De app Sarahah is in een paar weken tijd exponentieel gegroeid. Met meer dan 18 miljoen downloads wereldwijd lijken gebruikers volop te genieten van de mogelijkheid om anonieme feedback te delen, maar achter het entertainment schuilt een duistere kant. Beveiligingsonderzoeker Zachary Julian ontdekte dat Sarahah alle telefoonnummers van je contacten en je e-mailadressen naar het web uploadt. Het gedrag is geverifieerd op iOS en Android, en de maker van de app meldde dat de verzameling verband houdt met een verlaten functie die nooit volledig is gedeactiveerd…
De afgelopen dagen zag ik verschillende contacten screenshots delen van de 'kritieken' die ze via Sarahah ontvangen. Naast het feit dat ik niet onder de indruk ben (de app heeft meerdere prestatie- en stabiliteitsproblemen), suggereert alles wat ik tot nu toe heb gelezen dat de beleefdheid in werkelijkheid een oefening in hypocrisie is. Er is echter nog een ernstiger aspect aan deze software: het verzamelt graag privé-informatie van de gebruiker. Wanneer een app populair wordt, besluiten verschillende beveiligingsexperts het gedrag ervan te analyseren, en wat onderzoeker Zachary Julian ontdekte is niet bepaald fraai.
De test van Zachary Julian
Julian zette een Samsung Galaxy S5 klaar met Android Lollipop 5.1.1 en de monitoringsoftware Burp Suite, die het in- en uitgaande verkeer op het apparaat onderschept. Met behulp van Burp Suite bevestigde hij dat Sarahah alle contacten en e-mailadressen van de gebruiker naar het web uploadt. Onder nieuwere versies van Android en nieuwere builds van iOS vraagt de app toestemming om “toegang tot contacten” te krijgen, maar in de meeste gevallen gebeurt de upload zonder waarschuwing. Alsof dat nog niet genoeg is, ontdekte Julian dat als de gebruiker de app een tijdje niet opent (minder dan 48 uur), Sarahah de contacten opnieuw verstuurt.
Reactie van de maker
De gespecialiseerde pers probeerde contact op te nemen met de verantwoordelijken van Sarahah, en na een korte stilte meldde de maker Zain al-Abidin Tawfiq via Twitter dat het uitlezen van contacten in een toekomstige build wordt verwijderd, en dat het bedoeld was om een functie te introduceren die “je vrienden vinden” mogelijk maakt. Blijkbaar kampte die functie met “meerdere technische problemen”, en de partner die verantwoordelijk was voor het verwijderen ervan (die overigens niet meer bij Sarahah werkt) heeft dat nooit gedaan. Tegelijkertijd werd de functie op de server opgeschoond en bewaren de databases geen contacten. Natuurlijk is die verklaring onmogelijk te verifiëren zonder een volledige openheid van de code van Sarahah en de bijbehorende audit. Wie besluit Sarahah te blijven gebruiken na zo'n ontdekking, zou de mobiele app moeten laten vallen en via de website moeten inloggen.
