תוצאות ניתוח של דלתות אחוריות באפליקציות אנדרואיד

חוקרים במרכז הלמהולץ לאבטחת מידע (CISPA), אוניברסיטת אוהיו ואוניברסיטת ניו יורק מוּתַשׁ מחקר של פונקציונליות נסתרת באפליקציות לפלטפורמת אנדרואיד. ניתוח של 100 אלף אפליקציות מובייל מקטלוג Google Play, 20 אלף מקטלוג חלופי (Baidu) ו-30 אלף אפליקציות מותקנות מראש בסמארטפונים שונים, שנבחרו מתוך 1000 קושחה של SamMobile, הראהש-12706 (8.5%) תוכניות מכילות פונקציונליות מוסתרת מהמשתמש, אך מופעלת באמצעות רצפים מיוחדים, שניתן לסווג אותם כדלתות אחוריות.

באופן ספציפי, 7584 יישומים כללו מפתחות גישה סודיים מוטבעים, 501 כללו סיסמאות אב משובצות ו-6013 כללו פקודות נסתרות. אפליקציות בעייתיות נמצאות בכל מקורות התוכנה שנבדקו - באחוזים זוהו דלתות אחוריות ב-6.86% (6860) מהתוכניות שנחקרו מ-Google Play, ב-5.32% (1064) מהקטלוג החלופי וב-15.96% (4788) מרשימת היישומים המותקנים מראש. הדלתות האחוריות שזוהו מאפשרות לכל מי שמכיר את המפתחות, סיסמאות ההפעלה ורצפי הפקודות לקבל גישה לאפליקציה ולכל הנתונים הקשורים אליה.

לדוגמה, אפליקציית סטרימינג ספורט עם 5 מיליון התקנות נמצאה בעלת מפתח מובנה לכניסה לממשק הניהול, המאפשר למשתמשים לשנות את הגדרות האפליקציה ולגשת לפונקציונליות נוספת. באפליקציית נעילת מסך עם 5 מיליון התקנות, נמצא מפתח גישה המאפשר לאפס את הסיסמה שהמשתמש מגדיר לנעילת המכשיר. תוכנית המתרגמים, בעלת מיליון התקנות, כוללת מפתח המאפשר לבצע רכישות בתוך האפליקציה ולשדרג את התוכנית לגרסת המקצוענים מבלי לשלם בפועל.

בתוכנית לשליטה מרחוק במכשיר שאבד, המונה 10 מיליון התקנות, זוהתה סיסמת אב המאפשרת להסיר את המנעול שהוגדר על ידי המשתמש במקרה של אובדן המכשיר. סיסמת אב נמצאה בתוכנת המחברת המאפשרת לך לפתוח הערות סודיות. באפליקציות רבות זוהו גם מצבי ניפוי באגים אשר סיפקו גישה ליכולות ברמה נמוכה, למשל באפליקציית קניות הופעל שרת proxy כאשר הוכנס שילוב מסוים ובתוכנית ההדרכה הייתה אפשרות לעקוף בדיקות .

בנוסף לדלתות אחוריות, נמצאו ב-4028 (2.7%) יישומים רשימות שחורות המשמשות לצנזור מידע שהתקבל מהמשתמש. הרשימות השחורות בהן נעשה שימוש מכילות קבוצות של מילים אסורות, כולל שמות של מפלגות פוליטיות ופוליטיקאים, וביטויים טיפוסיים המשמשים להפחיד ולהפליה לרעה של פלחים מסוימים באוכלוסייה. רשימות שחורות זוהו ב-1.98% מהתוכניות שנחקרו מ-Google Play, ב-4.46% מהקטלוג החלופי וב-3.87% מרשימת האפליקציות המותקנות מראש.

לצורך ביצוע הניתוח נעשה שימוש בערכת הכלים InputScope שיצרו החוקרים, שהקוד עבורו ישוחרר בעתיד הקרוב. פורסם ב- GitHub (החוקרים פרסמו בעבר מנתח סטטי LeakScope, שמזהה באופן אוטומטי דליפות מידע באפליקציות).

מקור: OpenNet.ru