Pobierasz aplikację, aby sprawdzić harmonogram usług lub poznać warunki wynajmu w bazie wojskowej. Masz pewność co do jego bezpieczeństwa, ponieważ jest on ustawiony specjalnie dla społeczności wojskowej. Jednak to zaufanie jest błędne.
Nowe badanie ukazuje brutalną rzeczywistość. Ponad 12% aplikacji sprzedawanych personelowi wojskowemu USA zawiera oprogramowanie opracowane w Chinach, Rosji lub innych krajach przeciwnika. Nie chodzi tu tylko o naruszenie poufności. To luka w zabezpieczeniach.
Kod jest ukryty w środku. Może gromadzić dane o tym, gdzie mieszka personel wojskowy, gdzie pracuje i kiedy wyjeżdża na misje.
Skala problemu
Naukowcy z Uniwersytetu Purdue, Akademii Wojskowej Stanów Zjednoczonych w West Point i Uniwersytetu Południowej Florydy przebadali 220 aplikacji o tematyce wojskowej. Przeanalizowali wersje ze sklepu Google Play i zamknęli wojskowe społeczności subredditowe.
Wyniki były trudne. Prawie dwie trzecie aplikacji zawierało zestawy programistyczne (SDK) innych firm. Są to gotowe komponenty kodu, które zazwyczaj zajmują się analizą i reklamą, ale także śledzą lokalizację i zachowanie użytkownika.
Mamy nadzieję, że to badanie pomoże personelowi wojskowemu… podejmować bardziej świadome decyzje dotyczące prywatności.
– Joshua Shinkle, główny autor
Ponad jedna na osiem aplikacji zawierała kod powiązany z firmami z Chin lub Rosji.
W popularnej aplikacji do oceny domu znaleziono oprogramowanie Huawei. Już w 2020 r. amerykańskie organy regulacyjne uznały Huawei za zagrożenie dla bezpieczeństwa narodowego. Inne aplikacje zawierały kod rosyjskich firm, w tym integrację z rosyjską usługą reklamową Yandex.
Czterdzieści procent tych aplikacji zebrało lub udostępniło więcej danych, niż wskazywały opisy w sklepach z aplikacjami. Niebezpieczeństwo leży właśnie w rozbieżności między tym, co się mówi, a tym, co faktycznie się robi.
Jak zagraniczne pakiety SDK zagrażają bezpieczeństwu żołnierzy
To nie jest problem teoretyczny. Stawka jest realna i natychmiastowa.
Brokerzy danych komercyjnych śledzą Amerykanów w Internecie. Nie zawsze rozróżniają personel cywilny i wojskowy, chyba że wymaga tego zysk. Jednak ujawnienie informacji może mieć śmiertelne konsekwencje.
Dane z popularnych aplikacji umożliwiają lokalizację personelu wojskowego:
*W swoich prywatnych domach
* W szkołach swoich dzieci
* W placówkach poza bazą, do których nie wolno im wchodzić
Eksperci ostrzegają, że dane te pomagają zagranicznym szpiegom identyfikować personel mający dostęp do wrażliwych obszarów. Pozwalają określić, kiedy obiekt jest najmniej chroniony. Ujawniają obciążające szczegóły, które można wykorzystać do rekrutacji, szantażu lub sabotażu.
W kwietniu Centralne Dowództwo USA potwierdziło to, co Pentagon podejrzewał od lat. Przeciwnicy już wykorzystują komercyjne geodane do szpiegowania amerykańskiego personelu na Bliskim Wschodzie. Dotyczy to także żołnierzy stacjonujących w pobliżu irańskiej bazy wojskowej w Cieśninie Ormuz.
Problem z rdzeniem Huawei HMS
Badanie wykazało obecność HMS Core, zestawu rozwojowego Huawei, w dwunastu różnych zastosowaniach. Niektóre zostały opracowane dla organizacji stanowej Gwardii Narodowej.
