Дій вдома — про потенційні проблеми з безпекою цифрового карантину
пишуть, що в Україні запустили мобільний додаток, який цитата — «допоможе контролювати дотримання громадянами обсервації та самоізоляції»
за відмову користуватися штрафуватимуть — dt.ua/...trafuvatimut-343880_.html
мінцифри каже, що все ж штрафувати не будуть — www.facebook.com/...91/posts/2006718249472029
не зважаючи на те, що пряме призначення додатку — стеження за користувачами (sensitive data), схоже, над безпековими питаннями розробники особливо не запарювалися
бо як ще пояснити, що debug logs встановленого з Play Market андроїд додатку доступні всім
зокрема, перший рядок в терміналі після встановлення дії-2 — firebase device registration token — ibb.co/bvxhNPw
про який Google чорним по білому пише: registration tokens must be kept secret — firebase.google.com/...ncept-options#credentials
боюся уявити, що виявиться, якщо зробити нормальний професійний аудит
------
UPD. як виявилося згодом, додаток також пише в логи — ibb.co/02VrmDr
— номер телефону користувача
— код з смс, який використовується для авторизації
— його місцезнаходження
— кількість днів, які залишилися на ізоляції
— параметри isHard та status, які можуть передавати певну медичну інформацію
все це очевидно не відповідає критеріям безпеки Google — developer.android.com/...lines/core-app-quality#sc
зокрема SC-D4: No personal or sensitive user data is logged to the system or app-specific log
------
UPD 2. додаток вже недоступний для загалу в Google Play Store — play.google.com/...id=ua.gov.diia.quarantine
додаток оновили до версії 1.0.1, в якій логи для відлагодження відсутні
------
UPD 3. банально відправивши POST запит на vdoma.diia.gov.ua/api/v1/auth/otp з номером телефону {«phoneNumber»: «380XXXXXXXXX»} та рендомним mobile_uid у хедері будь-хто може дізнатися, чи перебуває такий користувач на обсервації. Якщо 404 i The requested model User 380XXXXXXXXX could not be found, значить не перебуває, 200 ok — все навпаки
П — приватність:)
------
UPD 4. виправили, тепер на будь-який номер телефонy — 200 OK
------
реакцію розробників можна почитати в цьому треді — www.facebook.com/...mment_id=2006845209459333
ваші думки, пані та панове?
47 коментарів
Додати коментар Підписатись на коментаріВідписатись від коментарів