Blog

Modlete se v soukromí: aplikace pro muslimy, které respektují vaše osobní údaje

Výzkumníci Comparitech analyzovali soukromí a zabezpečení 175 aplikací vytvořených pro muslimy na Google Play, včetně modlitebních, koránových a seznamovacích aplikací. Prohledali jsme každou aplikaci, abychom našli podrobnosti o všech shromážděných citlivých informacích a seznam požadovaných oprávnění, jako je poloha uživatele a seznam kontaktů. Přestože jsme nezkoumali, s kým jsou uživatelská data po shromáždění sdílena, náš výzkum poskytuje jasný obrázek o tom, jaké osobní údaje jsou vývojářům aplikací dostupné.

povolení-požadovaná-muslimskými-aplikacemi-on-google-play Zde jsou některé hlavní body toho, co jsme našli:

  • 96 procent aplikací požaduje povolení používat „ID zařízení a informace o hovoru“. Podle společnosti Google toto oprávnění umožňuje aplikaci získat přístup k ID vašeho zařízení, stavu hovoru, telefonnímu číslu a telefonnímu číslu druhé strany v hovoru. Stručně řečeno, aplikace vidí, komu a kdy uživatel volá.
  • Téměř 40 procent aplikací pro muslimy požaduje přístup k poloze zařízení. Údaje o poloze lze použít ke sledování pohybu uživatelů.
  • 63 procent aplikací požaduje přístup k úložišti dat uživatele, včetně fotografií a médií.
  • 7 procent požádalo o přístup k seznamům kontaktů uživatelů. To umožňuje vývojářům shromažďovat a případně sdílet seznamy osobních kontaktů uživatele.

Ne všechna tato oprávnění jsou škodlivá, ale často jsou zbytečná a vyvolávají otázky, jaká data jsou shromažďována a s kým jsou sdílena. Lze se domnívat, jak by úřady a další skupiny mohly tyto informace využít ke špehování místa pobytu, vztahů a osobního života lidí, kteří tyto aplikace používají.

Vice Motherboard v listopadu 2020 oznámil, že Americká armáda nakupovala uživatelská data od Muslim Pro . Po odporu uživatelů aplikace uvedla, že již nebude sdílet data s X-Mode, datovým zprostředkovatelem, který prodával umístění uživatelů, mimo jiné data, americké armádě. Kontroverze kolem Muslim Pro je to, co nakonec podnítilo Comparitech k výzkumu aplikací pro muslimy.

Které muslimské modlitební aplikace chrání vaše soukromí?

Muslimské modlitební aplikace běžně pomáhají uživatelům udržet si čas na modlitbu, vědět, kterým směrem se při modlitbě obrátit, číst Korán, poslouchat recitace a recitovat modlitby a další zdroje. Většina těchto aplikací je k dispozici zdarma na Google Play a iOS App Store, ale vývojáři aplikací by mohli aplikaci zpeněžit shromažďováním a prodejem osobních údajů uživatelů.

Následující aplikace jsme vybrali na základě následujících kritérií:

  • Požadovaná oprávnění k instalaci a spuštění
  • Použití reklam třetích stran
  • Zranitelnosti a úniky
  • Zásady ochrany osobních údajů

Bohužel je těžké najít modlitební aplikaci, která nepoužívá vaši polohu. Informace o poloze se používají k určení vašeho časového pásma pro plánování modliteb a k určení směru, kterým by měl váš Qibla (kompas) směřovat.

S tímto upozorněním jsme našli následující muslimské modlitební aplikace s anglickým textem, které respektují vaše soukromí:

pilíře

pilíře

pilíře je aplikace se sídlem ve Spojeném království vytvořená z velké části v reakci na obavy o soukromí vznesené aplikací Muslim Pro v roce 2020. Tato aplikace mimo jiné obsahuje oznámení o modlitbách, Qibla a nástroj pro sledování modliteb. Je bez reklam a klade důraz na soukromí, vyžaduje pouze několik oprávnění:

  • Umístění
  • Historie zařízení a aplikací
  • Jiné (spustit při spuštění, přístup k síti, zabránit zařízení v režimu spánku, ovládat vibrace)

Zásady ochrany osobních údajů společnosti Pillars uvádějí, že ačkoli aplikace používá vaši polohu a některé osobní údaje, tyto informace nikdy neopustí váš telefon.

