الرئيسية
كشفت دراسة حديثة أجريت على تطبيقات الهاتف iPhone والهواتف التي تعمل بنظام أندرويد، عن أن عديدا من تلك البرامج تجمع معلومات شخصية عن مستخدميها وتبثها بطريقة سرية.
وأجرى مشروع جينوم التطبيقات The App Genome Project، الذي دشنته شركة ''لوك أوت'' Lookout المتخصصة في أمن أجهزة المحمول؛ تحليلا لجميع التطبيقات المتاحة عبر متجر تطبيقات شركة Apple وسوق النظام أندرويد التابع لشركة جوجل العريقة.
وعادة ما يتعيّن على مطوري التطبيقات الكشف عن وظيفة تلك التطبيقات عند تقديمها للمتجر بأسره ، فها هي شركة Apple تُجري فحصها الخاص قبل إتاحة أي تطبيق للتنزيل من على موقعها على الويب.
وأجرى باحثو شركة ''لوك أوت'' مسحا لما يربو على 300 ألف تطبيق من تطبيقات المحمول، كما أجرت الشركة تحليلا أكثر عمقا لما يقرب من ثلث هذا العدد من التطبيقات.
وكشف هذا المشروع عن أن عددا كبيرا من مطوري البرامج لا يميطون اللثام عن سلوك تطبيقاتهم فيما يتعلق بجمع البيانات ضمن وصفهم لها.
لكن قد لا يكون عدم الإفشاء عن طبيعة تلك التطبيقات متعمدا، حيث إن المطورين عادة ما يُضَمِّنون تطبيقاتهم برمجيات من جهات خارجية دون فحص سلوك تلك المكونات فحصا دقيقا وافيا، على حد قول الباحثين.
ووُجِدَ أن عددا مهولا من التطبيقات التي خضعت للدراسة والتمحيص تقوم بمهمة لم يكشف عنها مطورو البرامج قط ، على سبيل المثال، حاول ثلث التطبيقات المجانية للهاتف iPhone الولوج إلى الموقع الجغرافي للمستخدم.
أما بالنسبة لنظام أندرويد، فقد وجد أن 29 في المائة من التطبيقات المجانية حاولت الوصول إلى بيانات خاصة بالموقع الجغرافي، كما وجد أن 8 في المائة على الأقل من جميع التطبيقات المجانية التي تعمل على النظام أندرويد و14 في المائة من جميع التطبيقات المجانية للهاتف iPhone؛ حاولت الولوج إلى قائمة جهات اتصال المستخدم أيضا.
إن كلا من نظام التشغيل iPhone ونظام التشغيل Android يصدران تحذيرات للمستخدمين متى حاول أي تطبيق الوصول إلى معلومات على درجة عالية من الحساسية، بيد أن تلك التحذيرات لا تُعْلِم صاحب الهاتف بطبيعة البيانات التي يسعى التطبيق إلى جمعها أو الجهة التي من الممكن أن يبثها إليها.
إضافة إلى الاكتشافات السابقة، عثر الباحثون على أن تطبيقا من تطبيقات نظام التشغيل أندرويد يسمح للمستخدمين بتغيير خلفيات هواتفهم ويرسل أرقام هواتفهم ومعلومات خاصة بالمستخدمين إلى خادم في الصين.
وقال جون هيرنج، المدير التنفيذي لشركة ''لوك أوت'': ''تقوم تطبيقات الهواتف المحمولة بعديد من المهام التي لا تخطر على بال المستخدمين''، مضيفا أن مكونات برمجيات الجهات الخارجية عادة ما تعكف على حصد المعلومات دون تنبيه مطوري البرامج.
وتابع بقوله ''ليس لدى المستخدم النهائي ولا المطور أدنى فكرة عما يجري في التطبيقات التي يستخدمونها ويكتبونها''.
هذا وقد كشف مشروع جينوم التطبيقات عن أن 75 في المائة من تطبيقات نظام التشغيل أندرويد و23 في المائة من تطبيقات iPhone المجانية، تتضمن شفرة مصدرها طرف ثالث.
يقول هيرنج ''إن أطر التطبيق تلك تسهل من عملية بناء التطبيقات بيد أنها من الممكن أن تجعل التطبيق النهائي يأتي بتصرفات لم يحسب لها المطور حسبانا ولم يقصدها من الأساس.
وجزء كبير من تسريب المعلومات الذي نتحدث عنه لا يرجع إلى رغبة المطور ولكن أطر التطبيق هي التي تدسه في تلك التطبيقات''.
