Две трети популярных Android-программ используют дырявые компоненты

Две трети популярных Android-программ используют дырявые компоненты

Две трети популярных Android-программ используют дырявые компоненты

По данным Synopsys, почти все популярные приложения из каталога Google Play Store полагаются на компоненты с открытым исходным кодом. В 63% случаев такой модуль содержит уязвимость — как правило, давно известную.

В контрольную выборку исследователи включили 3335 платных и бесплатных Android-программ разного профиля, пользующихся большим спросом. В этот список вошли игры, банковские клиенты, приложения для знакомств, учебы, занятий фитнесом, управления временем и производительностью.

Анализ показал, что 98% взятых за образец мобильных программ используют opensource-компоненты — в среднем по 20 таких модулей. При этом в 44% случаев это сопряжено с высоким риском из-за незакрытой уязвимости, для которой уже есть рабочий эксплойт.

Совокупно эксперты обнаружили свыше 3000 уникальных уязвимостей, которые повторялись в приложениях более 82 тыс. раз. Почти три четверти брешей были опубликованы больше двух лет назад, а для 94% разработчики уже выпустили заплатки.

Наиболее часто уязвимые компоненты встречались в играх (96% бесплатных и 80% платных образцов), банковских приложениях (88%), приложениях для планирования семейного бюджета (84%) и программах для совершения платежей (80%).

Полученные результаты еще раз доказали необходимость учета такого аспекта, как безопасность, на стадии разработки программных продуктов. Разработчикам приложений следует знать наперечет все используемые ими сторонние модули и регулярно обновлять свой код по выходе патчей.

Кроме уязвимостей, эксперты Synopsys попутно проверили возможность утечки данных в Android-приложениях, а также объем требуемых разрешений. Оказалось, что из-за ошибки разработчиков подвергнутые анализу программы сливают сотни тысяч URL, десятки тысяч IP-адресов и тысячи адресов email, а также более чувствительную информацию — токены OAuth, закрытые ключи RSA, ключи к AWS-сервисам, токены Facebook, Google Cloud и Twilio.

Приложения из контрольной выборки также при установке в среднем запрашивали 18 различных разрешений, в том числе более четырех на доступ к конфиденциальной информации и три таких, которые Google классифицирует как не предусмотренные для сторонних программ. Больше прочих требовали приложения финансового характера — планировщики бюджета, платежные и банковские клиенты; они запрашивали 24 – 26 разрешений.

Recall в Windows 11 может записывать пароли и банковские данные

Переход на Windows 11 долго считался вопросом времени. Рано или поздно, дескать, всё равно придётся. Однако теперь специалисты по защите данных всё чаще говорят обратное: если вам важна конфиденциальность, с обновлением лучше повременить.

Поводом для тревоги стала ИИ-функция Recall, о которой пишет PCWorld. Она способна автоматически сохранять скриншоты экрана и, по мнению экспертов, может фиксировать важные данные: пароли, банковскую информацию, медицинские сведения и другую информацию.

Организация Centre for Digital Rights and Democracy прямо рекомендует пользователям, работающим с конфиденциальными данными, избегать Windows 11 вообще. Причина простая: даже если Recall отключён, он остаётся частью операционной системы.

Microsoft утверждает, что функция доступна только на Copilot+ PC, но, как отмечают эксперты, Recall обнаружен на всех компьютерах с Windows 11 версии 24H2. А значит, теоретически его можно активировать через обновления и без согласия пользователя.

Пока Recall встроен в систему, он рассматривается как потенциальный риск, а постоянная запись экранного контента, по мнению правозащитников, может даже нарушать требования GDPR.

Специалисты по защите данных выделяют несколько сценариев — с разной степенью риска:

  • Остаться на Windows 10, пока она получает патчи.
    Самый надёжный вариант, но только до октября 2026 года, когда закончится программа расширенной поддержки.
  • Перейти на Windows 11 и отключить Recall.
    Частично снижает риски, но не решает проблему полностью: функция остаётся в системе.
  • Перейти на Windows 11 и довериться Microsoft.
    Эксперты оценивают этот вариант как наименее безопасный — политика компании может измениться в любой момент.

С учётом того, что у Windows 10 есть чёткая дата окончания поддержки, правозащитники всё чаще советуют заранее рассматривать альтернативы, в первую очередь — Linux, как более прозрачную и контролируемую платформу.

«Ситуация вокруг Windows 11 наглядно показывает, к каким последствиям может привести поспешное внедрение новых технологий. Стремясь как можно быстрее вывести на рынок ИИ-функции, Microsoft сталкивается с серьёзными вопросами безопасности. Для коммерческих организаций — особенно в финансовом секторе, государственных структурах и на объектах критической информационной инфраструктуры — такие риски недопустимы.

Операционная система Astra Linux изначально разрабатывалась с фокусом на защиту корпоративных данных: безопасность здесь не дополнительная надстройка, а базовый элемент архитектуры. В платформе реализованы развитые механизмы защиты, включая мандатный контроль целостности (МКЦ), который обеспечивает комплексный подход — предотвращает несанкционированный доступ к данным, контролирует целостность системных файлов и блокирует их модификацию, разграничивает доступ на уровне процессов и надёжно защищает от утечек информации.

Эти механизмы проверены временем и позволяют нашим заказчикам быть уверенными в сохранности критически важной информации», — прокомментировал Роман Мылицын, руководитель отдела перспективных исследований «Группы Астра».

RSS: Новости на портале Anti-Malware.ru