Эта статья является ответом на статью пользователя fennikami о том как нехороший Burger King записывает видео с экрана смартфона. В оригинальной статье утверждается, что таким образом Burger King может получить доступ к информации о вводимых картах, тем самым скомпрометирован их. Я постараюсь разобраться все ли так на самом деле.
Моему анализу подверглось Android приложение версии 2.2.2 с датой обновления 9 июля 2018г. Результаты на других платформах и в других версиях приложения могут отличаться от приведенных в этой статье.
Инициализация Appsee
Appsee это одна из систем аналитики применяемая для улучшения опыта взаимодействия пользователя с клиентским приложением. Она записывает экран и ваши действия, когда вы находитесь в приложении. В общем-то в этом ничего страшного нет, в Web повсеместно распространена технология Вебвизор от Яндекса, которая имеет тоже самое назначение.
На начальном этапе своей работы Appsee запрашивает конфигурацию для конкретного приложения с сервера, именно этот запрос поймал автор в оригинальной статье, в моем же случае ответ выглядел примерно так:
{
"AutoDetectScreens": true,
"AutoHideWebComponents": true,
"ClientId": "5b47182e7b2f3f1429341f73",
"ClientLogsUploadPolicy": 2,
"ConfigHttpTimeoutInMilliseconds": 5000,
"DetectActions": true,
"DetectCrashes": true,
"DetectGestures": true,
"DetectMenus": true,
"DetectPopups": true,
"HideInput": true,
"HideSensitiveViews": true,
"MaxEventProperties": 5001,
"MaxVideoLength": 0,
"OfflineConfigurationPolicy": 1,
"RecordMetadata": true,
"RecordVideo": true,
"SensitiveMaskingPerWindow": true,
"SessionId": "5b4718ec470302299bdcc04d",
"TrackedOfflineSessions": {},
"UploadAppIcon": false,
"UploadBenchmarks": false,
"UploadTouchEvents": true,
"UploadVideoOnCrash": true,
"UseWebViewSnapshotFullscreen": false,
"VideoBitrate": 56,
"VideoFPS": 3,
"VideoHeight": 320,
"VideoWidth": 160
}Можно заметить, что параметры HideInput, HideSensitiveViews имеют значение true, скрывая тем самым важную информацию в видео. Сразу возникает вопрос как определяется важность информации, для ответа обратимся к документации Appsee. Если коротко, то по умолчанию скрытию подвергаются все поля для ввода данных, дополнительно можно настроить скрытие для других полей или частей интерфейса.
Так же обратим внимание с каким качеством ведется запись видео, в моем случае это было видео с разрешением 320 на 160 пикселей, с частотой три кадра в секунду.
Реальные данные собираемые Appsee
Я решил проверить какие данные действительно отправляются на сервера Appsee, для этого я использовал Proxy из Burp Suite. Сначала система аналитики передает файл с действиями пользователя внутри приложения, там в том числе есть координаты нажатий пользователя, нажатия на клавиатуре не фиксируются.
{"InitialOrientation":1,"InitialAppFrame":[0,0,1080,1776],"Crashed":false,"Duration":143361,"PreSessionDuration":2360,"VideoRecorded":true,"CustomEvents":[{"n":"open_screen","t":9688,"p":{"authorized":"no","screen":"sms","source":"auth_screen1","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b"}},{"n":"popup_screen","t":38560,"p":{"screen":"PromoGridFragment","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","popup":"select_restaurant","authorized":"yes","user_id":258504}},{"n":"open_screen","t":38727,"p":{"screen":"coupons_public","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","authorized":"yes","user_id":258504}},{"n":"open_screen","t":44781,"p":{"screen":"my_orders","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","authorized":"yes","user_id":258504}},{"n":"open_screen","t":48549,"p":{"screen":"public_coupon_details","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","coupon_name":"2 Воппер Обеда","authorized":"yes","user_id":258504}},{"n":"open_screen","t":57971,"p":{"current_restaurant_name":"0632-МУР, Мурманск, просп Ленина 32, ТЦ Мурманск Молл 4 этаж","screen":"cart","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","user_id":258504,"authorized":"yes","current_paying_method":"none"}},{"n":"open_screen","t":60413,"p":{"screen":"bank_card","device_id":"9c843736-8da0-4832-ac9f-de83f5fe889b","user_name":"Илья","authorized":"yes","user_id":258504}}],"Screens":[{"n":"AuthActivity","a":true,"p":0,"s":0},{"n":"MainActivity","a":true,"p":0,"s":36819},{"n":"CouponDetailActivity","a":true,"p":0,"s":48749},{"n":"CouponSelectGoodsActivity","a":true,"p":0,"s":50593},{"n":"MainActivity","a":true,"p":0,"s":56982},{"n":"BasketActivity","a":true,"p":0,"s":58115},{"n":"AddCardActivity","a":true,"p":0,"s":60672}],"Popups":[],"Gestures":[{"t":0,"r":1,"s":2274,"e":2332,"g":[2],"b":{"x":0,"y":1011,"w":1080,"h":144}},{"t":0,"r":1,"s":43150,"e":43208,"g":[3],"b":{"x":624,"y":1437,"w":390,"h":102}},{"t":0,"r":1,"s":44717,"e":44720,"g":[4],"b":{"x":216,"y":1608,"w":216,"h":168}},{"t":0,"r":1,"s":50163,"e":50213,"g":[5],"b":{"x":0,"y":1584,"w":1080,"h":192}},{"t":0,"r":1,"s":54105,"e":54135,"g":[6],"b":{"x":540,"y":561,"w":540,"h":636}},{"t":0,"r":1,"s":55250,"e":55291,"g":[7],"b":{"x":540,"y":561,"w":540,"h":636}},{"t":0,"r":1,"s":56430,"e":56480,"g":[8],"b":{"x":0,"y":1584,"w":1080,"h":192}},{"t":4,"r