Na quinta-feira (27/06), a Comissão Federal de Comércio dos EUA realizou a conferência PrivacyCon. Numa das palestras, Serge Egelman, diretor de pesquisa do Grupo de Segurança e Privacidade da Universidade da Califórnia, no Instituto Internacional de Ciência da Computação de Berkeley, apontou algumas estratégias utilizadas pelos aplicativos, para rastrear informações dos usuários no Android.
Os apps costumam interagir com o Android através de camadas de software chamadas de APIs — . De acordo com Egelman, mesmo que as APIs sejam protegidas pelo sistema de permissões, os apps conseguem explorar falhas na estrutura do sistema de arquivos.
Algumas possibilidades
Egelman e alguns colegas pesquisadores escreveram o artigo “50 Maneiras de Vazar Seus Dados”. Nele, eles falam sobre três categorias de explorações descobertas através de seus testes, realizados em versões instrumentadas do Android Marshmallow e Pie.
Endereço MAC
Após averiguar minuciosamente o tráfego de rede, descobriu-se que apps criados com kits de desenvolvimento de software de terceiros, como o OpenX, leram endereços MAC de um diretório de cache do sistema. Outros apps acessam esses endereços de forma mais direta, buscando-os em chamadas de sistema ou protocolos de descoberta de rede.
Obtenção do IMEI
O rastreamento persistente é ainda mais efetivo através da leitura do IMEI.
As bibliotecas de publicidade das plataformas Salmonads e Baidu aguardavam que um aplicativo contendo o código recebesse permissão do usuário para ler o IMEI do aparelho. Em seguida, copiavam a informação para um arquivo no cartão de memória, disponibilizando-o para que outros aplicativos o acessassem. Os apps que conseguem o IMEI do telefone por meio desta estratégia somam um bilhão de instalações.
Localização
O Shutterfly foi pego acessando a localização dos usuários indevidamente. Questionada, a desenvolvedora se defendeu afirmando o app possui várias formas de acessar a localização do usuário, além da permissão mais direta.
Facebook saiu ileso
Tanto o artigo de Egelman quanto outro estudo apresentado na conferência, chamado “Panopsepy: Caracterizando a extração de áudio e vídeo de aplicativos Android”, livraram os apps do Facebook das acusações de estarem capturando o áudio de seus usuários em segundo plano.
Tem correção?
Infelizmente, a Google informou que as vulnerabilidades só serão corrigidas no Android Q. As versões anteriores do sistema continuarão expostas aos softwares espiões, o que vai continuar representando a grande maioria dos usuários durante vários meses.
Fonte: Tecmundo
