Андроид для китайского шпиона

Недавно произошел совершенно, с моей точки зрения, предсказуемый скандал: выяснилось, что около 80 популярных скринсейверов для смартфонов на базе платформы Android отсылают на неизвестный сервер, зарегистрированный в Китае, персональные данные пользователей. Пострадали, по приблизительной оценке, от одного до четырех миллионов человек. Данные включают в себя: номер телефона, IMSI (International Mobile Subscriber Identity, именно по этому номеру идентифицируется телефон “внутри” сотовых сетей), ICC-ID (серийный номер сим-карты) и номер голосовой почты.

Авторы приложения утверждают, что все это необходимо для персонализации и реализовано “по просьбам трудящихся”. Но зачем им, например, IMSI? Наверное, собираются прослушивать телефонные разговоры!

Да, недавно был продемонстрирован лабораторный образец дешевого устройства для активного перехвата телефонных разговоров в сетях GSM через имитацию базовой станции. Дешевизна (около $1500 вместо “привычных” двух—трех десятков тысяч) определяется, конечно, тем, что мы, наконец, узнали, сколько это стоит, если не тратить деньги налогоплательщиков: сравните цены, например, нелегальных китайских “глушилок” и официально используемых спецслужбами устройств постановки радиопомех — ситуация будет примерно аналогичной. Для прослушивания конкретного телефона нам нужно знать именно его IMSI. Да вот только не клеится очередной “шпионский скандал”. Соответствие IMSI — MSISDN (знакомому нам одиннадцатизначному мобильному номеру) — секрет Полишинеля.

Сервис запросов к HLR (Home Location Register, база данных сотового оператора, где хранится это соответствие) доступен не только любому сотовому оператору, имеющему роуминговое соглашение, но и произвольному “человеку с улицы”, например, через веб-интерфейс. Как правило, “для посторонних” сервис платный — доли цента за телефонный номер. Там можно узнать не только IMSI, но и текущую обслуживающую сеть для абонентов в роуминге и еще кое-какую (бес)полезную информацию.

Так есть ли вообще в этом какая-либо проблема? По моему личному мнению, даже не одна.

Проблема первая — это привычка собирать эти самые персональные данные. Грешат этим не только вахтеры в бизнес-центрах и государство, которому уж очень на эту тему неймется (любому государству), а, можно сказать, решительно все. Хотите вы воспользоваться каким-либо сервисом, программным продуктом или просто прочитать документ на вебе — от вас требуют “добровольную регистрацию” в лучших традициях московской милиции. Ну хоть что-то, хоть email, хоть телефон, с паршивой овцы хоть шерсти клок, а кому и двухстраничную анкету заполнять приходится (интересно, какой процент этих анкет приходится на граждан по имени aa aa и qwerty qwerty). Что будет с этой информацией дальше — никому неведомо. Может быть, так и осядет в маркетинговом отделе “для статистики”, как уверяют. Может, будут ходить за вами по пятам всю свою или вашу (кому больше повезет) оставшуюся жизнь с рвением продавцов пылесосов “Кирби”. А может, завтра их купит какая-нибудь другая компания и тогда “вообще начнется”.

Видимо, считают это проблемой и исследователи из компании Lookout, которые и забили тревогу, а также предлагают программу для поиска и блокирования “чрезмерно любопытного” программного обеспечения на смартфоне.

Дальше однако же еще интереснее: как мы видим, в случае с мобильными телефонами не нужно “заполнять анкеты”: телефон довольно-таки много знает про нас и так. Так вот, работа с этими “заранее известными” персональными данными часто ведется через программные модули (реализующие функции показа рекламы, сбор статистики и т.д.), предоставленные разработчикам “третьей стороной”. И самое интересное, что хорошо, если хотя бы сами эти разработчики знают, как именно эти модули обращаются с доверенными ими данными. А уж о том, чтобы доходчиво проинформировать пользователя, и речи нет.

“Доходчиво” это... эээ... не так просто. Вы читаете пользовательские соглашения? А предупреждения настроек безопасности? Я стараюсь читать. Поэтому, например, нажав “согласен” при установке Google Chrome, я считаю себя очень беспечным человеком. Однако же, Google и так знает про меня почти все; а вот когда я попробовал поставить вполне полезное и в общем-то поступившее из относительно доверенного источника расширение, а оно спросило меня “разрешить ли этому расширению доступ ко всем сохраненным данным со всех сайтов” (что технологически было ему, на мой взгляд, совершенно не нужно), я все-таки ответил “нет”. Девять из десяти моих знакомых посчитали бы меня параноиком и ответили бы “да”, не задумываясь (а то и не читая).

По данным Lookout, 47% бесплатных программ для Android и 23% бесплатных программ для iPhone содержат такие “сомнительные”, с точки зрения приватности, модули для рекламы и аналитики. Компания Apple незамедлительно прокомментировала, что доступ к персональным данным на iPhone сопровождается предупреждением, но кто эти предупреждения читает? А уж о том, что данные передаются через интернет в открытом виде, без какого-либо шифрования, и вовсе никто не считает нужным дополнительно уведомлять.

