ਐਂਡਰੌਇਡ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਪਿਛਲੇ ਦਰਵਾਜ਼ਿਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਨਤੀਜੇ

ਹੈਲਮਹੋਲਟਜ਼ ਸੈਂਟਰ ਫਾਰ ਇਨਫਰਮੇਸ਼ਨ ਸਕਿਓਰਿਟੀ (ਸੀਆਈਐਸਪੀਏ), ਓਹੀਓ ਸਟੇਟ ਯੂਨੀਵਰਸਿਟੀ ਅਤੇ ਨਿਊਯਾਰਕ ਯੂਨੀਵਰਸਿਟੀ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਖਰਚ ਕੀਤਾ ਐਂਡਰਾਇਡ ਪਲੇਟਫਾਰਮ ਲਈ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਲੁਕੀ ਹੋਈ ਕਾਰਜਸ਼ੀਲਤਾ ਦੀ ਖੋਜ। ਗੂਗਲ ਪਲੇ ਕੈਟਾਲਾਗ ਤੋਂ 100 ਹਜ਼ਾਰ ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ, ਇੱਕ ਵਿਕਲਪਕ ਕੈਟਾਲਾਗ (ਬਾਇਡੂ) ਤੋਂ 20 ਹਜ਼ਾਰ ਅਤੇ ਸੈਮਮੋਬਾਈਲ ਤੋਂ 30 ਫਰਮਵੇਅਰ ਤੋਂ ਚੁਣੇ ਗਏ ਵੱਖ-ਵੱਖ ਸਮਾਰਟਫ਼ੋਨਾਂ 'ਤੇ ਪਹਿਲਾਂ ਤੋਂ ਸਥਾਪਤ 1000 ਹਜ਼ਾਰ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਦਿਖਾਇਆਕਿ 12706 (8.5%) ਪ੍ਰੋਗਰਾਮਾਂ ਵਿੱਚ ਉਪਯੋਗਕਰਤਾ ਤੋਂ ਛੁਪੀ ਹੋਈ ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੁੰਦੀ ਹੈ, ਪਰ ਵਿਸ਼ੇਸ਼ ਕ੍ਰਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਗਰਮ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਨੂੰ ਬੈਕਡੋਰਸ ਵਜੋਂ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਖਾਸ ਤੌਰ 'ਤੇ, 7584 ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਏਮਬੈਡਡ ਗੁਪਤ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਸ਼ਾਮਲ ਹਨ, 501 ਵਿੱਚ ਏਮਬੈਡਡ ਮਾਸਟਰ ਪਾਸਵਰਡ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ 6013 ਵਿੱਚ ਲੁਕਵੇਂ ਕਮਾਂਡ ਸ਼ਾਮਲ ਹਨ। ਸਮੱਸਿਆ ਵਾਲੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਜਾਂਚ ਕੀਤੇ ਗਏ ਸਾਰੇ ਸੌਫਟਵੇਅਰ ਸਰੋਤਾਂ ਵਿੱਚ ਮਿਲਦੀ ਹੈ - ਪ੍ਰਤੀਸ਼ਤ ਦੇ ਰੂਪ ਵਿੱਚ, ਗੂਗਲ ਪਲੇ ਤੋਂ ਅਧਿਐਨ ਕੀਤੇ ਪ੍ਰੋਗਰਾਮਾਂ ਦੇ 6.86% (6860) ਵਿੱਚ, ਵਿਕਲਪਕ ਕੈਟਾਲਾਗ ਤੋਂ 5.32% (1064) ਵਿੱਚ ਅਤੇ 15.96% (4788) ਵਿੱਚ ਬੈਕਡੋਰਸ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। ਪਹਿਲਾਂ ਤੋਂ ਸਥਾਪਿਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੂਚੀ ਵਿੱਚੋਂ. ਪਛਾਣੇ ਗਏ ਬੈਕਡੋਰ ਕਿਸੇ ਵੀ ਵਿਅਕਤੀ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਇਸ ਨਾਲ ਜੁੜੇ ਸਾਰੇ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਕੁੰਜੀਆਂ, ਐਕਟੀਵੇਸ਼ਨ ਪਾਸਵਰਡ ਅਤੇ ਕਮਾਂਡ ਕ੍ਰਮ ਨੂੰ ਜਾਣਦਾ ਹੈ।

ਉਦਾਹਰਨ ਲਈ, 5 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਵਾਲੀ ਇੱਕ ਸਪੋਰਟਸ ਸਟ੍ਰੀਮਿੰਗ ਐਪ ਵਿੱਚ ਐਡਮਿਨ ਇੰਟਰਫੇਸ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਲਈ ਇੱਕ ਬਿਲਟ-ਇਨ ਕੁੰਜੀ ਪਾਈ ਗਈ ਸੀ, ਜਿਸ ਨਾਲ ਉਪਭੋਗਤਾ ਐਪ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲ ਸਕਦੇ ਹਨ ਅਤੇ ਵਾਧੂ ਕਾਰਜਸ਼ੀਲਤਾ ਤੱਕ ਪਹੁੰਚ ਕਰ ਸਕਦੇ ਹਨ। 5 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ ਇੱਕ ਸਕ੍ਰੀਨ ਲੌਕ ਐਪ ਵਿੱਚ, ਇੱਕ ਐਕਸੈਸ ਕੁੰਜੀ ਮਿਲੀ ਜੋ ਤੁਹਾਨੂੰ ਉਸ ਪਾਸਵਰਡ ਨੂੰ ਰੀਸੈਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜੋ ਉਪਭੋਗਤਾ ਡਿਵਾਈਸ ਨੂੰ ਲਾਕ ਕਰਨ ਲਈ ਸੈੱਟ ਕਰਦਾ ਹੈ। ਅਨੁਵਾਦਕ ਪ੍ਰੋਗਰਾਮ, ਜਿਸ ਵਿੱਚ 1 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਹਨ, ਵਿੱਚ ਇੱਕ ਕੁੰਜੀ ਸ਼ਾਮਲ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਭੁਗਤਾਨ ਕੀਤੇ ਬਿਨਾਂ ਐਪ-ਵਿੱਚ ਖਰੀਦਦਾਰੀ ਕਰਨ ਅਤੇ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਪ੍ਰੋ ਸੰਸਕਰਣ ਵਿੱਚ ਅਪਗ੍ਰੇਡ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।

