Aplikacja Sarahah w zasadzie eksplodowała w ciągu kilku tygodni. Z ponad 18 milionami pobrań na całym świecie jej użytkownicy wydają się czerpać dużą przyjemność z możliwości dzielenia się „anonimowymi opiniami”, ale poza rzekomą rozrywką oprogramowanie ma swoją ciemną stronę. Badacz bezpieczeństwa Zachary Julian odkrył, że Sarahah wysyła do sieci wszystkie telefony z kontaktów i adresy e-mail. Jego zachowanie zostało potwierdzone w systemach iOS i Android, ale twórca aplikacji poinformował, że pobieranie danych jest związane z porzuconą funkcją, która nigdy nie została w pełni wyłączona…
Ciemna strona popularnej aplikacji
W ostatnich dniach widziałem, jak niektórzy moi znajomi publikują zrzuty ekranu z „krytykami”, które otrzymują za pośrednictwem aplikacji Sarahah. Poza tym, że nie jestem pod wielkim wrażeniem (aplikacja ma wiele problemów z wydajnością i stabilnością), wszystko, co do tej pory przeczytałem, sugeruje, że uprzejmość jest w rzeczywistości ćwiczeniem z hipokryzji. Jest jednak jeszcze poważniejszy aspekt: aplikacja uwielbia zbierać prywatne informacje o użytkowniku. Gdy aplikacja zyskuje popularność, różni eksperci od bezpieczeństwa decydują się przeanalizować jej działanie, a to, co odkrył badacz Zachary Julian, nie jest zbyt miłe…
Co odkrył badacz?
Julian przygotował smartfon Samsung Galaxy S5 z Android Lollipop 5.1.1 i oprogramowaniem monitorującym Burp Suite, które przechwytuje ruch w urządzeniu (przychodzący i wychodzący). Dzięki Burp Suite potwierdził, że Sarahah wysyła do sieci wszystkie kontakty i adresy e-mail użytkownika. W nowszych wersjach Androida i iOS aplikacja prosi o pozwolenie na „uzyskanie dostępu do kontaktów”, ale w większości przypadków wysyłka odbywa się bez ostrzeżenia. Co więcej, Julian odkrył, że jeśli użytkownik nie otwiera aplikacji przez jakiś czas (mniej niż 48 godzin), Sarahah ponownie wysyła kontakty.
Reakcja twórcy
Prasa specjalistyczna próbowała porozmawiać z osobami odpowiedzialnymi za Sarahah, a po chwili ciszy jej twórca Zain al-Abidin Tawfiq poinformował na Twitterze, że odczyt kontaktów zostanie usunięty w przyszłej kompilacji i że był on pomyślany do wprowadzenia funkcji, która pozwalałaby „znajdować twoich znajomych”. Najwyraźniej ta funkcja napotkała „wiele problemów technicznych”, a partner odpowiedzialny za jej usunięcie z aplikacji (który, nawiasem mówiąc, już nie pracuje w Sarahah) nigdy tego nie zrobił. W tym samym czasie funkcja została usunięta na serwerze, a jej bazy danych nie przechowują żadnych kontaktów. Oczywiście to oświadczenie jest niemożliwe do zweryfikowania bez pełnego otwarcia kodu Sarahah i odpowiedniego audytu. Ktokolwiek zdecyduje się nadal korzystać z Sarahah po takim odkryciu, powinien porzucić aplikację mobilną i korzystać z jej strony internetowej.