":1,"s":59230,"e":59354,"g":[9]},{"t":0,"r":1,"s":60368,"e":60409,"g":[10],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":61430,"e":61488,"g":[11],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":62273,"e":62356,"g":[12],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":62686,"e":62744,"g":[13],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":70657,"e":70698,"g":[15],"b":{"x":0,"y":207,"w":1080,"h":954}},{"t":0,"r":1,"s":72611,"e":72660,"g":[16],"b":{"x":0,"y":207,"w":1080,"h":954}},{"t":0,"r":1,"s":73344,"e":73394,"g":[17],"b":{"x":120,"y":178,"w":98,"h":862}},{"t":0,"r":1,"s":73757,"e":73825,"g":[18],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":74230,"e":74287,"g":[19],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":74904,"e":74945,"g":[20],"b":{"x":334,"y":178,"w":148,"h":895}},{"t":0,"r":1,"s":75663,"e":75729,"g":[21],"b":{"x":0,"y":207,"w":1080,"h":1569}},{"t":0,"r":1,"s":76346,"e":76386,"g":[22],"b":{"x":334,"y":178,"w":148,"h":895}}],"Actions":[{"t":5,"s":380,"i":"1"},{"t":0,"s":2332,"i":"1","p":"Далее","id":"2131361874","iu":1,"b":{"x":0,"y":1011,"w":1080,"h":144}},{"t":8,"s":9736},{"t":7,"s":9745,"p":"false"},{"t":5,"s":32117,"i":"1"},{"t":8,"s":33907},{"t":5,"s":33910,"i":"1"},{"t":0,"s":44720,"i":"5","p":"Мои заказы","id":"2131361823","iu":1,"b":{"x":216,"y":1608,"w":216,"h":168}},{"t":4,"s":62744,"i":"1"},{"t":7,"s":62746,"p":"false"},{"t":5,"s":63425,"i":"1"},{"t":4,"s":70698,"i":"2"},{"t":5,"s":71401,"i":"1"},{"t":1,"s":73394,"i":"1","p":"0.7"},{"t":8,"s":73877},{"t":1,"s":74945,"i":"1","p":"0.6"},{"t":1,"s":76386,"i":"1","p":"0.5"}],"OrientationEvents":[],"AppFrameEvents":[],"ThirdPartyIds":[],"ANRs":[],"AppUserId":"258504","TouchEvents":[{"g":2,"e":0,"x":942,"y":1059,"t":2274,"k":1},{"g":2,"e":1,"x":942,"y":1059,"t":2332,"k":1},{"g":3,"e":0,"x":872,"y":1510,"t":43150},{"g":3,"e":1,"x":872,"y":1510,"t":43208},{"g":4,"e":0,"x":360,"y":1681,"t":44717},{"g":4,"e":1,"x":360,"y":1681,"t":44720},{"g":5,"e":0,"x":885,"y":1652,"t":50163},{"g":5,"e":1,"x":885,"y":1652,"t":50213},{"g":6,"e":0,"x":690,"y":656,"t":54105},{"g":6,"e":1,"x":690,"y":656,"t":54135},{"g":7,"e":0,"x":660,"y":685,"t":55250},{"g":7,"e":1,"x":660,"y":685,"t":55291},{"g":8,"e":0,"x":813,"y":1719,"t":56430},{"g":8,"e":1,"x":813,"y":1719,"t":56480},{"g":9,"e":0,"x":741,"y":1485,"t":59230},{"g":9,"e":2,"x":741,"y":1484,"t":59246},{"g":9,"e":1,"x":880,"y":893,"t":59354},{"g":10,"e":0,"x":905,"y":1467,"t":60368},{"g":10,"e":1,"x":905,"y":1467,"t":60409},{"g":11,"e":0,"x":644,"y":919,"t":61430},{"g":11,"e":1,"x":644,"y":919,"t":61488},{"g":12,"e":0,"x":633,"y":802,"t":62273},{"g":12,"e":1,"x":633,"y":802,"t":62356},{"g":13,"e":0,"x":636,"y":893,"t":62686},{"g":13,"e":1,"x":636,"y":893,"t":62744},{"g":14,"e":0,"x":717,"y":1059,"t":70151,"k":1},{"g":14,"e":2,"x":716,"y":1058,"t":70168,"k":1},{"g":14,"e":2,"x":760,"y":846,"t":70302,"k":1},{"g":14,"e":1,"x":775,"y":806,"t":70403,"k":1},{"g":15,"e":0,"x":901,"y":887,"t":70657,"k":1},{"g":15,"e":1,"x":901,"y":887,"t":70698,"k":1},{"g":16,"e":0,"x":194,"y":855,"t":72611,"k":1},{"g":16,"e":1,"x":194,"y":855,"t":72660,"k":1},{"g":17,"e":0,"x":153,"y":854,"t":73344,"k":1},{"g":17,"e":1,"x":153,"y":854,"t":73394,"k":1},{"g":18,"e":0,"x":465,"y":853,"t":73757,"k":1},{"g":18,"e":1,"x":465,"y":853,"t":73825,"k":1},{"g":19,"e":0,"x":474,"y":1006,"t":74230},{"g":19,"e":1,"x":474,"y":1006,"t":74287},{"g":20,"e":0,"x":419,"y":719,"t":74904},{"g":20,"e":1,"x":419,"y":719,"t":74945},{"g":21,"e":0,"x":499,"y":996,"t":75663},{"g":21,"e":1,"x":499,"y":996,"t":75729},{"g":22,"e":0,"x":415,"y":597,"t":76346},{"g":22,"e":1,"x":415,"y":597,"t":76386}]}Видео передаваемое на сервера Appsee, как и следовало ожидать большинство данных скрыты
Смотрим, что происходит дальше
Казалось бы, appsee безопасен и скорее всего несколько раз помогал разработчикам улучшать приложение. Но давайте все же проверим, что происходит с данными карты дальше. Для начала необходимо прочитать комментарий представителя Burger King в СМИ по поводу сложившейся ситуации:
«Мобильное приложение Burger King с удаленным заказом не собирает персональных данных своих подписчиков. Все транзакции надежно защищены одним из лучших эквайеров страны — Яндекс.Касса. Данные о поведении пользователей в приложении не содержат информации о банковских картах и не хранятся на сервере», — сообщает компания.Звучит достаточно убедительно, а теперь смотрим реальный трафик. Для оплаты действительно используется процессинг от Яндекса, это можно определить по запросу с адресом
https://payment.yandex.net/api/v2/payments/bankCardПолезной нагрузкой запроса является параметр request с некоторыми данными:
EY1FmMVlzSkFPVjNLUGtGRkJJY0QwRFRzL0t5WSIsImlhdCI6IjE1MzEzODYxNDcwMDAifQ.eyJvcmRlciI6eyJjbGll
bnRPcmRlcklkIjoiMmE2ZGEwMTQtMjhlMC00NTYwLWEwNTctNzYxNjBjOGNjM2NhIiwiY3VzdG9tZXJJZCI6IiIsInZh
bHVlIjp7ImFtb3VudCI6IjEuMDAiLCJjdXJyZW5jeSI6IlJVQiJ9LCJwYXJhbWV0ZXJzIjp7ImNhcmRVVUlEIjoiN2E5MDR
lMTgtZDk0NS00MTI4LTgyMDctMTg3ZDFhMDgxYjM0IiwidXNlcklkIjoyNTg1MDQsImFkZENhcmQiOnRydWV9fSwiZ
XhwaXJ5WWVhciI6IjIwMjUiLCJleHRBdXRoRmFpbFVyaSI6Imh0dHBzOi8vb3JkZXJhcHAuYnVyZ2Vya2luZy5ydS9h
