Z popularnej aplikacji na Androida wyciekają pliki

Użytkownicy aplikacji GO SMS Pro nie zdawali sobie nawet sprawy, że miesiącami wyciekały z niej ich prywatne pliki. Twórców natomiast to nie interesowało.

Aplikacje na smartfony wbrew temu co sądzą ich użytkownicy, wcale nie są tak bezpieczne jak można tego oczekiwać. W wielu programach zdarzają się bowiem luki narażające użytkowników i powodując wyciek ich prywatnych danych. Zwykle twórcy takich aplikacji publicznie informują o tym fakcie, pomagając swym klientom na różne sposoby.

Czasem jednak deweloper nie ujawnia luki w systemie bezpieczeństwa i taka też sytuacja miała miejsce w przypadku aplikacji GO SMS Pro. Jest to całkiem popularna alternatywa dla klienta SMS’ów stworzona dla Androida, oferująca parę użytecznych funkcji. Przy jej pomocy można było nie tylko udostępniać wiadomości tekstowe, ale również zdjęcia, filmy oraz pliki. Problem w tym, że miał do nich dostęp w zasadzie każdy.

Aplikacja uploaduje udostępnione pliki na serwer, a następnie generuje URL, aby dostęp do nich miały również osoby, które nie korzystają z programu. Okazało się jednak, że praktycznie każdy mógł mieć taki dostęp. Po pierwsze dlatego, że pliki nie były chronione za pomocą szyfrowania, a po drugie linki numerowano sekwencyjnie w przewidywalny sposób. Innymi słowy, jeśli ktoś zdobył taki link, mógł z łatwością przejrzeć wszystkie pliki przechowywane na serwerze, łącznie z prywatnymi danymi.

Najgorsze było jednak to, że twórcy aplikacji w żaden sposób nie zareagowali na odkrycie tak poważnego naruszenia bezpieczeństwa. Eksperci z Trustwave, którzy odkryli zagrożenie próbowali skontaktować się z autorami aplikacji już w sierpniu. Pierwszy wysłany email został automatycznie odbity i nie pojawiła się żadna odpowiedź. Po trzech miesiącach eksperci nie zamierzali dłużej czekać i opublikowali swe odkrycie.

Można zastanawiać się dlaczego w takim razie na lukę nie zareagowało Google Play Store. Jej wykrycie nie jest bowiem łatwe, gdyż właściwie sprawa leży po stronie serwerów producenta.

Źródło