Aplikace neměla podle našich testů nic z toho, co považujeme za vážné úniky.

Denní islám

denní islám

Denní islám je aplikace bez reklam, která obsahuje Korán, modlitební časovač, Qibla a další vzdělávací materiály. V systému Android vyžaduje pouze tři oprávnění:

  • Umístění
  • Informace o připojení Wi-Fi
  • Jiné (spustit při spuštění, ovládat vibrace, zabránit zařízení v režimu spánku)

Vývojář má krátké, ale jasné zásady ochrany osobních údajů. Naše nástroje označily pouze jedno oprávnění jako závažné a žádné vážné úniky.

1 muslim

1 muslim

1 muslim je aplikace bez reklam, která vyžaduje minimální oprávnění a podle našich testů nemá žádné zásadní obavy o bezpečnost. Zahrnuje modlitební oznámení a Qibla.

Aplikace požaduje oprávnění pro:

  • Umístění
  • Úložiště včetně fotografií a médií
  • Jiné (spustit při spuštění, zabránit zařízení v režimu spánku, nastavit budík atd.)

V aplikaci jsme zjistili jeden únik, který je podprůměrný. Naše testy nalezly odhalené heslo ve formátu prostého textu pro správce úložiště.

Zásady ochrany osobních údajů jsou jasné a stručné a nezmiňují se o sdílení údajů s třetími stranami.

Deen islámská aplikace

deen islámský

Deen islámská aplikace je aplikace bez reklam s bengálskou a anglickou verzí. Obsahuje modlitební časovač, Korán se zvukovými překlady, Qibla a další užitečné funkce. Vyžaduje pouze následující oprávnění:

  • Umístění
  • Jiné (spustit při spuštění, ovládat vibrace, zabránit zařízení v režimu spánku)

Zásady ochrany osobních údajů jsou velmi krátké, ale vývojář uvádí, že uchovávají všechny informace o uživateli, bez zmínky o jejich sdílení s třetími stranami.

Naše nástroje označily jedno závažné oprávnění a odhalily jeden únik: odhalený klíč Google API.

modlím se

modlím se

modlím se je aplikace bez reklam, která obsahuje modlitební časovač a Qibla. Tuto aplikaci lze zejména používat offline, což je skutečně jediný jistý způsob, jak zajistit, aby aplikace nesbírala vaše osobní údaje.

iPray požaduje následující oprávnění:

  • Umístění
  • Úložiště včetně fotografií a médií
  • Jiné (změnit nastavení zvuku, spustit při spuštění, ovládat vibrace, zabránit zařízení v režimu spánku atd.)

Zásady ochrany osobních údajů jsou krátké, ale jasné a uvádějí, že aplikace neshromažďuje ani nesdílí žádné osobní údaje. Je však trochu děravý; naše nástroje našly adresu URL databáze Firebase aplikace, klíč API Google a obecný klíč API.

Koránová aplikace, která respektuje vaše soukromí: myQuran

mykorán

Existuje spousta aplikací pro čtení a recitaci Koránu s různými jazyky a recitátory. Pokud jde o možnosti angličtiny, které chrání vaše soukromí, máme nejraději můj Korán . Obsahuje překlady do několika jazyků a kompletní seznam světově proslulých recitátorů.

Aplikace vyžaduje pouze velmi minimální oprávnění v kategorii „ostatní“, včetně přístupu k síti a zabránění přechodu zařízení do režimu spánku. Naše nástroje zaznamenaly jedno závažné povolení (podprůměrné) a dva úniky (přibližně průměr). Mezi úniky patří odhalený tajný klíč Facebooku a obecný klíč API.

Zásady ochrany osobních údajů jasně stanoví, že uživatelská data jsou sdílena pouze s poskytovateli služeb a nejsou prodávána za příjmy z reklamy.

Je Muslim Pro soukromý?

Vice Motherboard v listopadu 2020 oznámil, že Americká armáda nakupovala uživatelská data od Muslim Pro . Po odporu uživatelů aplikace uvedla, že již nebude sdílet data s X-Mode, datovým zprostředkovatelem, který prodával umístění uživatelů, mimo jiné data, americké armádě. Kontroverze kolem Muslim Pro je to, co nakonec podnítilo Comparitech k výzkumu aplikací pro muslimy.

