Android-appar samlar in dina data utan tillstånd, rapportera fynd

Tusentals Android-appar kan kringgå behörigheter och samla in tillräckligt med data för att spåra och identifiera din telefon, enligt en ny studie.

Forskare från University of Calgary, UC Berkley och IMDEA Networks Institute i Spanien upptäckte att appar kan kringgå appbehörigheter med hjälp av dolda och sidokanaler.

Sidakanaler tillåter appar att komma åt skyddad data utan tillstånd. dolda kanaler används när två appar kommunicerar – en som delar skyddad data som har givits med tillstånd till en annan som saknar dessa behörigheter. Dessa data kan inkludera MAC-adresser, telefonens IMEI och mer.

Studien analyserade över 88 000 appar som var tillgängliga via den amerikanska Google Play Store och fann att appar från stora företag – inklusive Samsung (Health and Browser) och Disney (Hong Kong Disneyland Park-appen) – med miljontals nedladdningar påverkas.

Samsung- och Disney-appar använder programvaruutvecklingssatser (SDK) från det kinesiska sökföretaget Baidu och analysföretaget Salmonads, vilket innebär att data kan flyttas mellan appar och mellan företagens servrar genom den lokala lagringen på din telefon.

Studien pekade också ut Shutterfly-appen och uppgav att den skickar “exakta geolokaliseringsdata till sin egen server utan att ha platsbehörighet.” I en kommentar till CNET förnekade företaget dessa påståenden och sa att det bara samlar in platsdata när det har tillstånd, trots vad forskarna upptäckte.

“Liksom många fototjänster använder Shutterfly denna information för att förbättra användarupplevelsen med funktioner som kategorisering och personliga produktförslag, allt i enlighet med Shutterflys integritetspolicy samt Android-utvecklaravtalet”, säger företaget.

På den ljusa sidan kommer många av dessa problem att lösas med den kommande Android Q-uppdateringen, men detta ger två problem: det första är att inte alla telefoner kommer att uppdateras till Android Q. Från och med augusti 2018, drygt 10 procent av enheterna Android körde Android 9.0 (Pie), med cirka 30 procent Android Oreo (8.1) och Android Oreo (8.0).

Detta innebär att integritet och säkerhet riskerar att bli en lyx för dem med flaggskeppssmartphones och att Google behöver göra mer för att driva kunder och företag att uppdatera sina enheter – vilket, till företagets kredit, det försöker göra.

Serge Egelman, chef för användbar säkerhets- och integritetsforskning vid ICSI, kommer enligt uppgift att dela informationen om de 1325 appar som har samlat in information utan användartillstånd vid Usenix Security-konferensen i augusti.