من جهة أخرى، قال تريفور هوثورن، المدير الإداري لشركة Stratum Security المتخصصة في ضمان جودة البرامج، إن كثيرا من مطوري التطبيقات لا يدرون كيف يتحققون مما إذا كانت شفرات الجهات الخارجية مؤذية أم آمنة.
على سبيل المثال، اكتشف هوثورن أن بعض تطبيقات الألعاب تجمع بيانات خاصة بالموقع الجغرافي بطريقة تسهل من مهمة اقتفاء أثر اللاعبين بينما هم يتنقلون حول مدينة ما أو يجتازون بلدة ما.
وهذه الخاصية ليست بالمستحيلة، على حد قول هوثورن، لأن أغلب مطوري البرامج على دراية بمبادئ أمن البرامج دون علم منهم بالتفاصيل.
وأضاف هوثورن ''عندما يدمج مطورو البرامج برامج من جهة خارجية داخل تطبيقاتهم، فإنهم نادرا ما يجرون تقييما للتحقق من مدى أمان التطبيق أو فحصا لشفرته، وهو ما يعرفه المهاجمون عز المعرفة''.
ويزعم باحثو شركة ''لوك أوت'' أن مكونات الجهات الخارجية من الممكن أن تقتحم نقاط ضعف ببرمجيات يستطيع المتسللون استغلالها الاستغلال الأمثل من أجل السيطرة على الهاتف المحمول.
يقول هيرنج ''لا شك أن شركتي Apple وGoogle تقومان بمهمة رائعة فيما يتعلق بمحاولة تأمين نظاميهما، لكن هذا الجهد لا طائل منه وليس له أي معنى إذا كان المطورون يقحمون بالفعل نقاط ضعف بالاستعانة بأطقم تطوير برمجي من جهات خارجية''.
ويتابع هوثورن حديثه بأنه من الصعب تحديث برامج الجهات الخارجية، ولذلك تستمر نقاط الضعف لفترات أطول.
ويختتم حديثه قائلا ''لقد تابعنا هذا المشهد عينه عندما انطلقت شبكة الإنترنت في بداياتها، وشاعت مشاركة الملفات بطريقة النظير للنظير، ومن بعدها الاتصالات اللاسلكية وشبكات التواصل الاجتماعي والبرمجة السحابية وأخيرا الهواتف المحمولة.
ولن يتسنى لنا الشروع في استيعاب ''مقتضيات'' أمن وخصوصية التكنولوجيا إلا بعد أن يبدأ مجتمع أمن المعلومات في التمحيص في الأمر وممارسة بعض الضغوط للكشف عن كل ما هو مطموس''.
وأجرى مشروع جينوم التطبيقات The App Genome Project، الذي دشنته شركة ''لوك أوت'' Lookout المتخصصة في أمن أجهزة المحمول؛ تحليلا لجميع التطبيقات المتاحة عبر متجر تطبيقات شركة Apple وسوق النظام أندرويد التابع لشركة جوجل العريقة.
وعادة ما يتعيّن على مطوري التطبيقات الكشف عن وظيفة تلك التطبيقات عند تقديمها للمتجر بأسره ، فها هي شركة Apple تُجري فحصها الخاص قبل إتاحة أي تطبيق للتنزيل من على موقعها على الويب.
وأجرى باحثو شركة ''لوك أوت'' مسحا لما يربو على 300 ألف تطبيق من تطبيقات المحمول، كما أجرت الشركة تحليلا أكثر عمقا لما يقرب من ثلث هذا العدد من التطبيقات.
وكشف هذا المشروع عن أن عددا كبيرا من مطوري البرامج لا يميطون اللثام عن سلوك تطبيقاتهم فيما يتعلق بجمع البيانات ضمن وصفهم لها.
لكن قد لا يكون عدم الإفشاء عن طبيعة تلك التطبيقات متعمدا، حيث إن المطورين عادة ما يُضَمِّنون تطبيقاتهم برمجيات من جهات خارجية دون فحص سلوك تلك المكونات فحصا دقيقا وافيا، على حد قول الباحثين.
ووُجِدَ أن عددا مهولا من التطبيقات التي خضعت للدراسة والتمحيص تقوم بمهمة لم يكشف عنها مطورو البرامج قط ، على سبيل المثال، حاول ثلث التطبيقات المجانية للهاتف iPhone الولوج إلى الموقع الجغرافي للمستخدم.
أما بالنسبة لنظام أندرويد، فقد وجد أن 29 في المائة من التطبيقات المجانية حاولت الوصول إلى بيانات خاصة بالموقع الجغرافي، كما وجد أن 8 في المائة على الأقل من جميع التطبيقات المجانية التي تعمل على النظام أندرويد و14 في المائة من جميع التطبيقات المجانية للهاتف iPhone؛ حاولت الولوج إلى قائمة جهات اتصال المستخدم أيضا.