cGkvdjEvcGF5L2ZhaWxlZCIsInNvdXJjZSI6IkJhbmtDYXJkIiwicmVjaXBpZW50Ijp7InNob3BJZCI6IjE0NTM2MyIsInNo
b3BBcnRpY2xlSWQiOiI0NDk1MzIifSwiY3NjIjoiMjIyIiwicGFuIjoiMjIyNTU1NTI1NTM2NjY2NiIsImNyZWF0ZVJlY3Vyc
mluZyI6dHJ1ZSwiZXh0QXV0aFN1Y2Nlc3NVcmkiOiJodHRwczovL29yZGVyYXBwLmJ1cmdlcmtpbmcucnUvYXBpL
3YxL3BheS9zdWNjZXNzIiwiZXhwaXJ5TW9udGgiOiIxMCJ9.s0H0pnOyCJTm9NJjyj0Ixg15IlRzYbpW7HboSwwAUDi
y4KCkeIQul14lL8P6ocPNTI_Y3acG4x_vSo8C0T1qtQ
Те, кто хоть раз работали с JSON Web Token сразу заметили, что это он. С помощью онлайн-декодера получим исходные данные. В общем-то ничего удивительного онлайн-процессингу передается информация о карте, которая ему и предназначается
{
"order": {
"clientOrderId": "2a6da014-28e0-4560-a057-76160c8cc3ca",
"customerId": "",
"value": {
"amount": "1.00",
"currency": "RUB"
},
"parameters": {
"cardUUID": "7a904e18-d945-4128-8207-187d1a081b34",
"userId": 258504,
"addCard": true
}
},
"expiryYear": "2025",
"extAuthFailUri": "https://orderapp.burgerking.ru/api/v1/pay/failed",
"source": "BankCard",
"recipient": {
"shopId": "145363",
"shopArticleId": "449532"
},
"csc": "222",
"pan": "2225555255366666",
"createRecurring": true,
"extAuthSuccessUri": "https://orderapp.burgerking.ru/api/v1/pay/success",
"expiryMonth": "10"
}Изначально в следующем разделе содержалось неверное предположение о логировании всей информации о карте, после замечания staticlab в комментариях, раздел про логирование был изменен. Приношу свои извинения читателям, которых я ввел в заблуждение.
Логи всему голова
Казалось бы, что может пойти не так, карта должна надежно обрабатываться на Яндекс.Касса. Если бы разработчики приложения Burger King не решили добавить немного логирования со своей стороны. Тем самым все же, собирая некоторую информацию о картах, в частности 4 последние цифры карты, месяц и год окончания действия карты. Лог с информацией приведенной ниже отправляется по адресу:
https://orderapp.burgerking.ru/api/v1/log/requests[{"created_at":1531386147,"entity":"yandex","method":"POST","request_data":"request=eyJhbGciOiJFUzI1NiIsImlzcyI6Imluc3RhbmNlSWQ6cHJHa28rRnNnUlhvZnZwWVBiUDRSeVp0bWs1TkxPTElKRGpEY1FmMVlzSkFPVjNLUGtGRkJJY0QwRFRzL0t5WSIsImlhdCI6IjE1MzEzODYxNDcwMDAifQ.eyJvcmRlciI6eyJjbGllbnRPcmRlcklkIjoiMmE2ZGEwMTQtMjhlMC00NTYwLWEwNTctNzYxNjBj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\nKioqICoqKiogNjY2NiJ9\n.s0H0pnOyCJTm9NJjyj0Ixg15IlRzYbpW7HboSwwAUDiy4KCkeIQul14lL8P6ocPNTI_Y3acG4x_vSo8C0T1qtQ","request_headers":"Content-Type: application/x-www-form-urlencoded\nContent-Length: 974\nHost: payment.yandex.net\nConnection: Keep-Alive\nAccept-Encoding: gzip\nUser-Agent: okhttp/3.10.0\n","response_data":"{\"status\":\"Refused\",\"cardAuthorizeResult\":{\"responseCode\":\"BL07\",\"rrn\":\"\",\"authId\":\"\"},\"error\":\"InstrumentNotAllowed\",\"parameterName\":\"country\",\"errorDescription\":\"Card country is forbidden for this merchant\"}","response_error_num":403,"response_error":"{\"status\":\"Refused\",\"cardAuthorizeResult\":{\"responseCode\":\"BL07\",\"rrn\":\"\",\"authId\":\"\"},\"error\":\"InstrumentNotAllowed\",\"parameterName\":\"country\",\"errorDescription\":\"Card country is forbidden for this merchant\"}","response_headers":"403 Content-Type: application/json;charset=UTF-8\nDate: Thu, 12 Jul 2018 09:02:28 GMT\nConnection: close\nContent-Length: 209\n","url":"https://payment.yandex.net/api/v2/payments/bankCard"}]Данные отправляются как при успешной, так и при неудачной попытке вызвать процессинг карты. Почти уверен, что логи сохраняются, иначе зачем их отправлять?
Выводы
- Аналитика это нормально, конечно, хотелось бы более «яркого» предупреждения. Без аналитики разработка крупных и сложных приложений невозможна.
- Некоторые данные о картах все же собирают, скорее всего, неумышленно.
Комментарии (113)
Jeditobe
12.07.2018 19:20+17Вся суть ситуации с защитой пользовательских данных в этом мультике.
sintech
12.07.2018 19:26+4Самое обидное, что вся эта информация не приводит к улучшения для потребителей. Гугл все также предлагает тебе купить тебе еще одни ботинки а не шнурки если ты искал про ботинки. А тот-же бургер-кинг заставляет сохранять и вводить какие-то скидочные коды, хотя им должно быть достаточно тебя стоящего перед кассой чтобы отобразить твой обычный набор еды и применить все скидки. И так далее.
ClearAirTurbulence
12.07.2018 19:32+1Коды служат двум целям — геймификации процесса (способствует роста потребления) и сокращению издержек (не все водят эти коды)
1nd1g0
12.07.2018 19:28+5На начальном этапе своей работы Appsee запрашивает конфигурацию для конкретного приложения с сервера… Можно заметить, что параметры HideInput, HideSensitiveViews имеют значение true, скрывая тем самым важную информацию в видео.
Правильно ли понимать, сейчас приложение получает конфигурацию, условно активирующую чёрные полоски, но ранее сервер мог отвечать конфигурацией, разрешающей неприкрытые поля? Или всё-таки в коде самого приложения жёстко всё сконфигурировано?norver Автор
12.07.2018 19:31+4Сейчас, из панели они могут поменять это поведение. Кончено, это будет нарушение условий использования Appsee. Скриншот из руководства.