Таким образом, мы подошли ко второй проблеме: непосредственно безопасности мобильных устройств. Это — отдельная и уже довольно больная тема. Даже содержимое переписки, записной книжки и органайзера мы вряд ли хотели бы видеть в посторонних руках. Ладно, Google нам уже, считай, член семьи, им можно, остальным — вряд ли.

Когда примерно два—три года назад меня спрашивали об актуальных проблемах информационной безопасности мобильных устройств, я честно отвечал, что на тот момент смарфтон, с точки зрения ИБ, — это не “маленький компьютер”, а “большая флэшка”. По сравнению с кражей и потерей остальные риски можно было признать совершенно незначимыми, даже столь активно обсуждавшуюся уязвимость bluetooth и уж тем более вредоносное ПО. Кстати, замечу, что “настоящих” мобильных вирусов (способных к самостоятельному размножению без ввода пользователем нескольких подтверждений a la “йа албанский вирус, программировать мы не умеем, так что уничтожьте свои данные сами”) как не было тогда, так и нет по сей день.

В общем-то ситуация остается такой и сегодня: инциденты с высокой стоимостью последствий имеют крайне низкую вероятность, а то, что случается с миллионами пользователей, пока еще наносит довольно символический ущерб (как в рассмотренном случае). Кроме, естественно, кражи и утери (в каковом случае для защиты данных необходимо шифрование — а не удаленное уничтожение, как думают многие) и мобильного мошенничества, цветущего в России пышным цветом с попустительства сотовых операторов и всяческих “агрегаторов контента” (но и тут ситуация медленно, но улучшается, и в любом случае это проблема юридическая, а не техническая).

И все же этот подход доживает последние дни. Приложений становится все больше. Взрывной рост рынка демонстрируют все популярные платформы (а если не будут демонстрировать, очень скоро перестанут быть популярными). Обеспечить строгий контроль качества и отсутствие недокументированных возможностей (применительно к информационной безопасности этот термин имеет исключительно негативный смысл) скоро не будет в состоянии ни одна централизованная система, будь то Apple Store или любой из аналогов. Уязвимости в самих операционных системах для мобильных устройств, позволяющих приложению обходить ограничения безопасности, известны примерно столько же, сколько существуют эти ограничения: начиная с Symbian 60r3 и заканчивая продемонстрированным недавно “полным взломом” Android и iPhone (что дополнительно стимулируется тем, что производители телефонов не очень-то готовы, как правило, давать пользователю возможность “легального” изменения любых настроек безопасности при наличии такой потребности, что в народе называется “анальным рабством”.). Плюс к тому “серая зона”, в которой, в частности, находится рассмотренная проблема персональных данных. Так что постепенно “большая флэшка”, с точки зрения “безопасника”, все же превращается в “маленький компьютер”.

Что же нам делать? Что делать корпоративным пользователям, я при случае расскажу отдельно: это не так просто и упирается, как и в случае с обычными компьютерами, не в “защиту от вредоносного кода”, как думает большинство, а в систему управления изменениями. Это очень интересная тема, и я к ней обязательно вернусь. А для частных лиц — да все опять-таки по аналогии с ноутбуками:

— Шифруйте информацию. Потерять телефон всегда будет значительно проще, чем подвергнуться какой-либо сетевой атаке. Даже при самых ужасных эпидемиях мобильных червей будущего.

— Не превращайте смартфон в “помойку”. Пользуйтесь только нужными приложениями от доверенных источников.

— Заказывайте детализацию счета у своего сотового оператора. Наиболее вероятный способ понести непосредственные финансовые потери — отправка вредоносным кодом платных коротких сообщений, детальный счет — самый простой способ обнаружить что-то неладное.

— Не пользуйтесь сервисами, которые передают ваши данные без шифрования. Как минимум — не пользуйтесь ими в публичных сетях wi-fi.

— Читайте пользовательские соглашения и предупреждения безопасности. Если вам показывают какой-то текст, это делается не для того, чтобы вы его промотали не глядя.

— По возможности, используйте ПО с открытым кодом. Это не гарантирует отсутствие недокументированных возможностей (гарантий не даст и никакая сертификация), но радикально увеличивает вероятность их обнаружения.

— Своевременно обновляйте программное обеспечение.

С последним, впрочем, есть отдельная трудность: политика производителей и цикл разработки. Для “телефонной прошивки” он гораздо дольше по времени, чем для обычного “пользовательского” ПО. Соответственно, и “окно уязвимости” (время между ее обнаружением и выходом обновления, устраняющего проблему) может быть значительно больше. Я надеюсь, что подход к управлению разработкой будет пересмотрен в ближайшее время, потому что неприятные последствия не ограничиваются безопасностью.

А как же “мобильные антивирусы”? Ну, например, до сравнительно недавнего времени компания Dr. Web имела вполне официальную позицию, полностью совпадающую с моей: “мобильных вирусов не бывает, значит, и антивирус не нужен”. Она была пересмотрена: вирусы так и не появились, но желание заработать на продажах “змеиного масла”, увы, победило благородное стремление к истине. Я их не осуждаю: бизнес есть бизнес. Однако утилиты, которые, подобно бесплатной программе от Lookout, могут помочь разобраться, что же именно делает вся та фигня, которую вы накачали себе в телефон, могут оказаться полезны при недостатке мобильной гигиены.

Алексей СМИРНОВ