كيف NSA تحول تطبيقاتك ضدك

في أواخر شهر يناير ، كشفت الوثائق المسربة أن وكالة الأمن القومي وغيرها من منظمات التجسس الوطنية تعمل بجد للحصول على المعلومات من هاتفك الذكي. ولكن بدلاً من تثبيت الخلل ، قاموا فقط بالتطبيقات الموجودة بالفعل على هاتفك لمعرفة كل ما يريدون معرفته.

طائر غاضب قال لي

وفقا للتقارير ، تتطلع منظمات التجسس إلى ما يسمى بـ "التطبيقات المتسربة" لجمع المعلومات. إنه مصطلح استخدمناه غالبًا في قصص Mobile Threat الإثنين ، وهو مصطلح يعرفه الباحث الرئيسي في الأمن في Lookout مارك روجرز بأنه "أي تطبيق يمرر أي نوع من المعلومات الحساسة دون تشفير."

قد تفاجأ أن هذا التعريف يشمل العديد من التطبيقات المتاحة في كل من متاجر تطبيقات Android و iOS. ذلك لأن العديد من هذه التطبيقات تستخدم منصات إعلانية خارجية للمساعدة في استثمار تطبيقاتها. في بعض الأحيان ، يمكنك رؤية الإعلانات مباشرة في التطبيق ، كما هو الحال في Flappy Bird. يحصل المطور على قطع ، وستحصل على لعبة مجانًا.

ولكن حتى عندما لا ترى أي إعلانات ، غالبًا ما يشتمل مطورو التطبيقات على تعليمات برمجية من المعلنين الذين يقومون بجمع المعلومات عنك وعن جهازك بهدوء. يتم تجميع هذه المعلومات وتشريحها بواسطة المعلنين للمساعدة في توجيه إعلاناتهم بشكل أفضل. يوضح بوغدان بوتزاتو ، كبير متخصصي التهديدات الإلكترونية في برنامج Bitdefender: "كلما كانت المعلومات أكثر عن شخص ما ، كلما كانت صورة التسويق الخاصة به أكثر دقة".

"بالنسبة للمعلنين" ، أوضح روجرز في Lookout ، "هناك الذهب في التنبؤ بما يجب طرحه والذي سيتفاعل مع المستخدمين." قد يكون هذا منتجات وخدمات أقرب إلى اهتمامك ، أو متوفرة في منطقتك. إذا كنت تعيش في أوساكا ، على سبيل المثال ، ربما لن تكون مهتمًا جدًا بالتعرف على السيارات الرخيصة في شيكاغو.

عادةً ما يكون المعلنون والمسوقون بعد معلومات محددة - أي وسيلة لتوصيل جهازك بك. سيفعل رقم EMEI الخاص بالجهاز أو معرف Apple أو بعض المعرّفات الأخرى ، لكن رسائل البريد الإلكتروني وأرقام الهواتف تحظى بتقدير خاص. باستخدام هذه المعلومات ، يمكن للمعلنين تحديد أن الشخص نفسه قام بتنزيل تطبيقات مختلفة واستنبط كيفية استخدامها على أجهزة مختلفة. المعلنون الآخرون أكثر عدوانية ، ويحاولون الحصول على معلومات تحديد الموقع الجغرافي ، وأكثر من ذلك.

لإعطاء مثال حول مدى إمكانية الوصول إلى معلومات SDK الخاصة بالمعلن ، قام Botezatu بمقارنتها بوحدة الوصول عن بعد التي تعمل بنظام Android والتي تم تعريفها بواسطة Bitdefender. بمجرد تثبيته على هاتف الضحية ، فإنه يوفر تحكمًا تامًا للمهاجمين مما يتيح لهم سرقة جهات الاتصال والوصول إلى سجل المتصفح وتعقب الضحية. وقال "معظم الناس يستجيبون بشكل سلبي لأندروات عندما أظهر لهم أنني أستطيع تشغيل الميكروفون". "أقل من ذلك ، هذا ما يحدث مع معظم SDKs الإعلان."

ليس من الواضح تمامًا ما الذي تستخدمه وكالة الأمن القومي لمعلومات التطبيق التي تم اعتراضها ، ولكن من المحتمل أن تكون مشابهة للمعلنين: إنشاء ملفات تعريف مفصلة على أفراد من معلومات متباينة. بالطبع ، يمكن استخدامه بطرق أخرى. يتخيل بوتزاتو سيناريو حيث كان المتظاهرون يقومون بأعمال شغب في الشوارع ضد حكومة قمعية. إذا كان لهذه الحكومة الوهمية وصول غير مقيد إلى معلومات الموقع التي تم حصادها من قِبل المعلنين ، فيمكنهم تحديد من كان في الشغب واستهدافهم أو أسرهم للانتقام.

أنابيب متسربة

كما قال روجرز ، فإن التطبيق يكون متسربًا فقط إذا حاول إرسال معلومات دون تشفير. لسوء الحظ ، اختار العديد منهم عدم تشفير المعلومات التي تتدفق من التطبيقات على هاتفك وخوادم المعلنين. وقال Botezatu: "أي شخص يستمع إلى جهاز التوجيه أو الشبكة يمكنه أن يتطفل على بيانات التطبيق وعمل نسخة منها".

