Aplikácie pre Android s reklamami, o ktorých sa zistilo, že predstavujú riziká pre súkromie a bezpečnosť

Výskumníci zo Štátnej univerzity v Severnej Karolíne zistili, že mobilné aplikácie, ktoré integrujú reklamy, predstavujú súkromie a bezpečnostné riziká. Tím vykonal štúdiu, ktorá skúmala 100 000 aplikácií z trhu Google Play a zistila, že viac ako polovica obsahovala „knižnice reklám“, zatiaľ čo 297 aplikácií obsahovalo „knižnice agresívnych reklám“, ktoré si mohli stiahnuť a spustiť kód zo vzdialeného serverov. Výskumníci tiež zistili, že viac ako 48 000 skúmaných aplikácií dokáže sledovať polohu prostredníctvom GPS, zatiaľ čo iní môžu pristupovať k záznamom hovorov, telefónnym číslam a zoznamu všetkých aplikácií, ktoré si používateľ uložil telefón. Čítajte ďalej.

„Spustenie kódu stiahnutého z internetu je problematické, pretože kód môže byť čokoľvek,“ povedal Dr. Xuxian Jiang, odborný asistent informatiky na NC State a spoluautor článku popisujúceho práca. „Mohol by napríklad potenciálne spustiť útok typu „root exploit“ na ovládnutie vášho telefónu – ako to dokazuje nedávno objavený malvér pre Android s názvom RootSmart.“

Knižnice reklám v aplikácii, ktoré získavajú reklamy zo vzdialených serverov a zobrazujú reklamy na smartfóne používateľa, poskytuje vývojárom spoločnosť Google alebo iné tretie strany. Knižnice reklám však dostávajú rovnaké povolenia, aké používateľ udelil samotnej aplikácii, keď bola prvá nainštalované – bez ohľadu na to, či si je používateľ vedomý toho, že reklame udeľuje rovnaké povolenia knižnica.

„Aby sme obmedzili vystavenie týmto rizikám, musíme izolovať knižnice reklám od aplikácií a uistiť sa, že nemajú rovnaké povolenia,“ povedal Jiang. „Súčasný model priameho vkladania knižníc reklám do mobilných aplikácií ho robí pohodlným pre vývojárov aplikácií, ale zároveň zásadne prináša riziká pre ochranu súkromia a bezpečnosť. Najlepším riešením by bolo, keby sa Google, Apple a ďalší poskytovatelia mobilných platforiem ujali vedenia pri poskytovaní účinných mechanizmov na izoláciu reklám.“

Štúdia: Zahrnutie reklám do mobilných aplikácií predstavuje riziká spojené s ochranou súkromia a bezpečnosťou

Vedci zo Štátnej univerzity v Severnej Karolíne zistili, že zahrnutie reklám do mobilných aplikácií (aplikácií) predstavuje riziká pre súkromie a bezpečnosť. V nedávnej štúdii 100 000 aplikácií na oficiálnom trhu Google Play si výskumníci všimli, že viac ako polovica obsahuje takzvané knižnice reklám. A 297 aplikácií obsahovalo agresívne knižnice reklám, ktoré mali povolené sťahovať a spúšťať kód zo vzdialených serverov, čo vyvoláva značné obavy o súkromie a bezpečnosť.

„Spustenie kódu stiahnutého z internetu je problematické, pretože kód môže byť čokoľvek,“ hovorí Dr. Xuxian Jiang, odborný asistent informatiky na NC State a spoluautor článku popisujúceho práca. „Mohol by napríklad potenciálne spustiť útok typu „root exploit“ na ovládnutie vášho telefónu – ako to dokazuje nedávno objavený malvér pre Android s názvom RootSmart.“

V službe Google Play (predtým známej ako Android Market) a na iných trhoch ponúka veľa vývojárov bezplatné aplikácie. Na generovanie príjmov títo vývojári aplikácií začleňujú „knižnice reklám v aplikácii“, ktoré poskytujú spoločnosti Google, Apple alebo iné tretie strany. Tieto knižnice reklám získavajú reklamy zo vzdialených serverov a pravidelne spúšťajú reklamy na smartfóne používateľa. Pri každom spustení reklamy dostane vývojár aplikácie platbu.

To predstavuje potenciálne problémy, pretože knižnice reklám dostávajú rovnaké povolenia, aké používateľ udelil aplikácii sám pri inštalácii – bez ohľadu na to, či používateľ vedel, že udeľuje povolenia na reklamu knižnica.

Jiangov tím preskúmal vzorku 100 000 aplikácií dostupných v službe Google Play od marca do mája 2011 a preskúmal 100 reprezentatívnych knižníc reklám, ktoré tieto aplikácie používajú. Jedným z významných zistení bolo, že 297 aplikácií (1 z 337 aplikácií) využívalo knižnice reklám, „ktoré využívali nebezpečný mechanizmus na načítanie a spúšťať kód z internetu – správanie, ktoré nie je nevyhnutné pre ich poslanie, no má znepokojujúce dôsledky na súkromie a bezpečnosť,“ Jiang hovorí. Ale to je len najextrémnejší príklad.

Jiangov tím zistil, že 48 139 aplikácií (1 v 2.1) malo knižnice reklám, ktoré sledujú polohu používateľa prostredníctvom GPS, pravdepodobne preto, aby knižnica reklám mohla lepšie zacieliť reklamy na používateľa. Avšak 4 190 aplikácií (1 z 23,4) používalo knižnice reklám, ktoré tiež umožnili samotným inzerentom prístup k polohe používateľa prostredníctvom GPS. Ďalšie informácie, ku ktorým mali prístup niektoré knižnice reklám, zahŕňali denníky hovorov, telefónne čísla používateľov a zoznamy všetkých aplikácií, ktoré si používateľ uložil do svojho telefónu.

Tieto knižnice reklám predstavujú bezpečnostné riziká, pretože ponúkajú tretím stranám – vrátane hackerov – spôsob, ako obísť existujúce snahy o zabezpečenie systému Android. Konkrétne samotná aplikácia môže byť neškodná, takže nevyvolá žiadne obavy o bezpečnosť. Knižnica reklám aplikácie však môže po inštalácii stiahnuť škodlivý alebo invazívny kód.

„Aby sme obmedzili vystavenie týmto rizikám, musíme izolovať knižnice reklám od aplikácií a uistiť sa, že nemajú rovnaké povolenia,“ hovorí Jiang. „Súčasný model priameho vkladania knižníc reklám do mobilných aplikácií ho robí pohodlným pre vývojárov aplikácií, ale zároveň zásadne prináša riziká pre ochranu súkromia a bezpečnosť. Najlepším riešením by bolo, keby sa Google, Apple a ďalší poskytovatelia mobilných platforiem ujali vedenia pri poskytovaní účinných mechanizmov na izoláciu reklám.“

Dokument „Analýza nebezpečného vystavenia reklám v mobilných aplikáciách“ bol spoluautorom Jianga; NC State Ph. D. študenti Michael Grace a Wu Zhou; a Dr. Ahmad-Reza Sadeghi z Technickej univerzity v Darmstadte. Príspevok bude prezentovaný 17. apríla na 5. konferencii ACM o bezpečnosti a súkromí v bezdrôtových a mobilných sieťach v Tucsone. Výskum podporila Národná vedecká nadácia.