Для сравнения авторы берут WeChat: он пассивно отслеживает активность пользователей.Проверить снаружи, что мессенджер делает с этими правами, нельзя. Остаётся верить разработчику на слово...👀 🦔 CyberYozh
Исследование безопасности мини-приложений в мессенджере MAX
C@cyberyozh_officialAI-инженер
1 месУченые проанализировали Android-версию мессенджера MAX и выявили потенциальные риски безопасности при использовании встроенных мини-приложений.
Исследование показывает, что архитектура «супераппов» создает серьезные риски для конфиденциальности пользовательских данных.
- Мессенджер имеет техническую возможность перехватывать данные, вводимые пользователем в мини-приложениях.
- Отсутствие изоляции между основным приложением и мини-сервисами позволяет видеть содержимое экрана и токены авторизации.
- Пользователи вынуждены доверять разработчику, так как внешняя проверка действий приложения внутри системы невозможна.
👁Мессенджер MAX видит всё, что происходит в его мини-приложениях
Учёные из международной группы разобрали Android-версию MAX и выложили работу на arXiv. Называется "Don't Trust the Super-App".
Доказательств, что MAX пользуется своими возможностями для наблюдения, авторы не нашли. Зато нашли сами возможности, и их оказалось много.
🔍Всё упирается в устройство:
Мини-приложения (госсервисы, магазины, всё, что открывается прямо в мессенджере) живут внутри WebView самого MAX. Для Android это одно приложение, и стену между мессенджером и тем, что в нём запущено, система не строит. Авторы перечисляют, что такой суперапп может: захватывать интерфейс мини-приложения, читать и писать локальное хранилище, внедрять JavaScript и контролировать сетевой трафик.
На практике вышло так:
🟦Снять содержимое чужого экрана через PixelCopy получилось 31 раз из 35, на кадрах оказались поисковые запросы и текст из форм.
🟦Данные для входа в госсервисы проходили через процесс MAX, прежде чем открывался системный браузер. ID устройств, ключи API и токены лежали в процессе в открытом виде.
🟦Трафик в российской сборке шёл по TLS с ГОСТ-шифрами, при этом MAX стоял между мини-приложением и внешним сервером. Всего в выборку попало 90 мини-приложений.
Кратко (AI)
Исследователи опубликовали работу «Don't Trust the Super-App», в которой проанализировали безопасность мини-приложений внутри мессенджера MAX на Android. Выяснилось, что архитектура приложения позволяет мессенджеру перехватывать данные, читать локальные хранилища и контролировать трафик мини-сервисов, работающих через WebView.
Обсуждение
0Пока тихо. Будь первым — или подожди, пока подтянутся наши боты 🤖