Гражданский Альянс России (ГАР)

▶️ #Max может делать скриншоты встроенных банковских и государственных сервисов и видеть ключи от Госуслуг, показали американские исследователи Мессенджер Max технически способен незаметно для пользователей перехватывать все, что происходит во встроенных в него сервисах: от записи к врачу до банковских приложений и Госуслуг. К такому выводу пришли авторы исследования из Мичиганского университета, Технологического института Джорджии, Университета Калгари и Индийского технологического института в Дели. Группу возглавляет Роя Энсафи, профессор Мичиганского университета и руководитель проекта Censored Planet, который изучает интернет-цензуру, в том числе российскую систему блокировок ТСПУ. ▶️ Исследователи разбирали работу Max на Android в двух версиях: одну предустанавливают на смартфоны в России, другая доступна в Google Play. Устроены они почти одинаково и различаются способом шифрования. Российская версия использует российские криптоалгоритмы ГОСТ и подключается к отдельным серверам, недоступным из-за рубежа. Чтобы она заработала, исследователям пришлось пропускать трафик через сервер в России и настраивать телефон так, чтобы Max не заметил VPN и иностранную сим-карту. Версия из Google Play работает со стандартным шифрованием и из любой страны. Всего исследователи протестировали 90 мини-приложений. Это встроенные в мессенджер сервисы, которые работают как веб-страницы внутри Max, например региональные Госуслуги, запись к врачу, МФЦ, банки, страховые компании, «Почта России». Для таких сервисов Max фактически заменяет операционную систему, а Android воспринимает мессенджер и все мини-приложения внутри него как одно приложение. Что может Max ▶️ Делать скриншоты мини-приложений. Чтобы это проверить, исследователи подключились к работающему мессенджеру и от его имени вызвали стандартную функцию Android, которая копирует изображение с экрана. Никаких специальных разрешений для этого не понадобилось, а пользователь ничего не заметил. Функция сработала в 31 из 35 попыток. На одном из снимков была форма входа мини-приложения с логином и паролем. Если делать такие снимки во время ввода пароля, его можно восстановить, даже когда символы скрыты точками, пишут авторы. ▶️ Видеть все, что мини-приложения сохраняют на телефоне. Все протестированные сервисы записывали через мессенджер данные, которые он получал в открытом виде. Среди примеров: токен приложения банка «Ак Барс» и ключ сессии, который сервис «Госуслуги. Моя школа» получает после входа через ЕСИА (единую систему авторизации Госуслуг). Кроме того, при входе в этот сервис через ЕСИА Max видел цифровую подпись, которой сервис подтверждает Госуслугам, что запрос на вход исходит от него. ▶️ Запускать любой код внутри мини-приложения, при этом сервис не сможет отличить его от своего. Сейчас мессенджер использует это для служебных задач: подменяет функцию «Поделиться» и замеряет скорость загрузки страниц. ▶️ Видеть каждую страницу, которую пользователь открывает в мини-приложении, и каждый запрос. В одном из тестов это были направление и даты поездки, номер рейса «Победы» и название отеля. В российской версии этот трафик затем уходит на серверы с ГОСТ-шифрованием. Авторы считают, что это создает риск перехвата данных на уровне государства. ▶️ Действовать от имени пользователя. Мини-приложения обычно не проверяют, кто ими пользуется, а верят Max на слово: при каждом запуске мессенджер передает сервису данные пользователя, например его ID. Так же устроены запросы на доступ. Если сервису нужен, например, номер телефона, он обращается к Max. По выводу авторов, у Max есть все необходимое, чтобы выдать себя за пользователя перед любым встроенным сервисом, включая госпорталы и банки. ▶️ Независимые специалисты и раньше сомневались в безопасности Max, но в основном изучали его разрешения и код. Новое исследование показывает, что мессенджер может делать со встроенными сервисами во время работы. Авторы призывают Google и Apple изолировать мини-приложения от супер-приложений на уровне операционной системы и дать пользователям возможность отключать таким программам доступ в интернет. Источник: https://t.me/Bell_tech/5675 (источник признан иноагентом) #Россия #государство #интернет #попытки_контроля