Щоденник чи шпигун? Які дані насправді збирає офіційний додаток Нові знання

💡 Усі статті, обговорення, новини про Mobile — в одному місці. Приєднуйтесь до Mobile спільноти!

Поки діти вчаться, а батьки перевіряють їхні оцінки, офіційний додаток «Нові знання» (ua.nz.NZClient) тихенько тягне зі смартфона купу зайвої інформації.

Я вирішив трохи поколупатися в його APK-файлі та зазирнув у AndroidManifest.xml. І список дозволів мене неприємно здивував. Як для звичайного електронного щоденника, програма просить надто багато критичних доступів до системи і виглядає скоріше як інструмент для стеження.

Чому на безпеку додатка «Нові Знання» просто забили: технічний розбір

Реверс-інжиніринг APK-файлу шкільного щоденника через JADX показав, що шпигунської змови тут немає, але є тотальна лінь розробників та застарілий підхід до безпеки.

Аналіз головного компонента com.embarcadero.firemonkey.FMXNativeActivity доводить, що мобільну програму взагалі ніхто не писав з нуля під Android — її створено на Delphi / Object Pascal через фреймворк FireMonkey (FMX). Автори просто взяли свій готовий веб-сайт nz.ua і загорнули його в мобільну коробку (WebView), скомпілювавши логіку в бінарник libNZClient.so. Через такий Web-to-App підхід і виникла купа стрьомних дозволів у системі (доступ до точного GPS, читання контактів, право здійснювати дзвінки): розробники просто полінувалися зняти стандартні галочки в конфігу Delphi перед релізом програми.

Проте найбільші проблеми ховаються в безпеці самого маніфесту. По-перше, параметр android:usesCleartextTraffic="true" примусово дозволяє додатку гоняти дані через незашифрований протокол HTTP, що у 2026 році є критичним факапом. Будь-який зловмисник у тому ж шкільному Wi-Fi через простий сніффер може легко перехопити паролі, сесії чи оцінки учнів. По-друге, використання сайту всередині WebView разом із застарілими веб-компонентами (на кшталт TinyMCE) відкриває шлях для XSS-атак. Шкідливий JavaScript-скрипт, підкинутий, наприклад, у повідомлення вчителю, виконається всередині додатка і, маючи міст із Delphi-кодом, отримає куди більше доступу до функцій телефону, ніж у звичайному браузері. На додачу, прапорець android:persistent="true" примусово тримає щоденник у пам’яті як критичний системний процес, який Android ніколи не може закрити, що абсолютно безглуздо валить акумулятор пристрою.

Продукт, яким користуються мільйони дітей та вчителів, зліпили на швидку руку, повністю проігнорувавши базову безпеку мережі й оптимізацію.

Що ховається на серверній стороні (Kerio Connect & Російський слід)

Але найцікавіше ховається в мережевій інфраструктурі, яка обслуговує сервіс nz.ua. Якщо трохи дослідити їхні сервери, можна натрапити на відкриту адмінку поштового сервера Kerio Connect дуже старої версії.

Мало того, що цей сервер працює по незашифрованому HTTP (світячи древнім фреймворком ExtJS 4 під Internet Explorer 6), розробники взагалі забили на його кастомізацію. При переході на сторінку входу користувача зустрічає старий російський логотип Kerio та інтерфейс мовою окупанта («Вход», «Имя пользователя», Новые знания).

Це найкраща ілюстрація тотального технічного пофігізму. Продукт, яким змушують користуватися мільйони українських дітей та вчителів, зліпили на швидку руку, повністю проігнорувавши базову безпеку мережі та залишивши російські хвости в системі.

• Твоє точне місцезнаходження (GPS): Знає, де саме ти перебуваєш у будь-який момент, і може відстежувати твої переміщення.
• Твої контакти: Повністю бачить твою телефонну книгу (імена та номери всіх твоїх друзів, батьків і знайомих).
• Усі твої акаунти: Бачить список профілів, прив’язаних до телефона (наприклад, твою особисту пошту Google).
• Дані телефона та сім-картки (IMEI/IMSI): Знає унікальний «паспорт» твого смартфона, твій мобільний номер, оператора зв’язку і те, коли саме ти з кимось розмовляєш (бачить сам статус дзвінка).
• Камера: Може вмикати камеру (наприклад, для фото завдань).
• Пам’ять телефона: Має повний доступ до твоїх файлів, фотографій та завантажень.
• Самовільні дзвінки: Має технічне право самостійно набирати номери і запускати виклик без твого підтвердження.