بينما رأينا حالات من وكالات التجسس تتطفل على أجهزة التوجيه وشبكات Wi-Fi ، يقول روجرز إنها مشكلة أكبر. "المنظمات الحكومية في وضع يمكنها من الاستفادة من البنية التحتية بطريقة لا يمكن لأي شخص آخر الحصول عليها. يمكن للرجل السيئ الحصول على مجموعة من البيانات ، ولكن يمكن للحكومات امتلاك الإنترنت بالكامل."

إن إرسال ردود بيانات للمعلنين ليس دائمًا أفضل من اعتراضها من قبل وكالة الأمن القومي. أشار Botezatu إلى أنه بمجرد مغادرة البيانات لجهازك ، لن يكون لديك أي سيطرة عليه. "قد يكون هؤلاء المعلنون في مكان لا يوجد فيه تشريع يحمي بياناتك ، ولا يمكن لأحد أن يضمن أن المعلومات الموجودة على هذه الخوادم محمية أو لا يمكن الوصول إليها للمتسللين."

من هو المذنب

في كثير من الحالات ، قد لا يكون مطور التطبيق على دراية بالمعلومات التي يمتصها المعلنون. أو إذا كانت هذه المعلومات مشفرة.

يقول روجرز إن الجزء الأكبر من المشكلة هو المفهوم الخاطئ للصناعة حول ما يجعل البيانات حساسة. وأوضح أن بعض التطبيقات لا تأخذ سوى القليل من المعلومات - مثل التفضيل الجنسي في تطبيق مواعدة أو جزء من الرمز البريدي في تطبيق آخر - دون قلق. لا يرى المعلنون أن هذه المعلومات حساسة لأنها وحدها لا تخبرك بالكثير. ولكن الآن يمكن لمؤسسات مثل NSA اعتراض البيانات من مئات التطبيقات في آن واحد ، وتوصيل النقاط. وقال روجرز: "يمكن للمنظمات الحكومية ربط كل ذلك وبناء صورة كاملة".

هناك أيضًا مشكلات في مجموعات تطوير البرامج التي يستخدمها المعلنون لجمع هذه المعلومات. أوضح Botezatu أنه على الرغم من وجود ملايين التطبيقات في جميع أسواق الهواتف المحمولة ، إلا أن عدد الإعلانات SDKs صغير جدًا. "هناك حوالي 100 تشغيل جميع التطبيقات على Google Play" ، أوضح. "إذا قمت بالتنازل عن أحد التطبيقات ، فإنك تعرض مجموعة كاملة من التطبيقات وتواصل مع العديد من العملاء."

كما يلعب العملاء (هذا أنت وأنا) دورًا في هذا الأمر لأننا قد حذرنا هواتفنا بالفعل من أنه يتم جمع هذه المعلومات. عند تنزيل تطبيق من Google Play ، على سبيل المثال ، فإنك توافق على منح التطبيق حق الوصول إلى مجموعة من الأذونات. هذه هي المعلومات التي يمكن للتطبيق الوصول إليها ، والإجراءات التي يمكنه تنفيذها. وقال روجرز "إذا كانت Angry Birds تستخدم موقعك ، فيمكنك افتراض أنه يستخدم للدعاية بطريقة ما.

كيف تحافظ على سلامتك

بالنسبة للأشخاص مثلنا ، فإن خيارات تحديد من يرى معلوماتنا قليلة. على iPhone ، يمكنك إجبار المعلنين على الوصول إلى "معرف الإعلان" الذي يمكنك تحديثه في أي وقت - مما يحد من إمكانية إنشاء ملف تعريف كامل. يتيح لك iOS أيضًا توفير أذونات محببة للمعلومات. يمكنك السماح بالوصول إلى موقعك ، ثم إيقاف تشغيله لاحقًا من قائمة الإعدادات.

لسوء الحظ ، تخلفت Android عن أذونات محببة. على الرغم من أن Google قدمت لفترة وجيزة لوحة تحكم للسماح لك بتبديل الأذونات وإيقاف تشغيلها ، فقد تمت إزالتها بسرعة. هذا يعني أنه يجب على العديد من المستخدمين الاختيار بين الأمان والتشغيل مع أحدث تطبيق. وقال بوتيزاتو "عندما أرى تطبيقًا يحاول جمع بيانات أكثر مما يحتاج ، أذهب إلى تطبيق آخر بوظائف مماثلة".

يمكن للمستخدمين أيضًا تثبيت برنامج الأمان الذي يمكن أن يساعد في مراقبة أذونات التطبيق. يقول Lookout أن تطبيق الأمان الخاص بهم سيبدأ في تسليط الضوء على هذه المعلومات ، ويمكن أن يساعدك تطبيق Bitdefender's Clueful في تحديد ما إذا كان التطبيق يطلب الكثير.

يعترف روجرز بأن "المستخدم أبعد ما يكون عن ما يتفق مطور التطبيقات على فعله مع المعلنين لديهم." ومع ذلك ، فقد أوصى بأن يطلب المستخدمون من مطوري التطبيقات تقديم مستندات مثل سياسات الخصوصية والإفصاح.

للأسف ، يقع على عاتق المطورين والمعلنين البدء في التعامل مع جميع معلومات المستخدم على أنها حساسة وتشفيرها عندما يترك هاتفك عندما يجلس على خوادمهم. وفي الوقت نفسه ، يحتاج المستهلكون إلى اتخاذ قرارات ذكية بشأن التطبيقات التي يقومون بتثبيتها ومحاسبة المطورين بشكل نشط. وقال روجرز "نسمع كل يوم أن هناك أشياء جديدة يجري التجسس عليها ، ولكن على الأقل في هذه الحالة هناك علاج سهل".