ਗੁੰਮ ਹੋਈ ਡਿਵਾਈਸ ਦੇ ਰਿਮੋਟ ਕੰਟਰੋਲ ਲਈ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ, ਜਿਸ ਵਿੱਚ 10 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਹਨ, ਇੱਕ ਮਾਸਟਰ ਪਾਸਵਰਡ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ ਜੋ ਡਿਵਾਈਸ ਦੇ ਗੁਆਚਣ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਸੈੱਟ ਕੀਤੇ ਲਾਕ ਨੂੰ ਹਟਾਉਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ। ਨੋਟਬੁੱਕ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਇੱਕ ਮਾਸਟਰ ਪਾਸਵਰਡ ਮਿਲਿਆ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਗੁਪਤ ਨੋਟਸ ਨੂੰ ਅਨਲੌਕ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਬਹੁਤ ਸਾਰੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ, ਡੀਬੱਗਿੰਗ ਮੋਡਾਂ ਦੀ ਵੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ ਜੋ ਘੱਟ-ਪੱਧਰੀ ਸਮਰੱਥਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਦੇ ਸਨ, ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਸ਼ਾਪਿੰਗ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ, ਇੱਕ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਸੀ ਜਦੋਂ ਇੱਕ ਖਾਸ ਸੁਮੇਲ ਦਾਖਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਸਿਖਲਾਈ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਟੈਸਟਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਸੀ। .

ਪਿਛਲੇ ਦਰਵਾਜ਼ਿਆਂ ਤੋਂ ਇਲਾਵਾ, 4028 (2.7%) ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਉਪਭੋਗਤਾ ਤੋਂ ਪ੍ਰਾਪਤ ਜਾਣਕਾਰੀ ਨੂੰ ਸੈਂਸਰ ਕਰਨ ਲਈ ਬਲੈਕਲਿਸਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਗਿਆ ਸੀ। ਵਰਤੀਆਂ ਗਈਆਂ ਬਲੈਕਲਿਸਟਾਂ ਵਿੱਚ ਮਨਾਹੀ ਵਾਲੇ ਸ਼ਬਦਾਂ ਦੇ ਸਮੂਹ ਸ਼ਾਮਲ ਹਨ, ਜਿਸ ਵਿੱਚ ਰਾਜਨੀਤਿਕ ਪਾਰਟੀਆਂ ਅਤੇ ਰਾਜਨੇਤਾਵਾਂ ਦੇ ਨਾਮ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਆਬਾਦੀ ਦੇ ਕੁਝ ਹਿੱਸਿਆਂ ਦੇ ਵਿਰੁੱਧ ਡਰਾਉਣ ਅਤੇ ਵਿਤਕਰਾ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਆਮ ਵਾਕਾਂਸ਼ ਸ਼ਾਮਲ ਹਨ। ਗੂਗਲ ਪਲੇ ਤੋਂ ਅਧਿਐਨ ਕੀਤੇ ਗਏ ਪ੍ਰੋਗਰਾਮਾਂ ਦੇ 1.98% ਵਿੱਚ, ਵਿਕਲਪਕ ਕੈਟਾਲਾਗ ਤੋਂ 4.46% ਵਿੱਚ ਅਤੇ ਪਹਿਲਾਂ ਤੋਂ ਸਥਾਪਿਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੂਚੀ ਵਿੱਚੋਂ 3.87% ਵਿੱਚ ਬਲੈਕਲਿਸਟਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ।

ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਪੂਰਾ ਕਰਨ ਲਈ, ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਬਣਾਈ ਗਈ ਇਨਪੁਟਸਕੋਪ ਟੂਲਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਲਈ ਕੋਡ ਨੇੜਲੇ ਭਵਿੱਖ ਵਿੱਚ ਜਾਰੀ ਕੀਤਾ ਜਾਵੇਗਾ। ਪ੍ਰਕਾਸ਼ਿਤ GitHub ਉੱਤੇ (ਖੋਜਕਾਰਾਂ ਨੇ ਪਹਿਲਾਂ ਇੱਕ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਕ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਸੀ ਲੀਕਸਕੋਪ, ਜੋ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਜਾਣਕਾਰੀ ਲੀਕ ਹੋਣ ਦਾ ਆਪਣੇ ਆਪ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ)।

ਸਰੋਤ: opennet.ru