-ссылки годами открывают доступ к личным данным

Одноразовые ссылки, которые сервисы рассылают по СМС для входа или подтверждения действий, на практике часто оказываются вовсе не одноразовыми. Новое исследование показало, что такие URL могут годами оставаться активными и открывать доступ к персональным данным пользователей.

Исследователи собрали данные через публичные СМС-шлюзы — сайты, где отображаются сообщения, отправленные на временные номера.

В общей сложности специалисты проанализировали более 33 млн сообщений, связанных с 30 тыс. телефонных номеров, и извлекли около 323 тысячи уникальных ссылок, ведущих на 10,9 тыс. доменов.

Из примерно 147 тыс. доступных URL удалось выявить 701 конечную точку, раскрывающую персональные данные пользователей. Эти ссылки относились к 177 сервисам. В открытом доступе оказывались имена, номера телефонов, адреса, даты рождения, банковские реквизиты, номера социального страхования и кредитные данные. Во многих случаях одной ссылки хватало для сбора подробного профиля человека.

 

Особую тревогу вызвал срок жизни таких ссылок. Все 701 URL оставались рабочими на момент проверки. Более половины из них были возрастом от одного до двух лет, ещё 46% — старше двух лет, а некоторые датировались 2019 годом. По словам авторов исследования, чем дольше ссылка остаётся активной, тем выше риск её утечки — через пересылку сообщений, логи, взломанные устройства или повторное использование номеров.

Во всех подтверждённых случаях доступ к данным строился по принципу bearer-link: сама ссылка служила единственным «ключом» и не требовала дополнительной аутентификации. В 15 сервисах по таким URL можно было изменять персональные данные, а в шести случаях — фактически получить доступ к аккаунту пользователя.

Отдельной проблемой стали слабые токены. Около 73% сервисов использовали ссылки с низкой энтропией, которые можно было подобрать. В ряде случаев исследователям удавалось получить доступ к чужим данным менее чем за десять попыток.

Авторы исследования уведомили 150 компаний, чьи сервисы оказались уязвимыми. Ответили лишь 18, а реальные фиксы внедрили только семь. По мнению исследователей, сама модель доверия к СМС-ссылкам как «безопасному» каналу остаётся системной проблемой: пока такие механизмы проектируются ради удобства, а не безопасности, утечки данных будут неизбежны.

RSS: Новости на портале Anti-Malware.ru