1nd1g0
12.07.2018 19:39+23Замечательная позиция. «Вот вам удобная опция снимать вообще весь экран включая приватную информацию, но если что, мы вам запрещали ею пользоваться.» Вот теперь можно быть спокойными за свои данные.
saw_tooth
12.07.2018 22:20+4C точки зрения Appsee: вот вам автомат, но людей убивать нельзя.
С точки зрения преступника: все равно из чего стрелять.mike_Z
13.07.2018 00:38ну тут есть один нюанс, appsee может сделать так, чтобы автомат выстрелил сам в человека.
Понятно, что appsee вряд ли такое сделает, но его могут и взломать.MINYSMOAL
13.07.2018 14:08ну в реальном мире данные банковских карт так же сливают/могут слить. В общем, жизнь — опасная штука :)
aamonster
12.07.2018 23:37Оно так, но нетрудно сделать тот же логгинг без AppSee вообще (собственно, если задаться целью сливать данные карт — даже проще: можно отправлять только нужные данные, а не видео).
visput
13.07.2018 00:50За полем «Don't hide any field» скрывается более серьезное нарушение. Если вдруг Burger King включит эту опцию, то это приведет к записи всех данных по кредитной карте, что является нарушением стандартов PCI, если компания не имеет сертификации.
А само нарушение имеет последствия от штрафа в $5-100k в месяц до отключения платежных услуг для этой компании. И BK отлично об этом знает.
Не все так просто. Эта статья на порядок грамотней, чем оригинальная статья, в которой автор так и не залил обещанное видео с доказательством, что поля не замазаны.
dimm_ddr
13.07.2018 16:12Удобно иметь такую функцию для тестирования, когда собираются данные не "end users" а какие-то тестовые. Тестовых наборов зачастую больше одного в том числе потому что проверятся могут разные конфигурации. Так что все ок: тестированию не мешают, но предупреждают что нужно не забыть отключить перед релизом.
abikuz
12.07.2018 19:39-10Не понимаю. Ну в 2018г. должны же понимать, что все за всеми будут следить. Кто-то законно, кто-то — нет. Для того, чтобы этого не происходило, надо отказаться ото всего. И уехать в лес. Без роуминга.
Vilgelm
12.07.2018 20:05-5Да пусть собирают все, кроме данных карт. Российские карты слишком просто использовать (даже с ip адресами и выяснением billing адреса не надо морочиться) и никто не вернет тебе украденные таким образом деньги. Понятно, что сам БК не будет таким заниматься, но кто-то украдет у них логи и привет.
Tantacula
13.07.2018 15:23Конкретно последние 4 цифры, и expiration year/month, упомянутые в статье не позволят злоумышленнику использовать вашу карту. Более того, такие агрегаторы, как яндекс касса и stripe (и уверен, что и другие тоже) позволяют получить ее и без сбора на телефоне из истории через свое апи. Я в одном из проектов хранил последние 4 цифры и срок истечения, чтобы клиент мог посмотреть, когда и с какой карты он производил оплату, а также чтобы он мог из личного кабинета удалить привязанную карту (по коду карты из платежной системы вида card_1CnQ2B2eZvKYlo2C1TZIjSsz ее не очень удобно выбирать).
Vilgelm
13.07.2018 15:42В логах, которые приведены выше видны все данные: номер, дата, cvc2. Четырех последних цифр конечно же мало.
staticlab
13.07.2018 19:28Это те данные, которые уходят в Яндекс.Деньги, что логично. Но вот в лог на сервер Бургеркинга уходит хоть и токен, но модифицированный, где данные о кредитке скрыты. Изначально это не совсем очевидно, и нужно было расшифровать второй токен, что я и сделал самостоятельно.
Sabubu
12.07.2018 21:13+14Вы лично можете смириться — это ваше право — но есть еще вариант изменить законодательство.
Когда-то трудовые отношения тоже не регулировались и люди работали по 10-12 часов в день, без пенсий, отпускных и оплаты лечения. Использовался в том числе детский труд. К счастью, нашлись люди, которые не смирились с этим, организовали борьбу и добились изменения законодательства.Eklykti
12.07.2018 22:02+3Но до сих пор находятся люди, которые под лозунгом «Это <название страны>, здесь не принято защищать свои законные права» ебашат с утра и до отруба под сказки про скорый дедлайн.
Sabubu
12.07.2018 22:19+2Тут можно только процитировать www.temporarilyembarrassedmillionaires.org
> Социализм никогда не пустит свои корни в Америке по причине того, что бедные видят себя тут не эксплуатируемым пролетариатом, а временно бедствующими миллионерами.
Наверно, они тоже себя считают миллионерами.Vilgelm
13.07.2018 15:44Уже пустил. Как по мне, лучше бы не пускал, потому что к защите прав это имеет весьма отдаленное отношение.
Но дело даже не в этом: GDPR уже есть, только как видно на данном примере он работает как-то не так, как было задумано.Sabubu
13.07.2018 22:10GDPR не защищает права россиян, и к этому примеру он никакого отношения не имеет.
Что касается утверждений «AppSee соответствует GDPR», думаю, под этим понимается внесение каких-то пунктов в договор с разработчиком и добавление опций для скрытия перс данных. То есть опции они предоставили, а дальше с них взятки гладки. Если что-то утечет — это не они виноваты, а не разобравшийся в опциях и не читавший договор разработчик. AppSee вообще библиотека и с пользователем напрямую не взаимодействует.
При этом то, что AppSee «соответствует» GDPR (что бы это не значило) не означает, что использующее его приложение соответствует. Это просто фраза для отвлечения внимания и судя по вашему комментарию, на вас она сработала.
В данном примере, на видео, которое отправляется в AppSee, есть номер телефона, но AppSee всегда может ткнуть в договор и сказать, что это разработчик виноват, что он там плашку не повесил. Это и есть их «соответствие» GDPR.
0xd34df00d
13.07.2018 18:49Не обязательно считать или представлять себя миллионером, чтобы не придерживаться социалистических взглядов.
0xd34df00d
13.07.2018 18:47Кроме того, оказалось, что в интеллектуальном труде работать по 10-12 часов в день без пенсий не очень выгодно и не очень конкуретно для работодателя.
APXEOLOG
12.07.2018 19:41Проблема с логами запросов кстати довольно распространенная, сам сталкивался с тем, что таким образом улетала личная информация
dom1n1k
12.07.2018 20:15+3скорее всего, не умышленно.
