Пришло время проверить ваш код, потому что кажется, что некоторые функции без кода или с низким кодом, используемые в приложениях для iOS или Android, могут быть не такими безопасными, как вы думали. Это важный вывод из отчета, в котором объясняется, что замаскированное российское программное обеспечение используется в приложениях вооруженными силами США, CDC, Лейбористской партией Великобритании и другими организациями.
Когда Вашингтон станет Сибирью
Проблема в том, что код, разработанный компанией Pushwoosh, был развернут в тысячах приложений от тысяч организаций. К ним относятся Центры по контролю и профилактике заболеваний (CDC), которые говорят, что их заставили поверить, что Pushwoosh базируется в Вашингтоне, тогда как на самом деле разработчик базируется в Сибири, объясняет Reuters. Посещение Twitter-канала Pushwoosh показывает, что компания утверждает, что ее штаб-квартира находится в Вашингтоне, округ Колумбия.
Компания предоставляет поддержку обработки кода и данных, которые можно использовать в приложениях для профилирования действий пользователей приложений для смартфонов в Интернете и отправки персонализированных уведомлений. Аналогичные услуги предлагают CleverTap, Braze, One Signal и Firebase. Теперь, чтобы быть справедливым, у Reuters нет доказательств того, что данные, собранные компанией, были злоупотреблены. Но тот факт, что компания базируется в России, создает проблемы, поскольку информация подпадает под действие местных законов о данных, что может представлять угрозу безопасности.
Конечно, это может быть не так, но разработчик, занимающийся обработкой данных, которые можно считать конфиденциальными, вряд ли захочет идти на такой риск.
Что за предыстория?
Хотя сейчас есть много причин опасаться России, я уверен, что в каждой стране есть свои сторонние разработчики компонентов, которые могут отдавать приоритет безопасности пользователей, а могут и нет. Задача состоит в том, чтобы узнать, какие из них работают, а какие нет.
Причина, по которой такой код Pushwoosh используется в приложениях, проста: речь идет о деньгах и времени разработки. Разработка мобильных приложений может быть дорогостоящей, поэтому для снижения затрат на разработку некоторые приложения будут использовать стандартный сторонний код для определенных задач. Это снижает затраты, и, поскольку мы довольно быстро движемся к средам разработки без кода/с малым количеством кода, мы увидим больше такого подхода к моделированию из кирпича и раствора для разработки приложений.
Это хорошо, потому что модульный код может принести огромную пользу приложениям, разработчикам и бизнесу, но он выдвигает на первый план проблему, о которой должен знать любой бизнес, использующий сторонний код.
Кто является владельцем вашего кода?
Насколько безопасен код? Какие данные собираются с помощью кода, куда идет эта информация и какие полномочия у конечного пользователя (или компании, чье имя появляется в приложении) для защиты, удаления или управления этими данными?
Есть и другие проблемы: когда такой код используется, регулярно ли он обновляется? Является ли сам код безопасным? Какая глубина строгости применяется при тестировании программного обеспечения? Включает ли код неизвестный код отслеживания сценариев? Какое шифрование используется и где хранятся данные?
Проблема в том, что если ответ на любой из этих вопросов «я не знаю» или «нет», данные находятся под угрозой. Это подчеркивает необходимость надежных оценок безопасности при использовании кода любого модульного компонента.
Команды по обеспечению соответствия данных должны тщательно протестировать эти элементы — «минимального» тестирования недостаточно.
Я бы также сказал, что подход, при котором все собираемые данные анонимизируются, имеет большой смысл. Таким образом, в случае утечки информации риск неправомерного использования сводится к минимуму. (Опасность пользовательских технологий, в которых отсутствует надежная защита информации во время обмена, заключается в том, что эти данные, однажды собранные, становятся угрозой безопасности.)
Несомненно, последствия Cambridge Analytica иллюстрируют, почему запутывание является необходимостью в эпоху подключений.
Apple, похоже, понимает этот риск. Pushwoosh используется в более чем 8000 приложений для iOS и Android. Важно отметить, что разработчик утверждает, что собираемые им данные не хранятся в России, но это не может защитить их от эксфильтрации, говорят эксперты, которых цитирует Reuters.
В некотором смысле это не имеет большого значения, потому что безопасность основана на предвидении риска, а не на ожидании возникновения опасности. Учитывая большое количество компаний, которые становятся банкротами после взлома, лучше перестраховаться, чем сожалеть, когда дело доходит до политик безопасности.
Вот почему все компании, команды разработчиков которых полагаются на готовый код, должны убедиться, что сторонний код соответствует политике безопасности компании. Потому что это ваш код с названием вашей компании, и любое неправильное использование этих данных из-за недостаточного тестирования на соответствие будет вашей проблемой.
Подпишитесь на меня в Твиттере или присоединяйтесь ко мне в баре и гриле AppleHolic и в дискуссионных группах Apple на MeWe. Кроме того, теперь на Mastodon.
© 2022 IDG Communications, Inc.