Οι ερευνητές της Kaspersky Lab έχουν ανακαλύψει μια ποικιλία ευπαθειών σε δημοφιλή dating apps, οι οποίες ενδέχεται να έχουν διάφορες αρνητικές συνέπειες για τους χρήστες: από την απλή αναγνώριση ενός συγκεκριμένου προσώπου, έως τις μη ασφαλείς μεταδόσεις δεδομένων και τη διαρροή προσωπικών πληροφοριών. Μετά την ανάλυση εννέα δημοφιλών παγκόσμιων υπηρεσιών, διαπιστώσαμε ότι ορισμένες από αυτές παρέχουν πολύ χαμηλά επίπεδα προστασίας δεδομένων.
Τα dating apps γίνονται όλο και πιο δημοφιλή ανά τον κόσμο. Σύμφωνα με την τελευταία έκθεση «Dangerous Liaisons: is everyone doing it online?», ένας στους τρεις χρήστες χρησιμοποιεί αυτήν την περίοδο μια υπηρεσία online dating. Όμως, με την αυξανόμενη δημοτικότητα αυτών των υπηρεσιών έρχεται κι ένα σημαντικό ζήτημα ασφάλειας, δεδομένου ότι οι περισσότερες υπηρεσίες online dating απαιτούν από τους χρήστες να μοιράζονται προσωπικές πληροφορίες. Λαμβάνοντας αυτό υπόψη, μια ομάδα ερευνητών της Kaspersky Lab αποφάσισε να εξετάσει πόσο ασφαλείς είναι πραγματικά. Ανέλυσαν τις πιο δημοφιλείς εφαρμογές online dating σε διάφορες περιοχές του κόσμου, αναζητώντας διάφορες ευπάθειες που θα μπορούσαν να επηρεάσουν την πραγματική ζωή των χρηστών και να αλλάξουν το status τους μετατρέποντάς τους από «daters» σε «θύματα».
Αυτή η έρευνα αποκάλυψε ότι οι χρήστες αντιμετωπίζουν πολλαπλούς κινδύνους όταν χρησιμοποιούν εφαρμογές διαδικτυακών γνωριμιών. Για παράδειγμα, μπορούν να αναγνωριστούν με την εύρεση του ονοματεπώνυμού τους από προφίλ σε κοινωνικά δίκτυα, ενώ μπορούν επίσης να εντοπιστούν και στον φυσικό κόσμο μέσω της χρήσης δεδομένων γεωγραφικής κατανομής. Επιπλέον, μπορούν να χάσουν την πρόσβαση στους λογαριασμούς τους ή να πέσουν σε λάθος χέρια τα προσωπικά τους δεδομένα.
Οι ειδικοί έχουν ανακαλύψει έναν κοινό κίνδυνο ασφάλειας που υπάρχει σε πολλές εφαρμογές και σχετίζεται με την token-based μέθοδο ελέγχου ταυτότητας, η οποία χρησιμοποιείται από dating appsγια νέες διαδικασίες εγγραφής. Ένα token δημιουργείται κατόπιν αιτήματος από έναν server προκειμένου να αναγνωριστεί με μοναδικό τρόπο ο χρήστης και συνήθως ζητά πρόσβαση σε λογαριασμό στο Facebook. Παρέχει στη συνέχεια πρόσβαση σε γενικές πληροφορίες χρήστη, συμπεριλαμβανομένων ονοματεπωνύμου, email και εικόνας προφίλ του χρήστη. Με τη χρήση αυτής της μεθόδου, οι εφαρμογές λαμβάνουν όλα τα απαραίτητα δεδομένα για να μπορέσουν να πιστοποιήσουν τον χρήστη στους servers τους. Ωστόσο, με βάση την έρευνα, τα tokens αποθηκεύονται συχνά ή χρησιμοποιούνται επισφαλώς και, ως εκ τούτου, μπορούν εύκολα να κλαπούν. Ως αποτέλεσμα, οι εισβολείς μπορούν να αποκτήσουν προσωρινή πρόσβαση στους λογαριασμούς των θυμάτων ακόμη και χωρίς τα στοιχεία σύνδεσης και τον κωδικό πρόσβασής τους.
Έπειτα από αυτήν την ευπάθεια με την επισφαλή αποθήκευση token, οι χρήστες ενδέχεται επίσης να αντιμετωπίσουν μια άλλη απειλή που σχετίζεται με την ασφάλεια των ιστορικών μηνυμάτων που είναι αποθηκευμένα στη συσκευή και στα οποία μπορούν να αποκτήσουν πρόσβαση και να διαβάσουν οι επιτιθέμενοι. Τέτοιες επιθέσεις αποτελούν ιδιαίτερη απειλή για τους χρήστες Android συσκευών. Ορισμένοι από αυτούς, οι οποίοι τρέχουν παρωχημένο λογισμικό, έχουν ανοικτές ευπάθειες που επιτρέπουν στους επιτιθέμενους να αποκτήσουν root access στη συσκευή, η οποία μπορεί να χρησιμοποιηθεί για να αποκτήσουν πρόσβαση σε ιδιωτικές πληροφορίες, συμπεριλαμβανομένης της δραστηριότητας των χρηστών στις εφαρμογές online dating, όπως τα γραπτά μηνύματα και οι φωτογραφίες που βλέπουν.
Επιπλέον, οι χρήστες των έξι εφαρμογών που αναλύθηκαν μπορούν να εντοπιστούν από τη θέση τους. Σε ορισμένες από τις εφαρμογές, η Kaspersky Lab εντόπισε επίσης κινδύνους στη διαδικασία διαβίβασης δεδομένων. Παρόλο που οι περισσότερες εφαρμογές χρησιμοποιούν SSL (Secure Sockets Layer) για ασφαλή επικοινωνία με διακομιστές, ορισμένα δεδομένα αποστέλλονται μέσω του πρωτοκόλλου HTTP και δεν είναι κρυπτογραφημένα. Αυτό παρέχει στους χάκερς τη δυνατότητα να παρακολουθήσουν αυτές τις επικοινωνίες, οι οποίες συχνά περιέχουν προσωπικές πληροφορίες όπως η τοποθεσία του χρήστη, τα προφίλ που επισκέπτεται, τα μηνύματα, τα δεδομένα των συσκευών κ.λπ. Χρησιμοποιώντας μια επισφαλή σύνδεση, οι εισβολείς μπορούν επίσης να αποκτήσουν τον έλεγχο του λογαριασμού του θύματος.
0 σχόλια:
Δημοσίευση σχολίου