====================================================================

    <uses-permission android:name="android.permission.ACCESS_COARSE_LOCATION"/>

    <uses-permission android:name="android.permission.ACCESS_FINE_LOCATION"/>

    <uses-permission android:name="android.permission.CALL_PHONE"/>

    <uses-permission android:name="android.permission.CAMERA"/>

    <uses-permission android:name="android.permission.GET_ACCOUNTS"/>

    <uses-permission android:name="android.permission.INTERNET"/>

    <uses-permission android:name="android.permission.READ_CONTACTS"/>

    <uses-permission android:name="android.permission.READ_PHONE_STATE"/>

================================================================

+<manifest xmlns:android="http://schemas.android.com/apk/res/android"

    android:versionCode="7"

    android:versionName="1.2.1"

    android:installLocation="auto"

    android:compileSdkVersion="33"

    android:compileSdkVersionCodename="13"

    package="ua.nz.NZClient"

    platformBuildVersionCode="33"

    platformBuildVersionName="13">

    <uses-sdk

        android:minSdkVersion="23"

        android:targetSdkVersion="33"/>

    <uses-permission android:name="android.permission.ACCESS_COARSE_LOCATION"/>

    <uses-permission android:name="android.permission.ACCESS_FINE_LOCATION"/>

    <uses-permission android:name="android.permission.CALL_PHONE"/>

    <uses-permission android:name="android.permission.CAMERA"/>

    <uses-permission android:name="android.permission.GET_ACCOUNTS"/>

    <uses-permission android:name="android.permission.INTERNET"/>

    <uses-permission android:name="android.permission.READ_CONTACTS"/>

    <uses-permission android:name="android.permission.READ_PHONE_STATE"/>

    <uses-permission

        android:name="android.permission.MANAGE_EXTERNAL_STORAGE"

        android:minSdkVersion="33"/>

    <uses-permission

        android:name="android.permission.READ_MEDIA_IMAGES"

        android:minSdkVersion="33"/>

    <uses-permission

        android:name="android.permission.READ_EXTERNAL_STORAGE"

        android:maxSdkVersion="32"/>

    <uses-permission

        android:name="android.permission.WRITE_EXTERNAL_STORAGE"

        android:maxSdkVersion="32"/>

    <uses-feature

        android:glEsVersion="0x20000"

        android:required="true"/>

    <queries/>

    <application

        android:theme="@android:style/Theme.NoTitleBar"

        android:label="Нові знання"

        android:icon="@drawable/ic_launcher"

        android:persistent="true"

        android:debuggable="false"

        android:restoreAnyVersion="false"

        android:hardwareAccelerated="true"

        android:largeHeap="false"

        android:usesCleartextTraffic="true"

        android:resizeableActivity="false"

        android:forceDarkAllowed="false"

        android:requestLegacyExternalStorage="true">

        <provider

            android:name="androidx.core.content.FileProvider"

            android:exported="false"

            android:authorities="ua.nz.NZClient.fileprovider"

            android:grantUriPermissions="true">

            <meta-data

                android:name="android.support.FILE_PROVIDER_PATHS"

                android:resource="@xml/provider_paths"/>

        </provider>

        <activity

            android:label="Нові знання"

            android:name="com.embarcadero.firemonkey.FMXNativeActivity"

            android:exported="true"

            android:launchMode="singleTask"

            android:configChanges="screenSize|orientation|keyboardHidden|keyboard">

            <meta-data

                android:name="android.app.lib_name"

                android:value="NZClient"/>

            <intent-filter>

                <action android:name="android.intent.action.MAIN"/>

                <category android:name="android.intent.category.LAUNCHER"/>

            </intent-filter>

        </activity>

        <receiver android:name="com.embarcadero.rtl.notifications.NotificationAlarm"/>

        <meta-data

            android:name="com.android.dynamic.apk.fused.modules"

            android:value="base"/>

        <meta-data

            android:name="com.android.stamp.source"

            android:value="https://play.google.com/store"/>

        <meta-data

            android:name="com.android.stamp.type"

            android:value="STAMP_TYPE_STANDALONE_APK"/>

        <meta-data

            android:name="com.android.vending.splits"

            android:resource="@xml/splits0"/>

        <meta-data

            android:name="com.android.vending.derived.apk.id"

            android:value="2"/>

    </application>

</manifest>