Ang detalye ng security firm ay nag-aalala sa privacy; sinasabi sa amin ng developer ang tagiliran nito

Magbalik-tanaw tayo: Late Miyerkules ng gabi (o maagang Huwebes ng umaga), iniulat namin sa isang kwentong nai-publish sa Mobile Beat na lumabas sa komperensya ng seguridad ng Black Hat online. Sa kumperensya, si Kevin MaHaffey, CTO sa mobile security firm na Lookout, ay nagsabi ng isang app mula sa developer na "jackeey, wallpaper, " na talaga ay isang portal para sa pag-download ng mga wallpaper para sa iyong Android phone. Ang kwento ay sinabi sa kuwento ng "isang kaduda-dudang Android mobile wallpaper app na nangongolekta ng iyong personal na data at ipinadala ito sa isang mahiwagang site sa China, (at) na-download ng milyun-milyong beses."

Nakipag-ugnay kami sa Lookout - na muling nagpapatunay na ang mga app, habang pinaghihinalaan, ay hindi kinakailangang nakakahamak. Mayroon din kaming tugon mula sa pinag-uusapan ng developer. Mga update mula sa pareho, pagkatapos ng pahinga.

Paglilinaw ng Lookout

Maagang Huwebes ng umaga, nakatanggap kami ng isang e-mail mula sa MaHaffey tungkol sa "jackeey, wallpaper" na apps. Nilinaw niya ang sumusunod mula sa piraso ng Mobile Beat, pati na rin ang aming kwento:

"Ang mga application ng wallpaper na sinuri namin ay napatunayan na magpadala ng ilang mga piraso ng sensitibong data sa isang server, kasama ang numero ng telepono ng isang aparato, tagatukoy ng tagasuskribi, at kasalukuyang na-program na voicemail number. Ang mga application na sinuri namin ay hindi na-access ang mga mensahe ng SMS ng aparato, kasaysayan ng pagba-browse, o voicemail password (maliban kung manu-mano ang na-program ng isang gumagamit ng numero ng voicemail sa aparato upang isama ang password ng voicemail)."

Idinagdag din niya "habang ang data na na-access ng mga wallpaper ng wallpaper ay tiyak na kahina-hinala na nagmula sa mga wallpaper ng wallpaper, hindi namin sinasabi na ang mga application na ito ay nakakahamak."

Ipinapaliwanag ng post sa blog ang pamamaraan

Noong Huwebes ng hapon, nag-post si MaHaffey ng isang napakahabang paliwanag sa blog ng Lookout, na nagdetalye sa code na pinag-uusapan at muling isinasabing habang ang code na pinag-uusapan ay pinaghihinalaan, "walang katibayan ng malisyosong pag-uugali." At iyon ang isang mahalagang pagkakaiba na dapat gawin.

Kaya ano ang big deal? Narito kung paano ipinaliwanag ng MaHaffey ang mga bagay:

"Mayroong code sa mga aplikasyon ng wallpaper na nag-access ng sensitibong data. Mahalagang tandaan na hindi lahat ng mga application na nag-access sa sensitibong data ay tunay na nagpapadala sa labas ng aparato. Upang makita kung anong uri ng impormasyon ang ipinapadala ng mga application ng wallpaper sa internet, kami sinuri ang trapiko sa network na nabuo ng application.Sa ginamit namin ang application, isang kahilingan sa partikular na nakatayo, isang hiniling na HTTP na kahilingan sa isang server na may pangalang 'imnet.us.'"

Tumugon ang nag-develop

Nakipag-ugnay kami sa nag-develop ng mga application ng wallpaper ngayon at tinanong kung ano mismo ang impormasyon na kinokolekta ng mga app, at kung bakit ang anumang impormasyon ay maipapadala sa isang server. (Na ang server ay nasa Tsina malamang ay hindi nauugnay.)

Maaari mong basahin ang buong tugon sa ibaba, na halos lahat ay naitala sa nakaraang paglilinaw ng Lookout na ang text message at kasaysayan ng pag-browse ay hindi nakolekta. Tungkol sa kung ano ang nakolekta, sinabi sa amin ng developer ang sumusunod:

Kinolekta ko ang laki ng screen upang maibalik ang mas angkop na wallpaper para sa telepono. Parami nang parami ng mga gumagamit ang nag-email sa akin na nagsasabi na mahal nila ang aking mga wallpaper ng wallpaper nang labis, dahil kahit na ang "Background" ay hindi maayos na angkop sa screen ng telepono.

Kumolekta din ako ng id ng aparato, numero ng telepono at id ng tagasuskribi, wala itong kaugnayan sa data ng gumagamit. Mayroong ilang mga app sa Android market ay may tampok na mga paborito. Maraming mga gumagamit ang iminumungkahi na dapat kong ibigay ang tampok upang magamit ko ang mga ito upang makilala ang aparato, upang mas gusto nila ang mga wallpaper nang mas maginhawa, at ipagpatuloy ang kanyang mga paborito matapos ang pag-reset ng system o pagbabago ng telepono.

Kaya, doon tayo tumayo. At hindi ito kinakailangan ng isang bagong bagay para sa Android. Ang mga application ay maaaring magkaroon ng pag-access sa mga bahagi ng iyong telepono na hindi nila kailangan, ngunit walang nilalayon na masamang hangarin. (Narito ang mga kamakailang "X porsyento ng mga Android apps ay maaaring makuha sa iyong personal na data !!!" nagmula.) Ito ay isang bagay lamang ng coding at intensyon, di ba? Iyon ay sinabi, kailangan mong bigyang pansin ang babala na nakukuha mo sa tuwing mag-install ka ng isang app. Ang aming nakaraang halimbawa ay nag-ring ng totoo: Kung, sabihin, isang calculator ay sinabi na kailangan upang makita ang aking mga text message, mag-aalala ako. Marami. Ito ay alinman sa isang hindi naka-code na app, o hanggang sa walang kabutihan. Alinmang paraan, hindi ko gusto ito sa aking telepono.

Ito ba ang lahat ng FUD? Kapag sinabi ng isang kumpanya ng seguridad na kailangan nating maging maingat, nag-ingat tayo - at ang katotohanan na ang isang kumpanya ng seguridad ay gumagawa ng pera ng nagbebenta ng software ng seguridad ay hindi nawala sa amin. Ngunit kunin ang iyong oras at basahin muli ang post ni MaHaffey. At basahin muli ang tugon ng nag-develop.

Ang moral ng kuwento ay isipan kung ano ang iyong nai-download, basahin hangga't maaari, at magpatuloy sa itaas ng mga bagay. Ang sabi din ng MaHaffey ng Lookout, na nagtatapos sa "Pangkalahatang, ang aming layunin ay upang matulungan ang mga gumagamit at mga developer na magkamukha sa lahat ng mga mobile platform upang maging responsable at mapagbantay sa pagtiyak ng isang ligtas na karanasan sa mobile."

Sa totoo lang.

Tugon ni Jackeey