На конференции PrivacyCon эксперты калифорнийского Международного института информатики представили доклад озаглавленный «50 способов слить ваши данные», в котором рассказали, что многие Android-приложения шпионят за пользователями даже в том случае, если им было прямо отказано в нужных для этого разрешениях. Так, 1325 приложений, уставновленные на 500 000 000 устройств, в любом случае собирают информацию о геолокации, идентификаторы устройств и другие личные данные.
Для проведения исследования специалисты изучили более 88 000 приложений из каталога Google Play, протестировав их на Android Marshmallow и Android Pie. Как оказалось, более 1300 из них активно используют различные способы обходы системы разрешений в Android, что позволяет извлекать личные данные пользователей из таких источников, как метаданные фотографий, Wi-Fi-соединения и так далее.
К примеру, приложение для редактирования фотографий Shutterfly, собирает данные о местоположении устройства, извлекая координаты GPS из метаданных фотографий, и передает их на собственный сервер apcmobile.thislife.com. Это происходит даже тогда, когда пользователь прямо отказался предоставлять приложению разрешение доступ к данным о местоположении.
Еще 13 приложений, суммарно установленные более 17 000 000 раз, не стесняются собирать IMEI устройств. Это совсем не сложно, ведь идентификатор хранится на SD-карте, в общем хранилище без сложной защиты.
«Android защищает доступ к IMEI телефона с помощью READ_PHONE_STATE. Мы определили две сторонние онлайн-службы, которые используют различные скрытые каналы для доступа к IMEI», — пишут эксперты.
Согласно докладу, эту технику скрытого сбора данных также используют сторонние библиотеки, предоставленные двумя китайскими компаниями: Baidu и Salmonads. Так, сбором IMEI не брезгуют приложения Disney для Гонконга и Шанхая, приложение Samsung Health и браузер Samsung.
Как минимум 5 приложений были пойманы на использовании MAC-адресов точек доступа Wi-Fi, которые извлекают из кэша ARP, для определения местоположения пользователя. Также это позволяет разработчикам связывать друг с другом устройства, находящиеся в одной сети.
Исследователи уже проинформировали о своих находках инженеров Google и представителей Федеральной торговой комиссии США. К сожалению, в Google ответили, что проблемы, связанные с обходом механизмов разрешений, будут решены лишь в Android Q, выход которой состоится позже в этом году. В частности в новой версии ОС требуется специальное разрешение на доступ к IMEI и серийному номеру устройства. Также в Android Q будет реализована рандомизация MAC-адресов, а от функции /proc/net и вовсе было решено полностью отказаться.
