目次:
要約しましょう：水曜日の深夜（または木曜日の早朝）に、Black Hatオンラインセキュリティ会議から出たMobile Beatで公開されたストーリーについて報告しました。 会議では、モバイルセキュリティ会社LookoutのCTOであるKevin MaHaffeyが、Androidスマートフォン用の壁紙をダウンロードするためのポータルである開発者「jackeey、wallpaper」のアプリについて語りました。 この物語は、「あなたの個人データを収集し、それを中国の神秘的なサイトに送信する、疑わしいAndroidモバイル壁紙アプリであり、何百万回もダウンロードされた」という話を語っています。
私たちはLookoutと連絡を取り合っています。Lookoutは、アプリは疑わしいとはいえ、必ずしも悪意のあるものではないことを繰り返し述べています。 また、問題の開発者からの返信もあります。 休憩後の両方からの更新。
Lookoutの説明
木曜日の早朝、「jackeey、wallpaper」アプリに関するMaHaffeyからの電子メールを受け取りました。 彼は私たちの話と同様に、Mobile Beatの一部から次のことを明らかにしました。
「分析した壁紙アプリケーションは、デバイスの電話番号、加入者ID、現在プログラムされているボイスメール番号など、いくつかの機密データをサーバーに送信することがわかりました。分析したアプリケーションは、デバイスのSMSメッセージ、閲覧履歴、またはボイスメールにアクセスしませんでしたパスワード（ユーザーがボイスメールパスワードを含めるようにデバイスのボイスメール番号を手動でプログラムした場合を除く）。
また、「壁紙アプリがアクセスしているデータは、壁紙アプリから来る疑いがあるものの、これらのアプリケーションが悪意があるとは言っていません」と付け加えました。
ブログ投稿で方法論を説明
木曜日の午後、MaHaffeyはLookoutのブログに長文の説明を掲載し、問題のコードを詳述し、問題のコードが疑わしい間は「悪意のある動作の証拠はない」と繰り返し述べました。 そして、それは重要な区別です。
それで、大したことは何ですか？ MaHaffeyが物事を説明する方法は次のとおりです。
「機密データにアクセスする壁紙アプリケーションにはコードがあります。機密データにアクセスするすべてのアプリケーションが実際にデバイスから送信するわけではないことに注意することが重要です。壁紙アプリケーションがインターネットに送信する情報の種類を確認するには、アプリケーションによって生成されたネットワークトラフィックを分析しました。アプリケーションを使用すると、特に1つのリクエスト、「imnet.us」という名前のサーバーへの暗号化されていないHTTPリクエストが際立っていました。 」
開発者が応答する
今日、壁紙アプリケーションの開発者と連絡を取り、アプリが収集する情報と、情報がサーバーに送信される理由を正確に尋ねました。 （サーバーが中国にあることは、おそらく無関係です。）
以下の応答全体を読むことができます。その多くは、テキストメッセージと閲覧履歴が実際 に 収集されなかったというLookoutの以前の明確化により、議論の余地 がありません 。 収集されたものに関して、開発者は次のことを教えてくれました。
電話に適した壁紙を返すために、画面サイズを収集しました。 「背景」でさえ携帯電話の画面にあまり適していないので、ますます多くのユーザーが私の壁紙アプリをとても気に入っていると私にメールしました。
デバイスID、電話番号、サブスクライバーIDも収集しましたが、ユーザーデータとは関係ありません。 Androidマーケットにはお気に入り機能を備えたアプリはほとんどありません。 多くのユーザーは、これらを使用してデバイスを識別するために機能を提供することをお勧めします。これにより、壁紙をより便利にお気に入りに追加し、システムのリセットまたは電話の変更後にお気に入りを再開できます。
だから、それが我々の立場です。 そして、これは必ずしもAndroidにとって新しいことではありません。 アプリは、必ずしも必要ではないが悪意のない電話の部分にアクセスできます。 （ここで、最近の 「AndroidアプリのXパーセントがあなたの個人データを取得できる！」という 話が出てきました。）それは、コーディングと意図の問題ですよね？ ただし、アプリをインストールするたびに表示される警告に注意する必要があります。 前の例は真実です。たとえば、電卓が私のテキストメッセージを表示する必要があると言ったら、心配です。 たくさん。 コーディングが不十分なアプリであるか、まったく役に立たないかのいずれかです。 いずれにせよ、私は私の携帯電話でそれを望んでいません。
これはすべてFUDですか？ セキュリティ会社が警戒する必要があると言うとき、私たちは警戒しています-そして、セキュリティ会社がセキュリティソフトウェアを売ってお金を稼ぐという事実は私たちに失われていません。 しかし、時間をかけてMaHaffeyの投稿をもう一度読んでください。 そして、以下の開発者の応答をもう一度お読みください。
物語の教訓は、何をダウンロードし、できるだけ多くを読み、物事を把握することです。 LookoutのMaHaffeyも同様に、「全体として、私たちの目標は、すべてのモバイルプラットフォームのユーザーと開発者が同様に責任を持って、安全なモバイルエクスペリエンスを確保するよう支援することです」と述べています。
確かに。
ジャッキー・レスポンス
