Уразливість в додатку "парковки москви" дозволяє отримати дані користувача

Розробники мобільного застосування знехтували елементарними правилами безпеки і зберігають персональні дані у файлі налаштувань програми, а не в безпечної зв`язці ключів Keychain.

В додатку "парковки Москви"Виявлена уразливість, що дозволяє зловмисникам отримати персональні дані користувачів, зокрема номер телефону і пароль від програми. Про це на конференції # {MBLT} Dev в ході своєї доповіді розповів експерт з комп`ютерної безпеки Андрій Беленко з компанії viaForensics.

«Найчастіше більшість випадків крадіжок персональних даних користувачів відбувається через халатність розробників, які неналежним чином приховують в системі отриману інформацію користувача, помилково вважаючи, що в їхньому коді ніхто не зможе і не захоче розбиратися», - прокоментував слайди пан Беленко. При цьому отримати особисту інформацію, якщо вона належним чином не зашифрована, можна за 5-10 хвилин.

В iOS, мобільну операційну систему Apple, встановленої на всіх смартфонах і планшетах компанії, існує вбудований сервіс Keychain ( "Зв`язка ключів"), в якому зберігаються паролі і особиста інформація користувача. Будь-розробник може налаштувати свій додаток таким чином, що призначена для користувача інформація від Ця програма має також зберігатися в осередку Keychain, але, схоже, розробники, які склали додаток уряду Москви, полінувалися виконати пару простих маніпуляцій, і тому персональні дані виявилися безпосередньо в файлі налаштувань, так званому файлі plist, а значить доступні будь-якому професіоналу в області IT за пару кліків мишки.

Поділися в соц. мережах: