Мобильные приложения: инструкция по применению

Мы более-менее умеем защищать свои персональные данные в офлайне: не называем домашний адрес первому встречному, не оставляем кошелек с деньгами без присмотра, не показываем личные фотографии посторонним и подозрительным. Потому что остерегаемся и не хотим, чтобы кто-то чужой узнал о нас больше, чем ему надо знать.

Попадая в онлайн, чувство опасности нивелируется. И почти полностью исчезает, когда речь заходит о смартфонах/айфонах. Мы устанавливаем приложения и спокойно даем им доступ к нашим данным. Ну, а что такого?

В 2020 году юзеры по всему миру активнее устанавливали на смартфоны и айфоны приложения для бизнеса и образования. Скачок вызван пандемией и последовавшим режимом самоизоляции. Это отметили аналитики компании App Annie (мировой поставщик данных о мобильном рынке).

• Игровые приложения на втором месте по популярности скачиваний.
• Социальные сети и приложения для потокового видео — на третьем.
• Далее идут приложения для доставки еды, с фитнес-тренировками, для отслеживания состояния здоровья, консультаций с врачами и приложения для финансов.

Аналитики компании App Annie также отмечают: время, которое пользователи проводят в приложениях, увеличивается.

Аналитики международной компаний Positive Technologies, специализирующейся на разработке программного обеспечения в области информационной безопасности, выяснили, что уязвимости высокого уровня риска имеют

В декабре 2019 года в России появился закон, который обязывает после 1 января 2021 года устанавливать на смартфоны и планшеты российский софт. Например, в числе обязательных навигаторы и поисковые системы. И это единственный закон в России, который касается мобильных приложений.

Пользователи Android перед установкой приложений увидят список запрашиваемых разрешений. В айфонах такое уведомление появляется только в последних моделях. Какие разрешения и чем опасны объясняет Иван Печищев (нажмите на «+»).

Как устроены мобильные приложения, хорошо разбираются разработчики и специалисты по информационной безопасности. Мы поговорили с ними.

Роман Гинятуллин: Отмечу, что ниже буду говорить о приложениях, которые ставятся на телефоны без root (в Android) и jailbreak (в iOS).

Все приложения в AppStore проходят валидацию и проверяются работниками Apple, поэтому шансов подхватить там «ненадежное» приложение не так уж и много.

В случае с Android все несколько сложнее, поскольку разместить своё приложение в Google Store гораздо проще и критерии там не такие суровые, как в случае с iOS.

Разумеется, это не значит, что все, что есть в AppStore безопасно. Приложение всегда запрашивает доступ к данным, которые к нему не относятся (например, к галерее или геопозиции) — тут важно не дать разрешение «на автомате», а четко понять, действительно ли данному приложению в конкретной ситуации нужен доступ.

Аналитики информационной безопасности Digital Security: Помогает определенный уровень насмотренности, но он приходит только с опытом. Распознать зловредные приложения можно по недавней дате добавления и низкому рейтингу.

Приложения, ссылки на которые вам прислали по СМС, в мессенджере или соцсети не стоит устанавливать. Если вам звонят из банка и предлагают «очень удобное» приложение с целью, например, упростить или улучшить работу с финансами, то кладите трубку и, конечно же, не скачивайте и не ставьте ничего. Социальные инженеры работают именно таким образом, чтобы выудить конфиденциальные данные или получить удаленное управление вашим смартфоном, это нужно понимать и всегда об этом помнить.

Разработчик приложения Club92: Точно не нужно скачивать подозрительные приложения от неизвестных авторов, с несколькими однотипно-простыми комментариями, плохо оформленной страницей стора. Лучше найти популярный аналог.

Приложение не должно запрашивать больше прав, чем ему нужно (например, чтение смс, блютус, и т.п.) .

Роман Гинятуллин: Подобная проблема есть, но она не настолько явно выражена, как в случае с сайтами.

Аналитики информационной безопасности Digital Security: Такая проблема существует и для приложений. Они тщательно маскируются под настоящие и пытаются украсть данные пользователей. Как правило, вредоносные приложения копируют широко распространенные, такие как ВКонтакте.

Роман Гинятуллин: Уверенным быть ни в чем нельзя. Важная информация обычно шифруется, но сам алгоритм шифрования может быть написан небезопасно, его могут взломать, а секретный ключ шифрования украсть.

