Mục lục:
Chúng ta hãy tóm tắt lại: Tối thứ Tư (hoặc sáng sớm thứ Năm), chúng tôi đã báo cáo về một câu chuyện được xuất bản tại Mobile Beat xuất phát từ hội nghị bảo mật trực tuyến của Black Hat. Tại hội nghị, Kevin MaHaffey, CTO tại công ty bảo mật di động Lookout, đã nói về một ứng dụng từ nhà phát triển "jackeey, hình nền", về cơ bản là một cổng để tải hình nền cho điện thoại Android của bạn. Câu chuyện kể về câu chuyện "một ứng dụng hình nền di động Android đáng ngờ thu thập dữ liệu cá nhân của bạn và gửi nó đến một trang web bí ẩn ở Trung Quốc, (và) đã được tải xuống hàng triệu lần."
Chúng tôi đã liên hệ với Lookout - trong đó nhắc lại rằng các ứng dụng, trong khi nghi ngờ, không nhất thiết là độc hại. Chúng tôi cũng đã có câu trả lời từ nhà phát triển trong câu hỏi. Cập nhật từ cả hai, sau giờ nghỉ.
Làm rõ
Sáng sớm thứ năm, chúng tôi đã nhận được một e-mail từ MaHaffey liên quan đến các ứng dụng "jackeey, hình nền". Anh ấy đã làm rõ những điều sau đây từ bản Mobile Beat, cũng như câu chuyện của chúng tôi:
"Các ứng dụng hình nền mà chúng tôi đã phân tích đã chứng minh gửi một số dữ liệu nhạy cảm đến máy chủ, bao gồm số điện thoại của thiết bị, số nhận dạng thuê bao và số thư thoại hiện được lập trình. Các ứng dụng chúng tôi phân tích không truy cập tin nhắn SMS, lịch sử duyệt web hoặc thư thoại của thiết bị mật khẩu (trừ khi người dùng lập trình thủ công số thư thoại trên thiết bị để bao gồm mật khẩu thư thoại)."
Ông cũng nói thêm "trong khi dữ liệu mà các ứng dụng hình nền đang truy cập chắc chắn đến từ các ứng dụng hình nền, chúng tôi không nói rằng các ứng dụng này là độc hại."
Bài đăng trên blog giải thích phương pháp luận
Vào chiều thứ Năm, MaHaffey đã đăng một lời giải thích dài dòng trên blog của Lookout, nêu chi tiết về mã được đề cập và nhắc lại rằng trong khi mã đang nghi vấn là "không có bằng chứng về hành vi độc hại." Và đó là một sự khác biệt quan trọng để thực hiện.
Vậy thỏa thuận lớn nào? Dưới đây là cách MaHaffey giải thích mọi thứ:
"Có mã trong các ứng dụng hình nền truy cập dữ liệu nhạy cảm. Điều quan trọng cần lưu ý là không phải tất cả các ứng dụng truy cập dữ liệu nhạy cảm thực sự truyền nó ra khỏi thiết bị. Để xem loại thông tin nào mà ứng dụng hình nền truyền tới internet, chúng tôi đã phân tích lưu lượng mạng do ứng dụng tạo ra. Khi chúng tôi sử dụng ứng dụng, một yêu cầu đặc biệt nổi bật, một yêu cầu HTTP không được mã hóa đến một máy chủ có tên 'imnet.us.'"
Nhà phát triển trả lời
Hôm nay chúng tôi đã liên hệ với nhà phát triển ứng dụng hình nền và hỏi chính xác thông tin nào ứng dụng thu thập và tại sao mọi thông tin sẽ được gửi đến máy chủ. (Rằng máy chủ ở Trung Quốc có khả năng không liên quan.)
Bạn có thể đọc toàn bộ phản hồi bên dưới, phần lớn được hiển thị bằng cách làm rõ trước đó của Lookout rằng tin nhắn văn bản và lịch sử duyệt web thực sự không được thu thập. Đối với những gì đã được thu thập, nhà phát triển nói với chúng tôi như sau:
Tôi đã thu thập kích thước màn hình để trả lại hình nền phù hợp hơn cho điện thoại. Ngày càng có nhiều người dùng gửi email cho tôi nói rằng họ rất thích các ứng dụng hình nền của tôi, bởi vì ngay cả nền Bối cảnh cũng không thể phù hợp với màn hình điện thoại.
Tôi cũng đã thu thập id thiết bị, số điện thoại và id thuê bao, nó không có mối quan hệ với dữ liệu người dùng. Có rất ít ứng dụng trong thị trường Android có tính năng yêu thích. Nhiều người dùng khuyên tôi nên cung cấp tính năng này để tôi sử dụng các tính năng này để nhận dạng thiết bị, để họ có thể yêu thích hình nền thuận tiện hơn và tiếp tục yêu thích sau khi hệ thống đặt lại hoặc thay đổi điện thoại.
Vì vậy, đó là nơi chúng ta đang đứng. Và đây không hẳn là một điều mới cho Android. Ứng dụng có thể có quyền truy cập vào các bộ phận của điện thoại mà bạn không nhất thiết cần, nhưng không có ý định xấu. (Đó là nơi mà những câu chuyện "X phần trăm ứng dụng Android gần đây có thể lấy được từ dữ liệu cá nhân của bạn !!!" đến từ đó.) Đó chỉ là vấn đề về mã hóa và ý định, phải không? Điều đó nói rằng, bạn cần phải chú ý đến cảnh báo bạn nhận được mỗi khi bạn cài đặt một ứng dụng. Ví dụ trước của chúng tôi đổ chuông đúng: Nếu, giả sử, một máy tính cho biết cần phải xem tin nhắn văn bản của tôi, tôi lo lắng. Rất nhiều. Đó là một ứng dụng được mã hóa kém, hoặc nó không tốt. Dù bằng cách nào, tôi không muốn nó trên điện thoại của mình.
Đây có phải là tất cả FUD? Khi một công ty bảo mật nói rằng chúng tôi cần cảnh giác, chúng tôi sẽ cảnh giác - và thực tế là một công ty bảo mật kiếm tiền bán phần mềm bảo mật không bị mất đối với chúng tôi. Nhưng hãy dành thời gian của bạn và đọc bài viết của MaHaffey một lần nữa. Và đọc lại phản hồi của nhà phát triển bên dưới.
Đạo đức của câu chuyện là tâm trí những gì bạn tải xuống, đọc càng nhiều càng tốt, và tiếp tục trên đầu trang. MaHaffey của Lookout cũng nói như vậy, kết thúc bằng "Nhìn chung, mục tiêu của chúng tôi là giúp người dùng và nhà phát triển giống nhau trên tất cả các nền tảng di động có trách nhiệm và thận trọng trong việc đảm bảo trải nghiệm di động an toàn."
Thật.
Phản ứng của Jackeey
