Приложението за съобщения Tokee изтича 1,2 милиона потребителски профила при излагане на база данни

Какво всъщност разкри изтичането на базата данни на Tokee

Изследователи по сигурността наскоро откриха незащитена база данни, принадлежаща на Tokee — приложение за видео и текстови съобщения, оставена изложена и достъпна без никакво удостоверяване на самоличността. Базата данни съдържаше записи за приблизително 1,2 милиона потребители, включително пълни имена, телефонни номера и токени за устройства. Последната категория заслужава особено внимание: токените за устройства са уникални идентификатори, обвързани с конкретен телефон или таблет, и могат да се използват за идентифициране на устройство в различни услуги, за изпращане на неоторизирани push известия или за проследяване на моделите на активност на потребителя с течение на времето.

Това не беше сложна хакерска атака. Никой нападател не трябваше да пробива защитни стени или да използва сложни уязвимости. Базата данни просто беше оставена отворена, което означава, че всеки, който знаеше къде да търси, е можел да получи достъп до данните и да ги копира. Дали неоторизирани лица са направили това, преди изследователите да открият и докладват за излагането, не е публично потвърдено — и това е точно проблемът при подобен тип инциденти.

Мащабът на излагането го поставя твърдо в категорията на сериозни инциденти с нарушаване на поверителността. Телефонните номера по-специално са ценни цели, тъй като се използват за двуфакторно удостоверяване, атаки чрез подмяна на SIM карта и целенасочени фишинг кампании чрез SMS.

Защо самото криптиране не защитава потребителите на приложения за съобщения

Честото предположение сред потребителите, съзнаващи значението на поверителността, е, че изборът на приложение за съобщения с end-to-end криптиране решава повечето от проблемите им с излагането на данни. Инцидентът с Tokee илюстрира точно защо това предположение е непълно.

End-to-end криптирането защитава съдържанието на съобщенията, докато те пътуват между подателя и получателя. То не защитава метаданните, които платформите за съобщения събират и съхраняват на собствените си сървъри: кой сте вие, какво устройство използвате, с какъв телефонен номер сте се регистрирали и колко често използвате приложението. Цялата тази информация се съхранява в бази данни, контролирани от доставчика на приложението, и ако тези бази данни са неправилно конфигурирани или недостатъчно защитени, никакво количество криптиране на съобщенията не може да предотврати изтичането им.

Това е същата структурна уязвимост, която прави дори платформите, ориентирани към поверителност, трудни за пълно доверие. Съдържанието на съобщенията може да е нечетимо, но заобикалящите данни разказват собствена история. Докато ЕС обсъжда законодателство за задължително наблюдение на чатове, аргументът, че събирането на метаданни е по своята същност по-малко чувствително от съдържанието на съобщенията, става все по-трудно защитим.

Пробивът при Tokee е конкретен пример за това какво се случва, когато тези метаданни не се обработват със същата строгост като самото съдържание на съобщенията.

Как VPN мрежите намаляват отпечатъка ви от метаданни на сървърите на приложенията

Когато се свързвате с приложение за съобщения без VPN, сървърите на приложението регистрират реалния ви IP адрес заедно с активността по акаунта ви. Този IP адрес може да се използва за извеждане на приблизителното ви местоположение, вашия доставчик на интернет услуги и в някои случаи вашата самоличност. Ако тези данни на страната на сървъра бъдат изложени при пробив като този при Tokee, или поискани по съдебен ред, или достъпени от заплаха, свързана с държава, вашият IP адрес се превръща в още едно идентифициращо парче информация, обвързано с акаунта ви.

VPN замества реалния ви IP адрес с такъв, принадлежащ на VPN сървъра, така че това, което се записва в сървърните журнали на приложението, е споделен адрес, а не такъв, сочещ директно към вас. Това не предотвратява самия пробив и не защитава телефонния номер или токена за устройство, с който сте се регистрирали. Но значително намалява начина, по който изложените данни могат да се използват за намирането или идентифицирането ви.

Важността на ограничаването на отпечатъка ви от метаданни става по-ясна в рискови контексти. Сложните атаки, спонсорирани от държави, все по-често се насочват към личната комуникационна инфраструктура, а добавянето на VPN върху приложенията ви за съобщения създава реална, макар и частична, бариера. По същия начин си струва да помним, че злонамерените приложения на вашето устройство могат също да събират данни на системно ниво, както се вижда в случаи като зловредния софтуер NoVoice, заразил над 2,3 милиона Android устройства чрез Google Play, което подчертава стойността на намаляването на идентифицируемите данни, които всяко едно приложение може да събира и съхранява.

Какво трябва да направят потребителите на Tokee веднага

Ако имате акаунт в Tokee, третирайте регистрирания си телефонен номер като потенциално компрометиран. Това означава да бъдете бдителни към необичайни SMS съобщения, особено тези, които ви молят да кликнете върху връзки или да потвърдите данни на акаунта. Бъдете особено внимателни към всякакви съобщения, твърдящи, че идват от банка, куриерска служба или технологична компания, тъй като телефонният ви номер може вече да е в обращение сред хора, събиращи изтекли данни.

Ако сте използвали същия телефонен номер за активиране на двуфакторно удостоверяване в други акаунти, помислете за преминаване към приложение за удостоверяване вместо верификация чрез SMS, тъй като телефонните номера, изложени при пробиви, често се използват в схеми за подмяна на SIM карта, предназначени за отвличане на акаунти.

По-широко погледнато, този пробив е полезно напомняне да проверите кои приложения имат достъп до телефонния ви номер и да прегледате разрешенията, дадени на приложенията за съобщения на вашето устройство. Ограничаването на данните, които приложенията могат да събират на първо място, е по-трайна форма на защита от надеждата, че всяка платформа правилно защитава своите бази данни.

И накрая, последователното използване на VPN при свързване с приложения за съобщения добавя слой защита, който работи независимо от каквито и да са практики за сигурност, следвани от самото приложение. Не можете да контролирате как Tokee или която и да е друга платформа управлява своята сървърна инфраструктура, но можете да контролирате колко идентифицираща информация достига до тези сървъри на първо място.

Излагането при Tokee е напомняне, че поверителността в платформите за съобщения не е само функция на криптирането, вградено в самото приложение. Тя зависи и от начина, по който платформата обработва данните, заобикалящи вашите комуникации — и тази част от уравнението е напълно извън вашия контрол, след като веднъж сте я предали. Изграждането на навици, свеждащи до минимум това предаване, е най-практичната защита, достъпна за обикновените потребители.