Ха-ха три раза. Ну не бывает таких случайностей. Собирают совершенно сознательно и намеренно, потому что «а чо такова? все так делают» и «да кто там разбираться будет?»Suvitruf
12.07.2018 20:55+2Бывает. Часто встречал, когда на сервере в логах всплывали пароли в открытом виде (хотя в базе там хэш), прост при генерации пароля в логи писался оригинальный пароль (вероятно, для дебага изначально так было сделано). Оправдывались тем, что «с сервера логи не могут утечь».
Но мы-то знаем.
По-моему, что-то похожее недавно в твиттере было, когда у них пароли плейн текстом уходили в интернал логи.
staticlab
12.07.2018 20:29+4Следует сказать, что в JWT-токене из лога номер карты затёрт звёздочками, а CVC-кода нет. Весьма принципиальный момент.
norver Автор
12.07.2018 20:37+3Вы абсолютно правы, таким образом, информация в статье ошибочна. Спешу ее изменить.
SkidanovAlex
12.07.2018 20:41+1Вторая проверка за день для аудитории Хабра на внимательность.
Действительно, в запросе который улетает в BurgerKing номер карты закрыт кроме последних четырех цифр, и CVV нет.
Sabubu
12.07.2018 21:07+15Претензия в исходной статье было про тайную видеозапись экрана пользователя. Можно же вместо этого при запуске приложения спросить разрешение на видеозапись и тогда она перестанет быть тайной и люди будут добровольно делиться ей с вами. Почему они так не делают?
Я работаю в сфере разработки ПО и прекрасно знаю про слежку. Компании почти всегда стремятся ее не афишировать, и вести в максимально возможных пределах. Они не хотят быть честными с потребителем, они хотят его обмануть. Сюда же относятся кстати усложненные интерфейсы, поставленные галочки и ежемесячные списания, которые легко включить, но зачастую сложно отключить.
И посмотрите на комментарий компании, который всеми силами пытается запутать непосвященного человека: tass.ru/ekonomika/5368255
Максимально размытые формулировки и отвлечение внимания (пассажем про «защищенную Яндекс кассу», которая к проблеме отношения не имеет) говорят нам о том, что проблема есть.
Данные о поведении пользователей в приложении не содержат информации о банковских картах и не хранятся на сервере
не хранятся на сервере
Это же феноменальное вранье. Получается, что они отсылают видеозапись на сервер и там она отправляется в /dev/null что ли? Или они считают видеозапись не «данными о поведении пользователей»?
все данные обезличены и закодированы.
Ага, закодированы в формат MPEG.
более того, ни мы, ни специалисты AppSee не видят персональных данных (они приходят на сервер в обезличенном виде) ", — пояснили в компании.
А под «обезличены» они видимо имеют в виду, что они передают не ФИО пользователя, а «обезличенный» appUserId (первый скриншот в исходной статье), по которому — мамой клянус — никак не определить данные пользователя.
Как же возмутительно. Я сам работаю в индустрии разработки ПО и прекрасно знаю ее изнутри, но если это прочтет обычный человек, то у него создастся ровно противоположное впечатление, что все в порядке.v0l0diab
12.07.2018 22:12+4Претензия в исходной статье было про тайную видеозапись экрана пользователя
Вот меня тоже интересует, почему все бросились проверять, закрываются там ПД в видео, или не закрываются. Какая разница то, если они всегда могут эту опцию отключить? Начали уже обвинять автора оригинальной статьи во всех грехах, при этом то, что БК очень неубедительно «отмазался», в том числе ссылаясь на соответствие GDPR (какое он вообще имеет отношение к России то?) — это как-то никого не удивило. Да и сам факт записи на экранах ввода ПД почему-то тоже никого не удивил.Vkuvaev
13.07.2018 09:24+2Безотносительно БК. GDPR в тот момент касается России, когда хотя бы один гражданин ЕС затронут. Если таковой факт вскроется, компанию ждут штрафы отсчитываемые от оборота компании.
poznawatel
13.07.2018 04:36В данный момент и при данном конкретном законодательстве, устанавливать приложение, которое требует доступа к ресурсам, нужность которых сомнительна для его функционирования, не стоит.
В этом вопросе разумно исходить из презумпции вины мобильного софтодела.
x2bool
12.07.2018 23:07Странно, что Apple позволяет делать такое в приложении. Ладно, с полями ввода разобрались — они не пишутся. Но, например, end-to-end шифрование в мессенджерах ничего не значит само по себе, если можно просто писать видео с экрана пользователей. Это не должно быть нормой.
aamonster
12.07.2018 23:41Приложение пишет свой собственный экран. Так можно.
Вот если бы оно для оплаты запускало браузер или ещё какое другое приложение — то не смогло бы.
johovich
12.07.2018 23:11Какой-то анализ PR отдела burgerking. Сравнить с вебвизором можно, но с таким же успехом, как сравнить спортивную машину с обыкновенной. Вебвизор не изображения сохраняет, а перемещения курсора по экрану и скролл. А тут видюха пишется. :-)
Sabubu
13.07.2018 01:07На примере видео www.youtube.com/watch?v=Korqhksw7xw можно различить номер телефона и имя. Вот так защита персданных.
Причем, что интересно, они без ввода телефона, как я понял, даже не дают зайти в приложение, посмотреть каталог.
visput
13.07.2018 00:37Тем самым все же, собирая некоторую информацию о картах, в частности 4 последние цифры карты, месяц и год окончания действия карты
Что соответствует требованиям стандартов PCI, который разрешает хранить первые 6 и последние 4 цифры с номера карты без дополнительной сертификации.
Это я к тому, что Burger King хранит sensitive данные в соответствие с общепринятыми стандартами.
Krypt
13.07.2018 02:36-2> Не сохраняются на наших серверах
Ха. Ха-ха. Как показывает практика, эта фраза значит ровным счётом ничего.
acdee
13.07.2018 05:35+2В соседней теме человек привел комментарий про ресторан и человека, который будет стоять за плечом и фиксировать ваши действия по изучению меню/приему пиши и т.д. Жаль не могу ему плюсануть.
Про то, что поля скрываются, писали не однократно, но кто знает, что этот параметр всегда true?!
И напоследок. Достаточно знать номер карты, чтобы «ободрать» человека. Есть такая штука, как безчарджевые платежи. Пример из жизни: девушка знакомого дала объявление в авито и указала свой телефон контактным. Ей позвонили и предложили перевести задаток на карту(сами понимаем кого). Она дала номер карты моего знакомого. Естественно, по обычной схеме поступило смс с кодом доступа в мобильный банк, а девушке звонил покупатель и просил продиктовать код, на что получил отказ. Через 10 минут посыпались смс от банка с текстом о списание по 469.82 рублей. Знакомый о реагировал быстро, зашел в приложение банка и заблокировал карту. Прошло 4 списания, еще 5 были не удачными. Так же пришло смс. На вопрос мне, как это могло произойти, я сказал, да вот так.
