👁Мессенджер MAX видит всё, что происходит в его мини-приложениях Учёные из международной группы разобрали Android-версию MAX и выложили работу на arXiv. Называется "Don't Trust the Super-App". Доказательств, что MAX пользуется своими возможностями для наблюдения, авторы не нашли. Зато нашли сами возможности, и их оказалось много. 🔍Всё упирается в устройство: Мини-приложения (госсервисы, магазины, всё, что открывается прямо в мессенджере) живут внутри WebView самого MAX. Для Android это одно приложение, и стену между мессенджером и тем, что в нём запущено, система не строит. Авторы перечисляют, что такой суперапп может: захватывать интерфейс мини-приложения, читать и писать локальное хранилище, внедрять JavaScript и контролировать сетевой трафик. На практике вышло так: 🟦Снять содержимое чужого экрана через PixelCopy получилось 31 раз из 35, на кадрах оказались поисковые запросы и текст из форм. 🟦Данные для входа в госсервисы проходили через процесс MAX, прежде чем открывался системный браузер. ID устройств, ключи API и токены лежали в процессе в открытом виде. 🟦Трафик в российской сборке шёл по TLS с ГОСТ-шифрами, при этом MAX стоял между мини-приложением и внешним сервером. Всего в выборку попало 90 мини-приложений.

Для сравнения авторы берут WeChat: он пассивно отслеживает активность пользователей.

Проверить снаружи, что мессенджер делает с этими правами, нельзя. Остаётся верить разработчику на слово...👀 🦔 CyberYozh