حذر (مركز التطوير الرقمي-DDC)، من ان 24 ألف تطبيق “أندرويد” يسرب بيانات حساسة، بما في ذلك أرقام الهواتف المحمولة وكلمات المرور.
وقال الخبير التقني في المركز، ان “دراسة وجدت أن نحو 24 ألف تطبيق أندرويد يسرب بيانات حساسة، بما في ذلك أرقام الهواتف المحمولة وكلمات المرور، من خلال التخزين المهيأ بشكل غير صحيح على منصة تطوير Firebase من غوغل”.
واضاف، ان “فريق بحثي من (Comparitech.com) كشف ان الخلل الأمني الحاصل، تركز على أمن المعلومات والخصوصية”.
واوضح، انه “يعد نظام Firebase الأساسي هو حل التخزين الأكثر شيوعا لتطبيقات أندرويد، ويستخدمه زهاء ثلث كافة التطبيقات المتاحة على متجر “غوغل بلاي”.
واشار الى، ان “الباحثون أخذ عينات من 515735 من التطبيقات، زهاء 18% من جميع البرامج المتاحة في المتجر، وتبين أن أكثر من 4200 منها تحتوي على تكوينات أمان خاطئة على Firebase وكانت تسرب معلومات حساسة، وتبين أن قواعد بيانات التطبيقات غير آمنة تماما، ويمكن لأي شخص الوصول إليها من دون كلمة مرور، فضلا عن انه ثُبتت التطبيقات الضعيفة 4.22 مليار مرة من قبل مستخدمي أندرويد”.
ومن المرجح أن يكون حجم التسرب أكبر بكثير، ويقدر الباحثون أن زهاء 24000 من تطبيقات “أندرويد” التي تستخدم منصة التطوير، قد تواجه المشكلات الأمنية نفسها. ونظرا لأن Firebase متعدد الأنظمة الأساسية وتستخدمه التطبيقات لأنظمة تشغيل أخرى، فقد تتأثر بمشاكل أمنية مماثلة.
وبالإضافة إلى وجود قواعد بيانات مكشوفة للجمهور تحتوي على أرقام هواتف وكلمات مرور ورسائل وعناوين IP وعناوين الشوارع، بتنسيق نص عادي، تحتوي بعض التطبيقات على قواعد بيانات تتضمن حتى أذونات الكتابة. ويمكن للمهاجم وضع بياناته الخاصة بسهولة. وقال الباحثون إنه كان من الممكن استخدام الثغرة لخداع مستخدمي التطبيق، وإدراج برامج ضارة، أو حتى نشر عناوين وهمية في تطبيقات الأخبار.
وأبلغت Compareitech شركة غوغل بنتائجها، حيث رد عملاق التكنولوجيا على أنه أبلغ مستخدمي Firebaseبتكوينات الأمان التي قد تكون خاطئة، و”تواصل مع المطورين المتأثرين لمساعدتهم على معالجة هذه المشكلات”.
كما حث الباحثون أنفسهم المطورين الذين يستخدمون Firebase على قراءة وثائق النظام الأساسي، قائلين إن معظم “التكوينات الخاطئة يمكن تجنبها تماما”. وتتضمن التوصيات جعل قواعد بياناتهم خاصة، وكذلك تجنب ممارسة تخزين كلمات المرور في شكل نص عادي.
وتتضمن التوصيات لمستخدمي التطبيقات أن يكونوا “على دراية بالمعلومات التي يشاركونها في أحد التطبيقات”، وعدم مشاركة “المعلومات الشخصية الحساسة، مثل عنوان المنزل، وصور الهوية الحكومية، وأرقام الضمان الاجتماعي”.