Это я все к чему: если бы вы только знали, сколько всего в мире кардинга, то даже самые ярые защитники сейчас бы брызжели слюной от этой новости, по такой аналитике. В современном мире приватность данных должна сохраняться, а если она каким либо способом подвигается, то об этом стоит информировать. И точка!Areso
13.07.2018 07:28Меня печалит больше всего тот факт, что в большинстве банков нельзя через интернет-банкинг, звонок в колл-центр или даже личный визит заблокировать интернет-списания.
dmluter
13.07.2018 17:06Всеми в интернете ненавистный банк с желтым значком, как раз позволяет отключить интернет платежи… я все операции в интернете провожу с помощью виртуальной карты, которую выписывает банк за минуту, и на этой карте деньги бывают крайне редко и только для текущей покупки)
Mikhail_dev
13.07.2018 17:25Вы у Тинькофф создаёте виртуальную карту? Сколько жду эту функцию у них, но мне говорят что она пока недоступна
Chamie
13.07.2018 18:19Сколько жду эту функцию у них, но мне говорят что она пока недоступна
А у кого вы это спрашиваете? У меня в ЛК она вообще изначально сама была в списке карт. Хотя, на сайте, почему-то, новость об этом за апрель этого года висит. Может, вы что-то другое под «виртуальной картой» понимаете?Mikhail_dev
13.07.2018 18:41Ну вообще спрашивал об этом у dmluter. Мне показалось что он имеет ввиду виртуальную карту Тинькофф банка, которую я не могу оформить уже не первый год.
Может, вы что-то другое под «виртуальной картой» понимаете?
Нет, я про виртуальную карту и имел ввиду. У моего друга, когда он открывал Тинькофф в апреле вроде, она тоже автоматом появилась, и с тех пор не ушла. Но создать я её НЕ могу. Сейчас позвонил в банк, сказали что отключили возможность создавать виртуальные карты, и что скорее всего не будут её возобновлять. Предложили открыть реальную карту, которая привяжется к тому же счёту, и управлять лимитом карты, что по мне не слишком удобно.
А вот у тех, у кого она была создана, им не отключили.Chamie
13.07.2018 18:54Ну вообще спрашивал об этом у dmluter.
Я имел в виду — кто вам говорил, что она недоступна, когда вы об этом спрашивали.
Но теперь уже понятно, спасибо за разъяснение.
JobberNet
13.07.2018 08:45Ссылка habr.com/company/e-Legion/blog/417043/#comment_18877465
Не очень приятно, когда ты смотришь меню, а кто-то за плечом стоит и записывает каждый твой тап. И когда ты оказываешься записанным в подопытные кролики. А ведь можно было бы просто спросить у пользователя разрешение на видеозапись экрана для улучшения приложения и тогда проблема бы просто не существовала. Вам бы самим понравилось, если придя в ресторан, к вам бы за столик подсел человек и снимал, как вы разглядываете меню, какой рукой держите ложку и как долго жуете стейк?
Fandir
13.07.2018 11:43Видеозапись идет почти в каждом общественном месте… Особенно на кассах супермаркета кассовая зона снимается крупным планом, но почему-то это никого не парит…
acdee
13.07.2018 11:48Потому что при входе есть уведомления, и все об этом знают. В публичном месте может быть все. А вы не пробывали звать окружающих, когда берете телефон и начинаете им пользоваться? Может я утрирую, но поверьте, не из плохих побуждений.
Fandir
13.07.2018 11:53В любом случае камеры над кассовой зоной очень хороший способ получить данные карт… Гораздо более действенный, чем замазанные поля в видео из статьи…
JobberNet
13.07.2018 13:53+1Видеозапись идет почти в каждом общественном месте… Особенно на кассах супермаркета кассовая зона снимается крупным планом, но почему-то это никого не парит…
Не парит, потому что это не выкладывают в интернет, да ещё так, чтобы было на видео чётко было видно и номер карточки и какой код он набирает.
Vkuvaev
13.07.2018 19:52Не парит, потому, что на кассе обычно еще не жуют то, что покупают :)
Fandir
13.07.2018 22:16А как это связано с обсуждаемой темой увода данных карты? Список ваших покупок на кассе супермаркета виден хорошо…
Vkuvaev
13.07.2018 22:49Это был, разумеется, шуточный ответ, Вам и предыдущему автору, на тему подглядывания за жующим стейк. Но Вы, вероятно догадались об этом.
Чтоб вернуться в лоно темы, есть, к примеру, софт для астрофотографов, который на базе серии фото способен поднять разрешение, вполне качественно. То есть из серии снимков карты издалека, например видео, вполне можно попробовать восстановить её данные.
Есть тут те, кто таким пользовался?Fandir
13.07.2018 23:01Для карт не пользовался, для астрофото это очень даже работает, деталей из видео можно получить существенно больше, чем из единичной фото… Собственно, большинство любительский фотографий планет или дип спейса это обработка серии снимков, но с картой будут сложности… Т.к. она скорее всего будет вращаться в пространстве…
Sabubu
14.07.2018 01:43Справедливости ради, увод данных карты это наименьшая проблема, так как карта элементарно перевыпускается. А вот увод персональных данных вроде номера телефона, адреса жительства или ФИО гораздо тяжелее исправить — вряд ли вы будете менять номер телефона и обзванивать всех знакомых, а тем более имя.
Потому надо меньше беспокоиться о данных карты и больше о персональных данных.
Fandir
13.07.2018 09:01Сказки какие-то как минимум нужно знать ещё срок окончания карты… Иначе можно тупо перебором карты перебирать…
acdee
13.07.2018 10:45+1Недостающую информацию можно узнать за ~500р в течении 5 минут, если сервис по пробиву на связи. Сказки для Вас, потому что вы живете в своем «сказочном» мире, где пока не столкнулись с чем-то таким. Есть большое множество ресурсов, которых вы не найдете в поисковике. И я не говорю сейчас об .onion. И даже если где то будет упомянут домен, вы ничего не увидите. Только зайдя по ссылке вида домен.кто/какая_то_ссылка/ вы увидите форму входа. Никакой регистрации, ничего другого. Просто форма входа. А за ней столько всего интересного, что глаза на лоб лезут.
