اتهم برنامج Meitu بجمع المعلومات الشخصية

في الأيام الأخيرة ، نشر الويب بسرعة معلومات حول تطبيق الهاتف المحمول الصيني Meitu - أحد البرامج العديدة لفئة "الجمال" (محسن الوجه) للصور الشخصية. ميزة Meitu هي أنه من بين المرشحات يوجد أنيمي واحد ، عندما يقوم البرنامج بتكبير العينين ، تبييض البشرة ، تلوين الشفاه ، الرموش ، إلخ. أحب البرنامج حقًا العديد من المستخدمين الذين يسعدهم تجربة مرشح الأنيمي على أنفسهم . في أعقاب شعبية Meitu ، حول خبراء الأمن انتباههم أيضًا إلى هذا التطبيق لأنه يجمع كمية كبيرة بشكل غير عادي من المعلومات حول المستخدمين. إذا قام جزء كبير من السكان بتثبيته ، فعندئذٍ يمكن لقاعدة البيانات الكبيرة هذه أن تكون ذات قيمة عملية للشخص الذي يجمعها.

لذا ، ما هي المعلومات التي يجمعها البرنامج.

يتم إرسال IMEI إلى الخوادم الصينية 110.173.196.36 و 124.243.219.159 و 42.62.120.41 في إصدار Android. في إصدار iOS الذي يحتوي على آخر التحديثات ، لا تتاح لتطبيقات الجهات الخارجية فرصة الحصول على عنوان IMEI و IMSI و MAC الخاص بالجهاز ، على الرغم من أن رمز تطبيق iOS يحتوي على جزء رمز مناظر ممنوع لتضمين البرامج في App Store.





يحتوي إصدار iOS على ثلاثة فحوصات على الأقل حول كيفية كسر حماية هاتفك الذكي.



تبدو وظيفة جمع المعلومات حول مزود الخدمة الخلوية على هذا النحو.



بالإضافة إلى ذلك ، يقوم Meitu بتجميع ملف تعريف فريد للجهاز ، بما في ذلك مراعاة عنوان MAC للهاتف الذكي.

التطبيق يحتوي على رمزالسماح بالتحميل الديناميكي لأطر العمل الخاصة أثناء تشغيل البرنامج. ومع ذلك ، في حين لا يوجد دليل على استخدام هذا الرمز. على ما يبدو ، تم تجميع هذا الرمز كجزء من iOS Facebook SDK. يوضح



تحليل إصدار Meitu لنظام iOS أن التطبيق يرسل جزءًا من المعلومات التي تم جمعها إلى خوادم الشركاء ، بشكل رئيسي الشركات التحليلية. على سبيل المثال ، يتم إرسال اسم مشغل الهاتف المحمول إلى خادم الشركة التحليلية Umeng / Youmi (alogs.umeng.com). يتم إرسال رقم إصدار iOS واسم طراز الهاتف الذكي ونوع الشبكة (مثل WiFi) ولغة الجهاز ومعلومات توطين الجهاز ورمز الدولة للجوال ومعرف فريد يتم إنشاؤه عشوائيًا إلى خادم Meitu التحليلي.

ربما لم يكن لدى المبدعين الصينيين لهذا البرنامج السخيف أي نوع من التفكير المتخلف بشأن جمع مجموعة كبيرة من المعلومات الخاصة حول المستخدمين. على الأقل الآن لا يوجد دليل على أن البرنامج ضار بالفعل. على سبيل المثال ، قد يُطلب منك جمع IMSI بموجب القانون الصيني . لكن مع ذلك ، يوضح مثال Meitu القاعدة التي يمكن أن يجمعها المهاجم المحتمل. بعد كل شيء ، يتم إعداد هذا البرنامج من قبل مواطنين محترمين تمامًا - زملائك ورؤسائك ، الذين يدفعون لك راتبًا وأصدقائك وأقاربك. يتم جمع المعلومات من هواتفهم وإرسالها إلى خادم بعيد.

بعد تصنيف الهاتف ، يواصل Meitu جمع البيانات الخاصة. لا يتم رسم المعلومات حول الموقع الجغرافي للمستخدم ليس فقط من خلال وظيفة تحديد إحداثيات GPS القياسية ، ولكن أيضًا من بيانات صور EXIF ​​المخزنة على الهاتف الذكي.

حتى أثناء التثبيت ، يطلب البرنامج قائمة شاملة من الأذونات ، بما في ذلك الوصول إلى الجهاز والمحفوظات والموقع الدقيق وحالة الهاتف و USB والصور والتخزين (للكتابة والقراءة) والكاميرا واتصال WiFi ومعرف الجهاز في معلومات المكالمة والوصول الكامل بالشبكة ، بدءًا من التمهيد ، ومنع الإسبات ، وما إلى ذلك. للحصول على قائمة كاملة بالأذونات ، انظر لقطات الشاشة أدناه.

• مفتاح التطبيق
• إصدار التطبيق
• نوع نظام التشغيل
• IMEI
• عنوان MAC
• إصدار نظام التشغيل
• طراز الجهاز
• القرار
• الناقل
• نوع الشبكة
• اللغة
• البلد
• المدينة
• خط الطول
• SIM ICCID
• عنوان IP المحلي
• Root Status Jail brake Status ( iOS)

من حيث المبدأ ، يجمع البرنامج على الهاتف حرفيا جميع المعلومات التي يمكن أن يجمعها. ربما يمكن اعتبار هذا رسمًا على حالته المجانية ، لذلك يوافق العديد من المستخدمين ، في حين لا ينتبه الآخرون. في النهاية ، يعد هذا نموذجًا تجاريًا قياسيًا للإنترنت الحديث: تقدم الشركة الخدمة للجمهور مجانًا ، وتستخدم الجمهور نفسه كمنتج يتم تقديمه للمعلن مقابل المال.

يحتوي البرنامج أيضًا على عدد كبير من الوحدات التحليلية وتتبعات الإعلانات التابعة لجهات خارجية ، بما في ذلك AppsFlyer و Crashlytics و Fabric و Umeng / Youmi.

"إذا كنت تريد أن تصبح هدفًا للاستهداف والتنقيب عن البيانات ، فتأكد من تثبيت Meitu. أنا متأكد من اشترى هذه البيانات، وسوف اقول لك كثيرا "، - تعليقاتأخصائي الأمن جوناثان زديارسكي.

لا يعلق ممثلو Meitu على حقيقة أنه تم جمع كمية كبيرة من المعلومات الخاصة ، لكنهم يؤكدون أن Meitu هو شريك رسمي لـ Google Play ويشارك في برنامج Sand Hill المرموق من Google للتطبيقات ذات الإمكانات الفيروسية. كجزء من هذا البرنامج ، تقدم Google للمطورين النصائح والمساعدة بشأن كيفية تحسين أداء البرنامج في أسواق مختلفة حول العالم.

يقول بعض الخبراء أن برنامج Meitu من حيث كمية المعلومات التي تم جمعها لا يختلف على الإطلاق عن العديد من التطبيقات الشائعة الأخرى لنظامي iOS و Android ، على سبيل المثال ، من نفس برنامج Pokemon Go.

وفقًا للإحصاءات ، تحتوي تطبيقات Meitu اليوم على أكثر من 1.1 مليار عملية تثبيت و 456 مليون مستخدم نشط حول العالم و 6 مليار صورة شخصية ملتقطة وأكثر من 490 مليون مقطع فيديو تم تحميلها على خوادم Meitu.

Source: https://habr.com/ru/post/ar400923/