Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Восемь Android-приложений для родительского контроля, суммарно собравшие свыше 20 млн загрузок, содержат уязвимости, грозящие обходом выставленных ограничений. Некоторые проблемы, по данным SEC Consult, позволяют добраться до конфиденциальной информации, в том числе на других устройствах в домашней сети.

Специализированные интернет-фильтры, призванные оградить детей от нежелательного контента, хранят и передают большие объемы конфиденциальной информации — такой как установленные приложения, контакты, фото, данные геолокации, метаданные вызовов, содержание СМС-сообщений. Выявленные уязвимости не только сводят на нет основную задачу такого софта, но также ставят под угрозу сохранность этих данных и безопасность устройств детей и родителей.

Для исследования были отобраны восемь программ родительского контроля, доступных в Google Play:

  • Familytime (> 1 млн загрузок),
  • Boomerang (> 100 тыс. загрузок),
  • Quostodio (> 1 млн загрузок),
  • Wondershare (> 1 млн),
  • Find My Kids (> 10 млн),
  • Parental Control Kroha (> 1 млн),
  • Kids Place Parental Controls (> 5 млн),
  • Kidssecurity Parental Control (> 1 млн).

Как оказалось, все они позволяют обойти ограничения, выставленные родителями, посредством отзыва разрешений — через настройки Android или переходом в безопасный режим. Речь идет о таких разрешениях, как политики администрирования, история использования, спецвозможности, наложение окна. Некоторые испытуемые приложения пытаются воспрепятствовать такому вмешательству — например, с помощью оверлея поверх системных настроек.

Одна из программ родительского контроля из-за неадекватного управления сессиями позволяла расширить права других приложений ребенка через API. Это тоже грозит снятием всех ограничений — от имени родителя. Еще одно спецприложение открывает возможность для считывания метаданных на другом устройстве через API.

Некоторые испытуемые проги допускают использование клиент-серверного приложения ADB (Android Debug Bridge) для создания резервных копий. В итоге злоумышленник сможет с его помощью добраться до бэкапа и украсть конфигурационные и другие закрытые данные, хранимые на смартфоне.

Исследователи также проверили на уязвимость веб-панели мониторинга для родителей. Оказалось, что в двух случаях можно провести XSS-атаку с целью выполнения различных действий на устройстве ребенка от имени родителя. Уязвимость тоже позволяет снять текущие ограничения, а также получить доступ к учетным данным пользователя (родителя).

Несколько приложений-фильтров допускают передачу данных открытым текстом (в виде опции), что открывает возможность для атаки «человек посередине» (MitM). Злоумышленник сможет таким образом завладеть учетками и ПДн. В этом случае не спасет даже такая защита, как закрепление сертификатов (certificate pinning), так как ее можно обойти с помощью специального скрипта для фреймворка Frida.

Некоторые сторонние серверы, с которыми контактируют программы родительского контроля, отслеживают не только использование софта и веб-панели, но также движения курсора мыши и клики — таким трекингом занимается, в частности, сервис mc.yandex.ru, получающий данные от Find My Kids.

О своих находках SEC Consult сообщила вендорам. После выпуска патчей аналитики обещают опубликовать другие подробности.

Cloudflare признал домены Телеги шпионскими

Удаление приложения «Телега» из App Store, судя по всему, оказалось связано не только с шумом вокруг безопасности, но и с инфраструктурными проблемами проекта. Речь идёт о двух доменах, которые, по данным издания, относятся к проекту: telega.me и api.telega.info.

После появления такой метки, как объяснили собеседники «Кода Дурова», для «Телеги» фактически запустился процесс быстрого вытеснения с крупных площадок.

Один из ключевых эпизодов в этой цепочке — отзыв TLS-сертификата международным удостоверяющим центром GlobalSign. Именно этот сертификат подтверждал подлинность проекта и использовался для защищённого соединения по HTTPS.

По словам одного из экспертов, отзыв сертификата мог стать критически важным фактором для присутствия приложения в App Store.

 

При этом мнения собеседников издания немного разошлись в деталях. Один из них считает, что решающим был именно отзыв сертификата, а пометка Cloudflare лишь запустила эту цепочку.

Другой, наоборот, полагает, что главную роль сыграло именно признание доменов Telega «шпионскими», а уже затем это привело к отзыву сертификата и удалению приложения со стороны Apple.

Смысл их аргумента примерно такой: если бы проблема была только в технической замене сертификата, разработчики могли бы сравнительно быстро перевыпустить его и вернуть приложение в рабочее состояние.

Но поскольку речь шла именно об отзыве сертификата на фоне более серьёзной репутационной и инфраструктурной оценки, ситуация оказалась жёстче.

В итоге сторонний клиент исчез из App Store. И это произошло на фоне уже и без того громкого скандала вокруг «Телеги»: ранее приложение активно обсуждали из-за подозрений в возможном MITM-перехвате трафика.

RSS: Новости на портале Anti-Malware.ru