Làm thế nào các nsa đang biến ứng dụng của bạn chống lại bạn

Vào cuối tháng 1, các tài liệu bị rò rỉ tiết lộ rằng NSA và các tổ chức gián điệp quốc gia khác đã rất nỗ lực để lấy thông tin từ điện thoại thông minh của bạn. Nhưng thay vì cài đặt một lỗi, họ chỉ gõ vào các ứng dụng đã có trên điện thoại của bạn để tìm hiểu mọi thứ họ muốn biết.

Một con chim giận dữ đã nói với tôi

Theo báo cáo, các tổ chức gián điệp đang tìm kiếm cái gọi là "ứng dụng rò rỉ" để thu thập thông tin. Đó là một thuật ngữ chúng tôi đã sử dụng khá thường xuyên trong các câu chuyện Thứ Hai về Đe dọa Di động của chúng tôi, một câu chuyện mà Nhà nghiên cứu bảo mật chính của Lookout Marc Rogers định nghĩa là "Bất kỳ ứng dụng nào truyền bất kỳ loại thông tin nhạy cảm nào mà không cần mã hóa."

Bạn có thể ngạc nhiên khi định nghĩa này bao gồm nhiều ứng dụng có sẵn trong cả hai cửa hàng ứng dụng Android và iOS. Đó là bởi vì nhiều ứng dụng này sử dụng nền tảng quảng cáo của bên thứ ba để giúp kiếm tiền từ ứng dụng của họ. Đôi khi bạn có thể thấy quảng cáo ngay trong ứng dụng, như trong Flappy Bird. Nhà phát triển được cắt giảm và bạn có được một trò chơi miễn phí.

Nhưng ngay cả khi bạn không thấy bất kỳ quảng cáo nào, nhà phát triển ứng dụng thường bao gồm mã từ các nhà quảng cáo lặng lẽ thu thập thông tin về bạn và thiết bị của bạn. Thông tin này được các nhà quảng cáo biên soạn và mổ xẻ để giúp nhắm mục tiêu quảng cáo của họ tốt hơn. "Càng có nhiều thông tin về ai đó, hồ sơ tiếp thị của họ sẽ càng chính xác", Chuyên gia về mối đe dọa điện tử cao cấp của Bitdefender, Bogdan Botezatu giải thích.

"Đối với các nhà quảng cáo, " Rogers của Rogout giải thích, "có vàng trong việc dự đoán những gì sẽ đưa vào đó sẽ thu hút người dùng." Đây có thể là các sản phẩm và dịch vụ gần với sở thích của bạn hơn hoặc có sẵn trong khu vực của bạn. Nếu bạn sống ở Osaka chẳng hạn, có lẽ bạn sẽ không thích tìm hiểu về những chiếc xe giá rẻ ở Chicago.

Các nhà quảng cáo và tiếp thị thường theo thông tin có thể nhận dạng, đó là cách để kết nối thiết bị của bạn với bạn. Số EMEI của thiết bị, Apple ID hoặc một số định danh khác sẽ làm được, nhưng email và số điện thoại đặc biệt được đánh giá cao. Với thông tin này, nhà quảng cáo có thể xác định rằng cùng một người đã tải xuống các ứng dụng khác nhau và lượm lặt cách chúng được sử dụng trên các thiết bị khác nhau. Các nhà quảng cáo khác tích cực hơn và cố gắng lấy thông tin định vị địa lý của bạn và hơn thế nữa.

Để đưa ra một ví dụ về mức độ thông tin SDK của nhà quảng cáo có thể tiếp cận sâu rộng, Botezatu đã so sánh chúng với Trojan truy cập từ xa Android được mô tả bởi Bitdefender. Sau khi được cài đặt trên điện thoại của nạn nhân, nó cung cấp toàn quyền kiểm soát cho kẻ tấn công cho phép chúng đánh cắp danh bạ, truy cập lịch sử trình duyệt và theo dõi nạn nhân. "Hầu hết mọi người phản ứng tiêu cực với AndroRAT khi tôi cho họ thấy tôi có thể bật micro", ông nói. "Nói ngắn gọn, đó là những gì xảy ra với hầu hết các SDK quảng cáo."

Không hoàn toàn rõ ràng NSA đang sử dụng thông tin ứng dụng bị chặn để làm gì, nhưng nó có thể tương tự như các nhà quảng cáo: xây dựng hồ sơ chi tiết về các cá nhân từ thông tin khác nhau. Tất nhiên, nó có thể được sử dụng theo những cách khác. Botezatu tưởng tượng ra một kịch bản nơi những người biểu tình đang náo loạn trên đường phố chống lại một chính phủ áp bức. Nếu chính phủ tưởng tượng này có quyền truy cập vào thông tin vị trí được thu thập bởi các nhà quảng cáo, họ có thể xác định ai là người trong cuộc bạo loạn và nhắm mục tiêu cho họ hoặc gia đình họ để trả thù.

Ống rò rỉ

Như Rogers đã nói, một ứng dụng chỉ bị rò rỉ nếu nó cố gửi thông tin mà không mã hóa. Thật không may, nhiều người trong số họ đã chọn không mã hóa thông tin từ các ứng dụng trên điện thoại của bạn và đến các máy chủ của nhà quảng cáo. "Bất cứ ai đang nghe trên bộ định tuyến hoặc mạng đều có thể rình mò dữ liệu ứng dụng và tạo một bản sao", Botezatu nói.

Trong khi chúng ta đã thấy các trường hợp của các cơ quan gián điệp rình mò các bộ định tuyến và mạng Wi-Fi, Rogers nói rằng đó là một vấn đề lớn hơn. "Các tổ chức chính phủ đang ở trong một vị trí để tận dụng cơ sở hạ tầng theo cách mà không ai khác có thể. Một kẻ xấu có thể có được một bộ dữ liệu, nhưng các chính phủ có thể dàn dựng toàn bộ internet."

