Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Восемь Android-приложений для родительского контроля, суммарно собравшие свыше 20 млн загрузок, содержат уязвимости, грозящие обходом выставленных ограничений. Некоторые проблемы, по данным SEC Consult, позволяют добраться до конфиденциальной информации, в том числе на других устройствах в домашней сети.

Специализированные интернет-фильтры, призванные оградить детей от нежелательного контента, хранят и передают большие объемы конфиденциальной информации — такой как установленные приложения, контакты, фото, данные геолокации, метаданные вызовов, содержание СМС-сообщений. Выявленные уязвимости не только сводят на нет основную задачу такого софта, но также ставят под угрозу сохранность этих данных и безопасность устройств детей и родителей.

Для исследования были отобраны восемь программ родительского контроля, доступных в Google Play:

  • Familytime (> 1 млн загрузок),
  • Boomerang (> 100 тыс. загрузок),
  • Quostodio (> 1 млн загрузок),
  • Wondershare (> 1 млн),
  • Find My Kids (> 10 млн),
  • Parental Control Kroha (> 1 млн),
  • Kids Place Parental Controls (> 5 млн),
  • Kidssecurity Parental Control (> 1 млн).

Как оказалось, все они позволяют обойти ограничения, выставленные родителями, посредством отзыва разрешений — через настройки Android или переходом в безопасный режим. Речь идет о таких разрешениях, как политики администрирования, история использования, спецвозможности, наложение окна. Некоторые испытуемые приложения пытаются воспрепятствовать такому вмешательству — например, с помощью оверлея поверх системных настроек.

Одна из программ родительского контроля из-за неадекватного управления сессиями позволяла расширить права других приложений ребенка через API. Это тоже грозит снятием всех ограничений — от имени родителя. Еще одно спецприложение открывает возможность для считывания метаданных на другом устройстве через API.

Некоторые испытуемые проги допускают использование клиент-серверного приложения ADB (Android Debug Bridge) для создания резервных копий. В итоге злоумышленник сможет с его помощью добраться до бэкапа и украсть конфигурационные и другие закрытые данные, хранимые на смартфоне.

Исследователи также проверили на уязвимость веб-панели мониторинга для родителей. Оказалось, что в двух случаях можно провести XSS-атаку с целью выполнения различных действий на устройстве ребенка от имени родителя. Уязвимость тоже позволяет снять текущие ограничения, а также получить доступ к учетным данным пользователя (родителя).

Несколько приложений-фильтров допускают передачу данных открытым текстом (в виде опции), что открывает возможность для атаки «человек посередине» (MitM). Злоумышленник сможет таким образом завладеть учетками и ПДн. В этом случае не спасет даже такая защита, как закрепление сертификатов (certificate pinning), так как ее можно обойти с помощью специального скрипта для фреймворка Frida.

Некоторые сторонние серверы, с которыми контактируют программы родительского контроля, отслеживают не только использование софта и веб-панели, но также движения курсора мыши и клики — таким трекингом занимается, в частности, сервис mc.yandex.ru, получающий данные от Find My Kids.

О своих находках SEC Consult сообщила вендорам. После выпуска патчей аналитики обещают опубликовать другие подробности.

В Госдуме объяснили разницу между суверенным и национальным ИИ

В России хотят разделить искусственный интеллект на два типа: суверенный и национальный. Звучит почти одинаково, но разница есть, её в эфире Радио РБК объяснил первый зампред комитета Госдумы по информационной политике, информационным технологиям и связи Антон Ткачев.

По его словам, суверенная модель ИИ — это полностью российская разработка. То есть все компоненты должны быть произведены на территории России.

Такой вариант, как пояснил депутат, в первую очередь нужен для чувствительных сфер: обороны, силовых структур и других направлений, где безопасность должна быть максимально жёсткой.

Тут логика простая: чем меньше внешних зависимостей, тем меньше поводов нервно смотреть на поставщиков и инфраструктуру.

Национальный ИИ — уже более гибкая история. Такая модель может использовать иностранные компоненты, но при этом должна размещать серверы на территории России. Это, по словам Ткачева, нужно для контроля над сервисами и их работой внутри страны.

Депутат также отметил, что России не стоит полностью закрываться от мировых разработок в области ИИ. По его мнению, для национальной модели можно брать лучшее и дорабатывать собственные решения, сохраняя при этом ключевое условие — размещение инфраструктуры в России.

Ранее власти скорректировали законопроект о регулировании искусственного интеллекта. В документе как раз появляются понятия суверенных и национальных моделей. В конце июня проект внесли в Госдуму. Если его успеют принять в весеннюю сессию, основные положения должны вступить в силу с 1 марта 2027 года.

Так что ИИ в России, похоже, хотят разложить по полкам: полностью свой — для самых закрытых и чувствительных задач, гибридный с иностранными компонентами — для более широкого применения, но с серверами на российской земле.

RSS: Новости на портале Anti-Malware.ru