انتبه.. تطبيقات هاتفك الأندرويد تتجسس عليك حتى لو كانت مغلقة

04:21 م | الثلاثاء 09 يوليو 2019

من الأهداف الرئيسية لنظام Android Q، الإصدار الجديد من نظام تشغيل Google للهواتف الذكية، إصلاح نظام أذونات Android المكسور، وتوفر الإصدارات المستخدمة للمطورين طرقًا سهلة لمعرفة تفضيلات المستخدم بالنسبة للتطبيقات التي لا تتبع موقعهم وجهازهم.

ذكر باحثون من المعهد الدولي لعلوم الحاسب الآلي (ICSI) بالتفصيل في ورقة بحثية جديدة أن 1325 تطبيق Android، جرى تثبيت بعضها على 500 مليون هاتف، يستخدمون حيلاً سهلة للتغلب على القيود في نموذج أذونات Android، وفقا لموقع "zdnet" المتخصص في التقنية.

يهدف نموذج الأذونات إلى السماح للمستخدمين برفض وصول التطبيق إلى معلومات، مثل بيانات الموقع الخاصة بهم أو معرفات الأجهزة الفريدة.

حلل الباحثون أكثر من 88000 تطبيقًا، بحثًا عن علامات على قيام مطورين باستخدام قنوات جانبية وسرية لجمع المعلومات، التي تسمح لصانعي البرامج والمعلنين بتتبع المستخدمين عبر الأجهزة ومواقع الويب والتطبيقات.

يمكن أن يشمل هذا التتبع الوصول إلى سعة التخزين المشتركة على بطاقة التخزين SD للحصول على معلومات، مثل رقم IMEI الخاص بالجهاز، والذي يجب ألا يكون متاحًا إذا كان التطبيق قد امتنع عن الرفض على إذن READ_PHONE-STATE.

يعد IMEI مفيدًا لأغراض التتبع لأنه، على عكس معرف المعلن، لا يمكن إعادة تعيينه أو تغييره.

عثر الباحثون على أحد أدوات لتطوير البرامج "SDK" لدى شركة إعلانية صينية تدعى Salmonads، تكتب ملفًا إلى وحدة تخزين مشتركة تحتوي على IMEI للجهاز وتمنح جميع التطبيقات الأخرى تلك المعلومات أيضًا.

جرى استخدام الأسلوب نفسه بواسطة SDK من شركة البحث الصينية العملاقة Baidu، مع ثمانية تطبيقات شائعة وجدت أنها ترسل IME للأجهزة إلى خادم Baidu.

وتشمل هذه التطبيقات ديزني هونج كونج وشانجهاي، وتطبيقات الصحة من سامسونج، ومتصفح سامسونج، كما تحصل بعض التطبيقات على IMEI بشكل شرعي، لكن بعضها الآخر يحصل على المعلومات من SDK دون إذن المستخدم.

وقال سيرج إيجلمان، أحد مؤلفي الورقة البحثية: "في الأساس لدى المستهلكين عدد قليل جداً من الأدوات والإشارات التي يمكنهم استخدامها للتحكم بشكل معقول في خصوصيتهم واتخاذ القرارات بشأنها، وإذا كان بمقدور مطوري التطبيقات الالتفاف على النظام، فإن طلب الإذن من المستهلكين لا معنى له نسبيًا".

ووجد الباحثون أيضًا تطبيقات تحصل على عنوان MAC Router دون إذن، مما يسمح للمطورين بربط أجهزة متعددة تشترك في نفس الشبكة، إذ يجري ذلك عن طريق فتح / proc / net / arp وقراءة ذاكرة التخزين المؤقت ARP، وإعطاء معلومات تحديد الموقع الجغرافي المستندة إلى جهاز التوجيه.

ستوفر الأجهزة التي تأتي مع Android Q أو ستترقى إليه عناصر تحكم أفضل للمستخدمين لمنع بعض التقنيات التي قام الباحثون بتفصيلها.

سيحتاج المطورون، على سبيل المثال، إلى طلب إذن خاص قبل أن يتمكنوا من الوصول إلى IMEI للجهاز والرقم التسلسلي.