HMS Core zachwala funkcje:
- Mapa lokalizacji użytkownika
- Dostarczanie ukierunkowanych reklam
- Przechowywanie obrazów i wideo
Nie ma dowodów na to, że dane z tej konkretnej próbki aplikacji były obecnie przesyłane na serwery Huawei. Jednakże zestaw SDK można aktualizować zdalnie. Kod, który dzisiaj śpi, jutro może zamienić się w oprogramowanie szpiegowskie.
W jednym przypadku kod Huawei przedostał się do aplikacji bez wiedzy programisty. Został on zaimplementowany jako zależność w komercyjnym narzędziu do powiadamiania. Jak on się tam znalazł? Prawdopodobnie dlatego, że programista zaufał bibliotece strony trzeciej bez sprawdzania jej źródła.
Znaleziono 76 różnych źródeł kodu stron trzecich. Ich ślady znaleziono w Izraelu, Indiach, Niemczech i innych krajach. Około 7% aplikacji zawierało kod z krajów, które Pentagon wyraźnie uważa za przeciwników.
Dlaczego użytkownicy nie mogą się chronić?
Badacze przeprowadzili wywiady ze 103 osobami związanymi ze sferą wojskową. Respondentami byli żołnierze w czynnej służbie wojskowej, rezerwiści, weterani, pracownicy cywilni Departamentu Obrony i ich rodziny.
Wyniki wskazują na systemowy brak przejrzystości.
- 83% korzystało z co najmniej jednej aplikacji, której zasady gromadzenia danych budzą wątpliwości.
- Uczestnicy korzystali średnio z trzech z tych aplikacji.
- 76% do 83% respondentów było bardzo zaniepokojonych aplikacjami zawierającymi kod z Rosji, Chin, Iranu lub Korei Północnej.
Użytkownicy nie mają jednak łatwego sposobu sprawdzenia, czy ich aplikacje zawierają ten kod.
Ani sekcja Bezpieczeństwo danych w Google Play, ani etykiety prywatności Apple App Store nie ujawniają kraju pochodzenia oprogramowania działającego w aplikacji. Możesz zobaczyć, jakie dane są gromadzone, ale nie możesz zobaczyć, kto tworzy narzędzia do ich gromadzenia.
Użytkownicy zgłosili, że czują się bardziej komfortowo podczas zbierania danych, jeśli aplikacja ma branding wojskowy. Branding tworzy zaufanie, a to zaufanie jest wykorzystywane.
Brak zaleceń instytucjonalnych
Prawie dwie trzecie uczestników stwierdziło, że otrzymało od departamentu wojskowego niewielkie lub żadne wskazówki dotyczące korzystania z aplikacji osobistych. Spośród tych, którzy otrzymali instrukcje, prawie trzy czwarte stwierdziło, że są one niewystarczające.
Pentagon odmówił komentarza na temat wyników badania.
Co można zrobić? Uczestnicy zostali poproszeni o ocenę potencjalnych środków łagodzących.
Jako najskuteczniejsze rozwiązanie wymienili powiadomienia telefoniczne. Wyobraź sobie system alertów, który powiadamia Cię, jeśli zainstalowana aplikacja zawiera obcy lub nieznany kod strony trzeciej. Użytkownicy powiedzieli, że prawdopodobnie będą to wspierać.
Inne proponowane środki obejmowały:
- Przepisy federalne ograniczające sprzedaż danych personelu wojskowego przez brokerów
- Niezależne audyty ujawnień dotyczących prywatności aplikacji
- Bardziej rygorystyczne zakazy stosowania obcego kodu w aplikacjach skierowanych do odbiorców wojskowych
Działania te spotkały się z niemal równym poparciem wśród respondentów.
Branża reklamowa tak samo traktuje użytkowników wojskowych i cywilów. Zysk jest jedynym czynnikiem różnicującym. Dopóki platformy i programiści nie będą zmuszeni ujawnić pochodzenia dostarczanego przez siebie kodu, personel wojskowy pozostanie bezbronny.
Kod jest tam. Czeka tylko na zdalną aktualizację.
