Google Play पर 8% ऐप्स संभावित उपयोगकर्ता सुरक्षा को खतरे में डालते हैं

जर्मन वैज्ञानिकों (हाँ, इस बार उनके ब्रिटिश सहयोगियों का इससे कोई लेना-देना नहीं है!) ने अभी हाल ही में Google Play पर होस्ट किए गए Android अनुप्रयोगों की सुरक्षा के हालिया अध्ययन के परिणाम प्रकाशित किए हैं। थोड़ा बोलने वाली वीडियो प्रस्तुति के साथ एक अध्ययन के बारे में Mashable पर एक छोटी कहानी और एक शोर शीर्षक अध्ययन से पता चलता है कि एंड्रॉइड ऐप लीक पर्सनल डेटा ने मुझे मूल स्रोत की ओर मोड़ दिया।

संक्षेप में, यह निम्नलिखित निकला (इसके बाद - रिपोर्ट सारांश का अनुवाद):

परिणाम

13500 जांच में से 1,074 आवेदनों ने व्यक्तिगत डेटा (लॉगिन, पासवर्ड, भुगतान विवरण, आदि) भेजने के लिए एसएसएल का उपयोग किया, लेकिन साथ ही वे या तो सत्यापन के बिना किसी भी प्रमाण पत्र को स्वीकार करते हैं, या प्रमाण पत्र के लिए कोई होस्ट नाम, और इसलिए हमलों की तरह कमजोर हो सकता है मानव-में-मध्य (MITM)।

एसएसएल के साथ गलत काम के कारण अधिक विस्तृत मैनुअल परीक्षण के लिए चुने गए 100 आवेदनों में से 41 ऐसे हमलों के लिए वास्तव में कमजोर थे।

जिन उपयोगकर्ताओं के पास ये एप्लिकेशन स्मार्टफ़ोन पर इंस्टॉल किए गए हैं, जिनके परीक्षण के द्वारा भेद्यता की पुष्टि की गई है, उनकी कुल संख्या Google Play Market के अनुसार 39.5 से 185 मिलियन लोग हैं। इन अनुप्रयोगों में, तीन हैं, जिनमें से प्रत्येक में 10 से 50 मिलियन उपयोगकर्ता हैं। यह भिन्नता इस तथ्य के कारण है कि Google Play Market एप्लिकेशन के उपयोगकर्ताओं की सटीक संख्या नहीं दिखाता है, लेकिन केवल उस श्रेणी की रिपोर्ट करता है जिसमें वह गिरता है। उपयोगकर्ताओं की वास्तविक संख्या अधिक होने की संभावना है, क्योंकि आधिकारिक भंडार के अलावा, अनौपचारिक भी हैं।

इस 41 एप्लिकेशन द्वारा प्रेषित डेटा से, शोधकर्ताओं ने अमेरिकन एक्सप्रेस, डिनर्स क्लब, पेपैल, विभिन्न बैंक खातों, फेसबुक, ट्विटर, Google, याहू, माइक्रोसॉफ्ट लाइव आईडी, वर्डप्रेस, दूरस्थ रूप से प्रबंधित सर्वर, ईमेल सेवाओं के लिए पासवर्ड से संबंधित भुगतान डेटा प्राप्त करने में कामयाब रहे। और आईबीएम समटाइम, आदि।

इसके अलावा, शोधकर्ताओं ने अपने स्वयं के वायरस हस्ताक्षरों को एंटी-वायरस सॉफ़्टवेयर में इंजेक्ट करने में कामयाबी हासिल की, ताकि यह मनमाना सॉफ्टवेयर वायरस के रूप में माने या वायरस का पता लगाना बिल्कुल बंद कर दे (बिंदु यह था कि एंटी-वायरस डेटाबेस अपडेट को SSL से टूटे हुए कनेक्शन के माध्यम से स्वीकार कर लिया गया था, जिसे उन्होंने गलती से विश्वसनीय माना और जाँच नहीं की। प्राप्त अद्यतन की अखंडता; एंटीवायरस ने अपडेट को भी स्वीकार कर लिया जो हस्ताक्षर डेटाबेस को पूरी तरह से मिटा देता है)।

यह उन अनुप्रयोगों को बनाने के लिए दूरस्थ रूप से उपयोग किए गए एप्लिकेशन में कोड को दूरस्थ रूप से लागू करने और चलाने के लिए निकला, जिसमें उन्होंने निर्दिष्ट भेद्यता पाई।

ऑनलाइन सर्वेक्षण किए गए 754 एंड्रॉइड उपयोगकर्ताओं में से सबसे खराब, 378 (50.1%) यह नहीं पहचान सके कि डेटा एसएसएल का उपयोग करके ब्राउज़र द्वारा प्रसारित किया गया था या नहीं। 754 में से 419 (55.6%) ने एक गलत प्रमाण पत्र के बारे में कोई चेतावनी नहीं देखी और आमतौर पर जोखिम के बारे में चेतावनी दी कि उन्हें मध्यम या निम्न के रूप में चेतावनी दी गई थी। उपयोगकर्ताओं के बीच आईटी के क्षेत्र में विशेषज्ञ भी थे (38.1% उत्तरदाताओं ने खुद को आईटी में विशेषज्ञ माना, और अतीत में 23.2% समझौता खातों या अन्य प्रमाणीकरण डेटा के साथ निपटा।

डेवलपर के लिए मनोबल : मधुमक्खी!
उपयोगकर्ता के लिए नैतिक : पासवर्ड के बिना खुले वाई-फाई का उपयोग न करें जहां इससे बचा जा सकता है। यदि आप बच नहीं गए हैं, तो केवल बहुत, बहुत विश्वसनीय और सिद्ध अनुप्रयोगों का उपयोग करें (शायद मेरे लिए इसका अर्थ Google से केवल जीमेल है)।

अतिरिक्त पढ़ने के लिए

रिपोर्ट का पूरा पाठ
एक और कहानी, लेकिन ट्रोजन के बारे में! FakeLookout.A Android के लिए, जिसने Google Play Market (अंग्रेज़ी) में एप्लिकेशन को संक्रमित कर दिया
ट्रोजन के बारे में कहानी का अनुवाद! FakeLookout.A मेरी छोटी कॉपीराइट टिप्पणियों के साथ ।