Где приложение хранит данные, не так уж и важно, поскольку, как правило, приложения существуют в своих собственных окружениях — «песочницах». Однако, это справедливо только до того момента, когда приложение не начнёт отправлять данные на сервер. Тут уже начинается много интересного — злоумышленник может перехватить данные во время отправки; сервера, где хранятся данные, могут не быть защищены и так далее. Застраховаться от этого рядовому пользователю достаточно сложно. Верный способ тут — использовать шифрование или VPN.

Аналитики информационной безопасности Digital Security: Быть уверенным на 100%, что информация не попадет мошенникам, невозможно, поэтому необходимо принимать меры по снижению этого риска. В случае с привязкой карт к каким-либо приложениям советуем выпускать электронные карты и переводить на них необходимую сумму денег. Сейчас многие банки имеют удобные мобильные приложения и дают такую возможность.

Разработчик приложения Club92: Любые данные, полученные в приложении, можно отправить на бэк и там хранить. Какие данные хранит приложение, можно посмотреть через приложения типа «Просмотр файловой системы». В случае оплаты в приложении, должен появиться экран операционной системы (iOS, Android).

Роман Гинятуллин: Откровенно говоря, если вы не какой-нибудь супер олигарх, то маловероятна ситуация, когда лично вы становитесь целью злоумышленника. Скорее всего, вас будут взламывать «до кучи», чтобы получить информацию о вашем поведении, привычках и так далее. Это нужно, чтобы потом продать эту информацию разным крупным компаниям или использовать ее самостоятельно.

Аналитики информационной безопасности Digital Security: Если речь о данных карты, то да, могут быть украдены деньги или совершены покупки в интернет-магазинах. Данные о геолокации могут использоваться для таргетированной рекламы. Приложения могут вычислить место жительства и работы — адреса, где вы проводите бОльшую часть времени — и рекламировать заведения по соседству.

Разработчик приложения Club92: Одни приложения отправляют данные в рекламу, другие не соблюдают политику конфиденциальности. За сохранность своих данных отвечает сам пользователь. Случаев утечки данных очень много (например, ошибка ПО, физическое хищение).

Роман Гинятуллин: Нет прямой зависимости, поскольку «бесплатные» приложения обычно просто реализуют другую модель монетизации, существуя за счёт апсейла внутри приложения.

Обобщая, сейчас достаточно сложно написать небезопасное приложение, используя стандартные библиотеки — разные обертки, которые при этом используются, делают все за программистов.

Аналитики информационной безопасности Digital Security: Нет, к сожалению, надежность приложения не зависит от цены.

Разработчик приложения Club92: Одинаково, бесплатных просто больше.

Роман Гинятуллин: Такое возможно, когда приложение написано плохо, не оптимизировано, не протестировано. Опасности это для самого телефона особой не представляет (поскольку приложения существуют в своих песочницах и выбраться из неё достаточно проблематично), но аккумулятор может довольно быстро сесть.

Аналитики информационной безопасности Digital Security: Приложения влияют на работу смартфонов совершенно по-разному. Некоторые приложения работают в фоновом режиме, из-за чего телефон греется и зависает. У пользователя сразу должен возникнуть вопрос: «Не делает ли приложение ничего лишнего?» Если смартфон уже стар, то может не справляться с современными приложениями и их обновлениями. Активно работающие в фоновом режиме приложения в основном влияют на расход и последующий износ батареи смартфона.

Роман Гинятуллин: Они помогут понять, какие данные пользователя используют приложения. Непосредственно к надёжности это отношения не имеет. Это скорее про «предупрежден, значит вооружен», чем про надежность.

Разработчик приложения Club92: Я не пользуюсь AppCensus и Exodus Privacy. Интересное решение, чтобы посмотреть передаваемые данные, оценить надежность приложения. Наверное, безопаснее будет на отдельном телефоне прогонять через подобное, тестировать и уже потом устанавливать на свой.

Как в вашем смартфоне/айфоне появляются мобильные приложения? Обычно человек ищет «помощника» под свои потребности. Нужен инструмент для обработки или монтажа видео — ищет фото- или видеоредакторы. Захотел заняться спортом — ищет приложения с тренировками. Появилась необходимость вести семейный бюджет — в поисках «домашней бухгалтерии». Не стоит так делать.