Разработчик и создатель fastlane.tools Феликс Краузе (Felix Krause) совсем недавно предупреждал о том, как опасны для пользователей iOS могут быть поддельные диалоговые окна, как две капли воды похожие на системные запросы паролей от iCloud, iTunes или GameCenter.
Теперь Краузе обнаружил еще одну неприятную особенность iOS. Как оказалось, любое приложение, имеющее доступ к камере устройства, способно снимать фото и видео, причем это может происходить втайне от пользователя. Исследователь объясняет, что это не баг, ведь именно такое поведение позволяет существовать шпионским приложениям, вроде Stealth Cam и Easy Calc - Camera Eye.
Тем не менее Краузе не на шутку обеспокоен, ведь большинство пользователей вообще не запоминают, какие разрешения они выдавали приложениям. Многие приложения запрашивают доступ к камере сразу после установки, к примеру, чтобы установить аватар.
«Большинство людей понятия о таком не имеют, они считают, что камера используется только тогда, когда с ней работают и видят мигание LED, — говорит специалист. — Мессенджеры или приложения, работающие с лентами новостей, могут с легкостью отслеживать лицо пользователя, делать снимки, или передавать изображение с фронтальной и основной камеры устройство вовне, без согласия пользователя».
Краузе отмечает, что в новейшей версии iOS приложения также могут автоматически обнаруживать присутствие в кадре второго человека, активировать тулкит, отвечающий за обнаружение лиц, следить за настроением пользователя во время работы с приложением и так далее. В качестве proof-of-concept исследователь представил приложение watch.user, которое делает снимки лица пользователя, пока тот просто прокручивает фид.
Исследователь пишет, что единственный и наиболее надежный способ защиты от такой слежки – физически закрыть чем-то объективы камер. Также он рекомендует отозвать разрешения на доступ к камере для сторонних приложений, а для съемки использовать только встроенное решение. Разработчикам Apple Краузе советует добавить четкую LED-индикацию работы камеры, а также ввести одноразовые разрешения для приложений.