إن كلا من نظام التشغيل iPhone ونظام التشغيل Android يصدران تحذيرات للمستخدمين متى حاول أي تطبيق الوصول إلى معلومات على درجة عالية من الحساسية، بيد أن تلك التحذيرات لا تُعْلِم صاحب الهاتف بطبيعة البيانات التي يسعى التطبيق إلى جمعها أو الجهة التي من الممكن أن يبثها إليها.
إضافة إلى الاكتشافات السابقة، عثر الباحثون على أن تطبيقا من تطبيقات نظام التشغيل أندرويد يسمح للمستخدمين بتغيير خلفيات هواتفهم ويرسل أرقام هواتفهم ومعلومات خاصة بالمستخدمين إلى خادم في الصين.
وقال جون هيرنج، المدير التنفيذي لشركة ''لوك أوت'': ''تقوم تطبيقات الهواتف المحمولة بعديد من المهام التي لا تخطر على بال المستخدمين''، مضيفا أن مكونات برمجيات الجهات الخارجية عادة ما تعكف على حصد المعلومات دون تنبيه مطوري البرامج.
وتابع بقوله ''ليس لدى المستخدم النهائي ولا المطور أدنى فكرة عما يجري في التطبيقات التي يستخدمونها ويكتبونها''.
هذا وقد كشف مشروع جينوم التطبيقات عن أن 75 في المائة من تطبيقات نظام التشغيل أندرويد و23 في المائة من تطبيقات iPhone المجانية، تتضمن شفرة مصدرها طرف ثالث.
يقول هيرنج ''إن أطر التطبيق تلك تسهل من عملية بناء التطبيقات بيد أنها من الممكن أن تجعل التطبيق النهائي يأتي بتصرفات لم يحسب لها المطور حسبانا ولم يقصدها من الأساس.
وجزء كبير من تسريب المعلومات الذي نتحدث عنه لا يرجع إلى رغبة المطور ولكن أطر التطبيق هي التي تدسه في تلك التطبيقات''.
من جهة أخرى، قال تريفور هوثورن، المدير الإداري لشركة Stratum Security المتخصصة في ضمان جودة البرامج، إن كثيرا من مطوري التطبيقات لا يدرون كيف يتحققون مما إذا كانت شفرات الجهات الخارجية مؤذية أم آمنة.
على سبيل المثال، اكتشف هوثورن أن بعض تطبيقات الألعاب تجمع بيانات خاصة بالموقع الجغرافي بطريقة تسهل من مهمة اقتفاء أثر اللاعبين بينما هم يتنقلون حول مدينة ما أو يجتازون بلدة ما.
وهذه الخاصية ليست بالمستحيلة، على حد قول هوثورن، لأن أغلب مطوري البرامج على دراية بمبادئ أمن البرامج دون علم منهم بالتفاصيل.
وأضاف هوثورن ''عندما يدمج مطورو البرامج برامج من جهة خارجية داخل تطبيقاتهم، فإنهم نادرا ما يجرون تقييما للتحقق من مدى أمان التطبيق أو فحصا لشفرته، وهو ما يعرفه المهاجمون عز المعرفة''.
ويزعم باحثو شركة ''لوك أوت'' أن مكونات الجهات الخارجية من الممكن أن تقتحم نقاط ضعف ببرمجيات يستطيع المتسللون استغلالها الاستغلال الأمثل من أجل السيطرة على الهاتف المحمول.
يقول هيرنج ''لا شك أن شركتي Apple وGoogle تقومان بمهمة رائعة فيما يتعلق بمحاولة تأمين نظاميهما، لكن هذا الجهد لا طائل منه وليس له أي معنى إذا كان المطورون يقحمون بالفعل نقاط ضعف بالاستعانة بأطقم تطوير برمجي من جهات خارجية''.
ويتابع هوثورن حديثه بأنه من الصعب تحديث برامج الجهات الخارجية، ولذلك تستمر نقاط الضعف لفترات أطول.
ويختتم حديثه قائلا ''لقد تابعنا هذا المشهد عينه عندما انطلقت شبكة الإنترنت في بداياتها، وشاعت مشاركة الملفات بطريقة النظير للنظير، ومن بعدها الاتصالات اللاسلكية وشبكات التواصل الاجتماعي والبرمجة السحابية وأخيرا الهواتف المحمولة.
ولن يتسنى لنا الشروع في استيعاب ''مقتضيات'' أمن وخصوصية التكنولوجيا إلا بعد أن يبدأ مجتمع أمن المعلومات في التمحيص في الأمر وممارسة بعض الضغوط للكشف عن كل ما هو مطموس''.