Gửi các luồng dữ liệu cho các nhà quảng cáo không phải lúc nào cũng tốt hơn việc họ bị NSA chặn. Botezatu chỉ ra rằng một khi dữ liệu rời khỏi thiết bị của bạn, bạn không có quyền kiểm soát đối với thiết bị đó. "Những nhà quảng cáo đó có thể ở một nơi không có luật bảo vệ dữ liệu của bạn và không ai có thể đảm bảo rằng thông tin trên các máy chủ đó được bảo mật hoặc không thể truy cập được đối với tin tặc."

Người để đổ lỗi

Trong nhiều trường hợp, nhà phát triển ứng dụng thậm chí có thể không nhận thức được thông tin nào đang bị các nhà quảng cáo thu hút. Hoặc nếu thông tin đó được mã hóa.

Rogers nói rằng phần lớn của vấn đề là một quan niệm sai lầm trong ngành về những gì làm cho dữ liệu nhạy cảm. Một số ứng dụng, anh giải thích, chỉ lấy một ít thông tin như một sở thích tình dục trong một ứng dụng hẹn hò hoặc một phần của mã ZIP trong một ứng dụng khác mà không cần quan tâm. Các nhà quảng cáo không xem thông tin này là nhạy cảm bởi vì một mình nó không cho bạn biết nhiều. Nhưng giờ đây, các tổ chức như NSA có thể chặn dữ liệu từ hàng trăm ứng dụng cùng một lúc và kết nối các dấu chấm. "Các tổ chức chính phủ có thể tương quan tất cả những điều đó và xây dựng một hồ sơ hoàn chỉnh, " Rogers nói.

Cũng có vấn đề với bộ công cụ phát triển phần mềm được các nhà quảng cáo sử dụng để thu thập thông tin này. Botezatu giải thích rằng trong khi có hàng triệu ứng dụng trong tất cả các thị trường di động, số lượng SDK quảng cáo rất ít. "Có khoảng 100 nguồn cung cấp năng lượng cho tất cả các ứng dụng trên Google Play", ông giải thích. "Nếu bạn thỏa hiệp một, bạn thỏa hiệp đầy đủ các ứng dụng và tiếp cận với nhiều khách hàng hơn."

Khách hàng (đó là bạn và tôi) cũng tham gia vào việc này vì chúng tôi thực sự được cảnh báo bởi điện thoại của chúng tôi rằng thông tin này đang được thu thập. Ví dụ: khi bạn tải xuống một ứng dụng từ Google Play, bạn đồng ý cấp cho ứng dụng quyền truy cập vào một loạt các quyền. Đây là thông tin mà ứng dụng có thể truy cập và các hành động mà nó có thể thực hiện. "Nếu Angry Birds đang sử dụng vị trí của bạn, bạn có thể cho rằng nó đang được sử dụng để quảng cáo bằng cách nào đó, Rogers nói.

Cách giữ an toàn

Đối với những người như chúng tôi, các tùy chọn để giới hạn những người nhìn thấy thông tin của chúng tôi rất ít. Trên iPhone, bạn có thể buộc các nhà quảng cáo truy cập vào "ID quảng cáo" mà bạn có thể làm mới bất cứ lúc nào, giới hạn mức độ hoàn thiện của một hồ sơ. iOS cũng cho phép bạn cung cấp quyền chi tiết cho thông tin. Bạn có thể cho phép truy cập vào vị trí của mình, sau đó tắt nó sau từ menu Cài đặt.

Thật không may, Android đã bị tụt lại phía sau với các quyền hạn chi tiết. Mặc dù Google đã giới thiệu ngắn gọn một bảng điều khiển để cho phép bạn bật và tắt các quyền, nhưng nó đã nhanh chóng bị xóa. Điều này có nghĩa là nhiều người dùng phải chọn giữa bảo mật và chơi với ứng dụng mới nhất. Botezatu nói: "Khi tôi thấy một ứng dụng cố gắng thu thập nhiều dữ liệu hơn mức cần thiết, tôi sẽ tìm một ứng dụng khác có chức năng tương tự".

Người dùng cũng có thể cài đặt phần mềm bảo mật có thể giúp theo dõi quyền của ứng dụng. Lookout nói rằng ứng dụng bảo mật của họ sẽ bắt đầu làm nổi bật thông tin này và ứng dụng Cluished của Bitdefender có thể giúp bạn quyết định xem một ứng dụng có yêu cầu quá nhiều hay không.

Rogers thừa nhận rằng "người dùng khác xa với những gì một nhà phát triển ứng dụng đồng ý làm với các nhà quảng cáo của họ." Tuy nhiên, ông đã khuyến nghị người dùng yêu cầu các nhà phát triển ứng dụng cung cấp tài liệu như chính sách bảo mật và tiết lộ.

Đáng buồn thay, onus, các nhà phát triển và nhà quảng cáo bắt đầu coi tất cả thông tin người dùng là nhạy cảm và mã hóa nó từ khi điện thoại rời khỏi điện thoại của bạn khi nó ngồi trên máy chủ của họ. Người tiêu dùng, trong khi đó, cần đưa ra quyết định thông minh về những ứng dụng họ cài đặt và chủ động giữ các nhà phát triển chịu trách nhiệm. "Chúng tôi đang nghe hàng ngày rằng những điều mới đang bị theo dõi, nhưng ít nhất trong trường hợp này có một biện pháp khắc phục dễ dàng", Rogers nói.