Postronne aplikacje mogą czytać twoją pocztę z klienta Outlook.com na Androidzie

Bezpieczeństwo danych przetwarzanych przez aplikacje dla Androidawciąż pozostaje kwestią, której trzeba przyglądać sięszczególnie pilnie. To bowiem nie tylko kwestia niedociągnięćsamego systemu operacyjnego, ale też kiepskich praktyk deweloperów,którzy tworzą dla niego oprogramowanie. Dobrze widać to poostatnim odkryciuzespołu Include Security, który pod lupę wziął mobilnego klientapoczty Outlook.com od Microsoftu.

Oficjalna aplikacja poczty od Microsoftu cieszy się wśródużytkowników urządzeń z Androidem sporą popularnością –liczba jej oficjalnych pobrań z Google Play znalazła się wprzedziale 10 – 50 mln. Większość tych ludzi ryzykuje teraz, żewiadomości przetwarzane przez mobilnego klienta Outlook.com sąswobodnie dostępne dla innych aplikacji zainstalowanych w systemie.Jako że wiele osób w swoich e-mailach trzyma poufne, wrażliwedane, a Android jest dziś ulubionym celem ataków cyberprzestepców,trudno zbagatelizować to zagrożenie.

Problem wziął się z nieprzemyślanego wykorzystania zewnętrznejpamięci masowej urządzenia. Aby zaoszczędzić miejsce nasystemowych partycjach, klient Outlook.com przechowuje dane na karcieSD. Robi to jednak w jawnej formie, a to oznacza, że każda innaaplikacja, mająca całkiem przecież niewinne uprawnienieREAD_EXTERNAL_STORAGE, może uzyskać do wiadomości tych dostęp.

Systemowe rozwiązanie, eliminujące takie zagrożenia, pojawiłosię dopiero w Androidzie 4.4. Wersja ta wprowadziła m.in.ograniczenia w dostępie aplikacji do nienależących do nichfolderów na zewnętrznej pamięci masowej. Nawet ze wspomnianymuprawnieniem mogą one czytać tylko z wyznaczonej dla siebie„piaskownicy”. Wciąż jednak nie rozwiązuje to problemunieupoważnionego dostępu do danych na np. skradzionym telefonie –czy to za pomocą kabelka USB i Android Debug Bridge, czy poprzezzwykłe wyciągnięcie karty SD z urządzenia.

Zdaniem odkrywców tego zagrożenia, użytkownicy klientaOutlook.com mogą być wprowadzani w błąd co do faktycznego stanuzabezpieczeń ich poczty wskutek stosowanej w aplikacji blokadydostępu za pomocą kodu PIN. Zabezpieczenie PIN-em nie szyfrujeprzechowywanych na urządzeniu danych, blokuje jedynie dostęp donich przez graficzny interfejs aplikacji. Dla kompetentnychtechnicznie osób to kwestia raczej oczywista, ale jak pokazałyklasyczne „testy mamusi” przeprowadzone przez badaczy IncludeSecurity, użytkownicy mniej obeznani z kwestiami bezpieczeństwabyli przekonani, że jak ustawią już dostępowy PIN, to ich danebędą chronione na każdy sposób.

Microsoft jest oczywiście przekonany, że z jego strony wszystkojest w porządku: użytkownicy, którzy chcą, by ich dane byłybezpieczne, powinni po prostu szyfrować dane na kartach SD. Niepowinni też zakładać, że ich dane domyślnie zostałyzaszyfrowane, o ile aplikacja jawnie nie deklaruje, że tak sięstało. Include Security nie podziela tej opinii. Ich zdaniemaplikacje powinny informować użytkowników o zagrożeniu wiążącymsię z przechowywaniem niezaszyfrowanych danych, wykorzystującsprawdzone rozwiązania do szyfrowania ich za zgodą użytkownika.Bazy danych z wiadomościami można w ten sposób zabezpieczyć zapomocą dodatku SQLCipherfor Android, załączniki zaś przechowywać w formacie OpaqueBinary Blob, który umożliwia spakowanie dużych plików izapisanie ich na nośniku w taki sposób, że tylko tworząca jeaplikacja ma do nich dostęp.

Pozostaje oczywiście pytanie, na ile zajmujący się Androidemzespół deweloperski Microsoftu jest w ogóle zainteresowany takimulepszaniem oprogramowania pisanego na konkurencyjną platformę.Zawsze można przecież przedstawiać Windows Phone jako bezpiecznąalternatywę – w systemie tym dane zapisywane na karcie SD sąznacznie lepiejchronione, niż w starszych wersjach Androida.