Если вы с этим не сталкивались, это не значит что это «сказки»Fandir
13.07.2018 11:41Давайте я вам дам номер карты, а вы мне пришлете остальные данные… раз их так легко узнать, ну а я вам даже 1000 р перечислю) Но скорее всего вы даже фамилию мою не узнаете… Опять же деньги можно увести без CVV пожалуй только через Амазаон, а вернуть деньги с Амазона не сложно, плюс можно попробовать узнать адрес на который ушла посылка… Ну и вообще совет… Не держать на карте много денег… сейчас перекинуть деньги со счета на счет дело нескольких секунд…
acdee
13.07.2018 12:01Давайте, только вы дадите не мне, а некому лицу с ником @v1va505. Я к этому не имею отношение :)
godlatro
13.07.2018 09:19-1То есть ты стоишь в бургере, подключаешься к приложению
И вдруг, у тебя мгновенно начинает сжираться траффик мобильного интернета, батарея, процессор греется на максимум, забивается память, батарея вот вот взорвется от перенапряга что надо держать одновременно интернет, приложения, включенный экран, да еще и процессор на запись видео.
Ни у кого батарея не взрывалась в бургеркинге? )))hatari90
13.07.2018 10:34+1В отрыве от срача по поводу ПД — это тоже важный момент. Если приложение тратит мой трафик, загружает процессор и жрет батарею просто потому что кому-то там интересно исследовать мои действия на предмет оптимизации интерфейса, я бы хотел об этом как минимум знать. Достаточно простого запроса при первом запуске из серии «Помогите нам стать лучше» с понятным описанием даже для не опытного пользователя и соответствующую опцию в настройках для последующего отключения. Если отключение не предусмотрено (не пользовался этим приложением), то вариант «не нравится — не используй» это по-свински.
acdee
13.07.2018 10:58Не соглашусь с текстом. Нужно писать так: внимание!!! Мы записываем видео экрана(жирным красным текстом) когда вы используете приложение, чтобы улучшать его. Чтобы отказаться, нажмите «не хочу». А то, опять можно будет где то спрятать текст в уведомлении при первом запуске, с каким то описанием и мелким штрифтом, которое вызывается однажды и мы больше о нем не вспомним, но там нас предупреждали. Это уже совсем другая история.
appletesta
13.07.2018 12:32У меня одного видео кажет 144р? Уже почти забыл, что ютуб может быть в настолько низком разрешении.
mayorovp
13.07.2018 14:34Оно вообще-то записано в 144р. Ютуб, конечно, крут — но повышать разрешение у видео почему-то не умеет :-)
oliverfreeman
13.07.2018 12:32Я столкнулся с невероятным трафиком в этом приложении еще в апреле, в фоне по мобильной сети передалось 910 мб, в следующем месяце 302. Их метрика действительно может записывать только внутри приложения?
evr1ka
13.07.2018 13:46Пользуюсь мобильным приложением от Burger King на Android 6.0.1 Galaxy S5 (не рутованный)
До недавнего времени было удобно.
Подключил туда бонусную карту и теперь не надо таскать ее с собой.
Но за последние 2 недели пошли странные глюки:
— Из профиля исчезла моя ранее добавленная карта.
— Добавить карту (пробовал Сбер и Тинькоф) по новой не дает: списывает один рубль, долго тупит (видимо возвращает), и после говорит что ничего не получилось, мол карта не добавлена
Спрашивается — почему нельзя добавлять карту на этапе оформления заказа? Тогда можно не делать такую странную процедуру со снятием и возвратом 1 рубля.
Идем дальше, заказать очень хотел (была акция, угадай счет по футболу Россия-Хорватия добавив в заказ Nе число соусов = количеству голов сделанных Россией), и через сайт смог пополнить бонусную карту.
Через неделю проверяю, — огонь, выиграл по акции бургер за рубль,… но приложение удалило мою бонусную карту… Супер.
Написал в поддержку. Сейчас прежде чем писать текст, зашел в приложении проверить — бонусная вернулась, а вот карту добавить не могу.
Все бы ничего, но плюс приложения был в том, что заказал когда свободен, пока идешь к выдаче, уже готово, забрал — и ушел. Плюс акции разные выгодные… А тут или диверсия какая, или что похуже.
А читая что еще есть и видеоаналитика — вообще не понятно как приложение может иметь такие глюки? Не единственный же я
Особенно интересно наблюдать при старте инфу, что ура, мы все починили, и глюк с исчезновением карт пофиксен. И всего одна кнопка — ОК, все круто!
Так вот… нифига.
arabesc
13.07.2018 15:58-1norver, Вы можете проверить, работает ли логирование через, например, mitmproxy? Если да, попробовать подменить:
на false, если есть адрес сервера, куда заливать видео, то кастомизировать и его тоже."HideInput": true, "HideSensitiveViews": true,norver Автор
14.07.2018 02:40+1arabesc mitmproxy отлично подходит для прослушивания трафика. Насколько я понял разработчики отключили запись аналитики в своем приложении, тем самым осложнив возможность проверки. Из имеющхся данных удалось собрать аддон для mitmproxy эмулирующий ответы от сервера Appsee, заставляя приложение вести запись видео. Запись отправляется не каждый раз, видимо моя симуляция не особо точная, но одно видео без черных полос при наборе номера удалось записать.
Мои наработки: github.com/oncecreated/appsee_watcher
Собственно аддон подменяет конфиг на находящийся в папке и автоматически сохраняет отправляемые видео и метаданные.arabesc
14.07.2018 13:07+1Т.е. приложение не проверяет достоверность сертификатов при соединении и верит всем подряд, https там свою задачу не отрабатывает?
Таким образом, любой злонамеренный владелец публичной wi-fi точки доступа может получить полную нецензурированную аналитику от всех приложений, использующих Appsee. Удобно.norver Автор
14.07.2018 13:38+1Нет, немного не так, у mitmproxy есть возможность установки на устройство корневого сертификата, и только после его установки можно прослушивать HTTPS трафик приложения Burger King, без установки сделать это невозможно. Eдинственное для повышения безопасности своего приложения разработчики могли бы использовать SSL Pinning, это техника проверки сертификата, с использованием отпечатка зашитого в код приложения. В этом случае даже корневой сертификат не помог бы в просмотре трафика и для его прослушки пришлось бы модифицировать код самого приложения.
hippohood
13.07.2018 17:39+1Я не понимаю этих оправданий: "всего 10% пользователей", "закрывают поля с номером карты", "все так делают" и тд.