Přestože naše analýza nezkoumá, s kým jsou uživatelská data sdílena, vidíme, že Muslim Pro stále vyžaduje následující oprávnění:

  • Umístění
  • Fotoaparát
  • Úložiště včetně fotografií a médií
  • Informace o připojení Wi-Fi
  • jiný

Žádné z oprávnění nebylo označeno jako bezpečnostní hrozba, ale naše nástroje odhalily čtyři úniky dat: odhalené heslo ve formátu prostého textu, adresu URL databáze Firebase, obecný klíč API a klíč Google API.

Aktualizace 25. dubna 2022:Muslim Pro reagoval na zjištění společnosti Comparitech následujícími informacemi:

  • Heslo ve formátu prostého textu: Na naší straně lokálně neukládáme žádná hesla a používáme Firebase Authentication a jejich SDK, abychom uživatelům umožnili přihlášení pomocí e-mailu/hesla nebo změnu hesla.

  • Adresa URL databáze Firebase: Toto je záměrně zpřístupněno Firebase. Nejde to nijak obejít, ale tohle není vůbec bezpečnostní problém. Pokud k němu někdo získá přístup, nebude moci nic dělat.

  • Klíč Google API: Toto je stejná podmínka jako adresa URL databáze Firebase.

  • Obecný klíč API: Může se jednat o klíč rozhraní API pocházející z reklamní sady SDK třetí strany. V tom případě to není problém. Vlastní soukromé klíče API Muslim Pro jsou vždy šifrovány a zabezpečeny pomocí DexGuard – standardní nástroj pro šifrování aplikací.

  • A konečně, Muslim Pro provozuje veřejný bug bounty program využívající přední bug bounty platformu s názvem YesWeHack . Pokud má aplikace nějakou chybu zabezpečení nebo problém se zabezpečením, bezpečnostní výzkumníci na platformě je označí a Muslim Pro okamžitě podnikne rychlé kroky, aby je zmírnil. V tuto chvíli neexistují žádné obavy o zabezpečení aplikace na platformě.

Metodika a omezení

Naše analýza zkontrolovala soubory Android APK 175 aplikací, zda neobsahují zranitelné úniky a nadměrná oprávnění. Výzkumníci Comparitech vytvořili vlastní skripty ke stažení a analýze každého instalačního souboru.

Některé z úniků, které jsme zkontrolovali, zahrnovaly, ale nebyly omezeny na:

  • Klíče AWS API pro přístup k úložným bucketům S3
  • Facebook tokeny pro přístup k něčímu profilu a/nebo aplikacím
  • Firebase kontroluje nesprávně nakonfigurované databáze
  • Tokeny Github pro přístup k soukromým úložištím
  • Tokeny Google API pro přístup k placeným službám s profilem někoho jiného
  • PayPal pro přístup k bankovním informacím
  • Twitter OAuth pro přístup k něčímu profilu/aplikaci
  • Twilio pro přístup k soukromým účtům
  • Slack webhooky pro přístup k soukromým pracovním prostorům
  • Heroku API pro přístup k hostovaným projektům a jejich úpravu/mazání

Rozhodli jsme se nezveřejňovat konkrétní úniky, které utrpěly uvedené aplikace, abychom nepodněcovali útoky proti aplikacím nebo jejich uživatelům.

Poté jsme se podrobně podívali do instalační a runtime oprávnění požadované každou aplikací. Pro jednoduchost je často označujeme jejich skupina oprávnění v článku. Některá oprávnění představují bezpečnostní rizika, která otevírají uživatelská zařízení k útoku (např. spouštění skriptů shellu, čtení SMS), zatímco jiná jsou čistě riziky pro ochranu soukromí (místo přístupu, seznam kontaktů).

Apkleaks a Quark byly použity pro analýzu aplikací.

Prozkoumali jsme zásady ochrany osobních údajů všech doporučených aplikací pro jakýkoli jazyk nebo nedostatek, který by mohl naznačovat shromažďování a/nebo sdílení osobních údajů uživatelů.

Jste vývojář, který vytváří soukromé aplikace pro muslimy? Myslíte si, že by vaše aplikace měla být zahrnuta? Dejte nám vědět do komentářů nebo kontaktujte autora na Twitteru: @pabischoff

^