ReCon отслеживает утечку информации из мобильных приложений
Команда Дэвида Чоффнеса (David Choffnes), доцента Компьютерного и информационного колледжа Северовосточного университета (штат Массачусетс), обнаружила наличие серьёзной утечки приватной информации — идентификаторов устройств и пользователей, геокоординат и паролей — через сетевой трафик мобильных приложений, работающих на различных платформах, включая iOS, Android и Windows. Исследователи представили полученные результаты на конференции Data Transparency Lab 2015, состоявшейся в Media Lab Массачусетского технологического института.
В своей лаборатории, Чоффнес с коллегами разработали облачную систему ReCon, которая обеспечивает обнаружение утечек «персонально идентифицируемой информации», предупреждает пользователей о выявленных угрозах и позволяет перекрывать каналы утечки, избирательно блокируя информацию или её источники.
Авторы применили ReCon для проверки 31 мобильного устройства — 24 на платформе iOS и 13 на Android. В ходе тестирования, продолжавшегося от одной недели до 191 дня, утечки информации отслеживались через VPN-соединение веб-сервером ReCon и могли контролироваться через защищённую веб-страницу. Точность идентификации утечек, по оценкам участников проекта, достигала 98%.
Итоги эксперимента вызывают озабоченность. «Даже в нашем небольшом исследовании, было обнаружено 165 случаев утечки персональных данных в обычном текстовом виде», — сообщают ученые. Более половины из сотни самых популярных приложений в App Store и Google Play передавали идентификаторы устройств, 14-26% сообщали их местоположение, а 3% допускали утечку паролей в текстовом виде. Среди прочих использовавшихся программ было обнаружено ещё 10 случаев пересылки незашифрованных паролей.
По мнению Чоффнеса, передача текстовых паролей это наиболее опасная из утечек, так как в коллективных сетях Wi-Fi такую информацию легко перехватить, используя широкодоступное ПО. «Входящий и исходящий сетевой трафик в значительной степени не защищёны шифрованием или другими способами, — отметил он. — Это не критично если вы вводите свой почтовый адрес в приложении, например, подписываясь на получение новостной рассылки, но не в случае, когда вы печатаете свой пароль».