Человек установил маленький апп, чтобы покупать бутерброды со скидкой. Он не подписывался на тестирование ваших багов, он не собирался становиться стримером, и не хочет зависеть от порядочности незнакомых ему людей (себя это 10%, завтра это 100%, сегодня поставили черные полоски, завтра забыли, а потом еще и продали данные о вашем поведении каким-то продавцам трусов). Очень простой тест — ответьте сами будет ли человек устанавливать этот апп если узнает детали "дебаггинга", если нет, и вам приходится прятаться за витиеватыми формулировками — вы подлецы, и сами это понимаете. Представьте себе что слесарь отремонтировал вам кран и заодно установил набора скрытых камер. А когда вы из нашли, объясняет что это он для того чтобы узнать когда прокладки пора менять, а ваши пиписьки он квадратиками закрывает
Особенно бесит что от этой слежки нет никакой пользы клиенту. Гребаный апп раздает купоны на бургеры, что там за дебаггинг такой что надо записывать каждого 10 клиента на видео??? Очевидно же что они пытаются найти способ монетизировать близость к клиенту, большие данные все такое. А клиенту это надо?
poznawatel
Недавно кто-то в комментах сострил, что скоро колбаса в холодильнике будет следить за ним. Похоже, мы движемся в эту сторону…
Поэтому я терпеть не могу устанавливать подряд все приложения: такси, маркеты итп. Кто знает, что они там и куда шлют?
Oplkill
Через несколько лет начнут записывать ещё и видео с камеры, анализируя куда твои глаза смотрят, для улучшения дизайна
Vilgelm
Уже есть такое, но за это пока что платят и все сугубо добровольно.
Pinkerator
Почему же через несколько лет? Вот цитата из "Политики использования данных Instagram", наши дни :)
kAIST
Хм… У меня смартфон с фронтальной камерой снизу. Интересно, это рвет у них шаблоны?)
dimm_ddr
В зависимости от технической реализации это может обрабатываться без проблем, игнорироваться как выброс или поддерживаться отдельно если таких как вы — много.
Vsevo10d
Не очень давно спорил с человеком, где покупать сахар.
Он говорил, что в «Перекрестке», а я говорил, что там один псевдотростниковый и прочая демерара, а мне нужен обычный белый, но не бомж-категориикороче суть в том, что несколько раз мы громко произнесли во время спора «сахар в Перекрестке».Я приехал домой, и на компьютере у меня вылезла контекстная реклама «сахар в Перекрестке». После чего я немного постоял, посмотрел в окно, осознал, в какое время живу и смирился с этим.
ainu
А кто в итоге подслушал? фейсбук? Хром?
Ось Андроид/iOS?
Vsevo10d
Единственная нить, пожалуй, что я был залогинен в почте на мобиле и дома. Мобила на старом андроиде. Почта Яндекс, оба браузера хромы.
Приложений не использую вообще никаких, кроме браузера хром, инсты, вотсапа и телеги, а также яндекс карт.
khim
Скорее всего какой-нибудь голосовой поиск сработал, а вы не запомнили.
Старые андроиды точно ничего не слушают постоянно. Не потому что прайваси, а потому что батарейка садится, блин!
danfe
STFBEE
ЕМНИП, этим слушанием занимаются приложения яндекса, оттуда же и предложения в директе.
Пруфов лично у меня нет, но вроде на хабре про это писали уже.
dimm_ddr
У вас есть андроид, приложения от яндекса и приложения от фейсбука. Тут минимум три варианта кто мог слушать.
LoadRunner
Правильнее спрашивать, в чьём рекламном блоке была реклама. Тот и подслушивает.
synka
Совсем недавно, ехал с моря, обсуждал с женой, что нужно найти подходящий фитнес-клуб и купить абонемент. Потом забыл разговор. Вспомнил о нем, когда яндекс.директ стал показывать мне несколько баннеров с клубами на одной странице. Рассказал жене. Она ответила, что теперь понятно, почему хром стал показывать информацию про гадания и знаки зодиака. Несколько дней назад, на детской площадке, она обсуждала с мамашами, у кого какие знаки зодиака.
Atractor
Хе-хе-хе. Ваш пример ничто по сравнению с моей паранойей: я могу подумать, а оно случается… Да, ладно-бы просто случалось… оно ведь и в контекстную рекламу предварительно суётся… матрица, матьеё…
x67
Сегодня хотел скачать приложение для отправки на печать на принтер brother. Увидел список "требуемых" разрешений и перехотел
Max_JK
На новых андроидах разрешения для приложений по умолчанию отключены (вроде с 6 версии). Можно разрешить некоторые при необходимости
khim
К сожалению не совсем так. Они отключены для приложений, которые знают про 6ю версию. Те которые «как бы не знают» — работают по старинке.
Но да, гайки скоро начнут закручивать.
godlatro
А давайте вспомним ещё одну вещь
Приложение делает перехват нажатий, и координаты пальца на экране передает третьим лицам.
Это значит что закрывай/не закрывай поля, но они знают точное положение каждой нажатой клавиши на клавиатуре вашего мобильного
zikasak
Appsee не записывает нажатия клавиш клавиатуры
godlatro
клавиш нет, а координаты записывает
А координаты каждой буквы на клавиатуре всегда известны
Tantacula
Чтобы знать координаты каждой буквы, нужно узнать, какое приложение для ввода использует пользователь, какой режим ввода он использует, какую раскладку и т.д. Вы исследовали приложение на наличие этого функционала?
Valery35
Задача выглядит нетривиальной, но в большой степени разрешимой. С учетом того, что номер карты содержит контрольную сумму и известно, что я ввожу только цифры.
Kolegg
дайте мне модель телефона и координаты нажатий, и я восстановлю номер при помощи миллиметровки с точностью 80-90%. а если еще откалибровать по последним 4 цифрам номера, точность возрастет до 99.99%
dimm_ddr
Или по первым, набор которых в каждой отдельной стране весьма небольшой.
Tantacula
Во сколько мне обойдется написание универсального решения для покрытия 80% актуальных моделей телефонов, включая айфоны, разумеется?
SpL1Ne
Именно. Я так и не понял, почему все начали защищать приложение и сервис сбора информации (который явно не указывает что информация собирается), даже с учетом что прошла я статья была ошибочная.
Очень хорошо что у автора этой статьи
Только нигде это не указывается и никто не сидит не мониторит какие же значения приходят. Сейчас true, потом что-то стукнет в голове и будет false, а человек даже об этом не узнает.
Во-вторых, позиция «мы установили у вас дома скрытые камеры, но не беспокойтесь, когда вы голый, наш человек отворачивается» — сама по себе вызывает вопросы к тем людям, кто защищал эту позицию в прошлом посте, ведь «ну надо же как-то тестировать».
И третий пункт не такой критичный, но всё же. В данный момент у меня тариф с 1 гигом трафика мобильного, ибо я либо дома, либо на работе и мне хватает с головой этого гига. В прошлой статье я видел упоминание, что это приложение использовало 800!!! мегабайт. Это получается мне никто не говорит, ничего не сообщает, используют трафик и в нужный момент я могу оказаться «извините, у вас закончился гиг, пополните счет»? Очень здорово, спасибо БургерКинг.