Je načase zrevidovat své aplikace. Zdá se, že některé no code či low code funkcionality využívané jak v iOS tak v Androidových aplikacích nemusí být tak bezpečné, jak jste si mysleli. To je hlavní závěr zprávy popisující pokoutný ruský software využívaný v aplikacích z dílny americké armády, Centra pro kontrolu a prevenci nemocí, britské Labouristické strany a dalších významných subjektů.
Využíváte už ve firmě autonomní agenty postavené na bázi umělé inteligence?
Sibiř maskovaná za Washington
Kód vyvinutý společností Pushwoosh se dostal do tisíců aplikací tisíců subjektů. Mezi nimi i Centra pro kontrolu a prevenci nemocí (CDC), které prý bylo přesvědčeno, že jde o firmu se sídlem ve Washingtonu, DC, přestože ta ve skutečnosti sídlí na Sibiři, poukazuje agentura Reuters.
Společnost poskytuje kód a nástroje pro zpracování dat, která mohou být v rámci aplikací využita ke sledování toho, co uživatel dělá online a zasílání personalizovaných notifikací. Podobné služby nabízejí i firmy jako CleverTap, Braze, One Signal nebo Firebase.
Je třeba dodat, že Reuters nemá žádné důkazy, že by takto sesbíraná data byla zneužita. Už jen skutečnost, že jde o ruskou firmu, je však problematická, jelikož data a informace podléhají místní legislativě. A pravděpodobně žádný vývojář, skrz jehož produkt jsou data sbírána, netouží po tom, aby byla zneužita.
Proč se tak děje
Přestože zvlášť v dnešní době máme dostatek důvodů, proč být k Rusku podezřívaví, jsem si jistý, že podobné dodavatelské vývojářské firmy, které mohou, ale taky nemusí stavět zabezpečení na první místo, najdeme v každé zemi. Výzva je určit, kdo tak činí a kdo ne.
Důvod, proč je kód jako ten od společnosti Pushwoosh v aplikacích využíván, je jednoduchý: jde o peníze a čas. Vývoj mobilních aplikací se může prodražit, takže někteří tvůrci za účelem snížení nákladů využívají pro některé funkce už hotové kódy třetích stran.
S postupným příklonem k no code vývoji lze přitom počítat, že taková praxe se stane stále častější. To je samozřejmě v pořádku a těžit z takového přístupu mohou jak vývojáři, tak aplikace i jejich uživatelé. Zároveň to však poukazuje na riziko, které musí každý uživatel a každá firma používající takto postavenou aplikaci vzít v potaz.
Kdo vlastní váš kód?
Do jaké míry lze říct, že je kód bezpečný? Jaká data kód sbírá, jak s nimi nakládá, jak je může uživatel spravovat a jak se může chránit? Je kód pravidelně aktualizován? Zůstává sám o sobě bezpečný? To jsou jen některé z otázek, na které je dobré znát odpověď. Problém je v tom, že jestliže si byť na některou z těchto otázek odpovíte „nevím“ či „ne“, jsou vaše data potenciálně v ohrožení. To vše zdůrazňuje potřebu důkladného a pravidelného posuzování bezpečnosti takto postavených aplikací.
Zároveň jsem přesvědčený o nezbytnosti anonymizace dat, aby se v případě jejich úniku minimalizovalo riziko jejich zneužití. Ostatně, jak ukázala kauza Cambridge Analytica, obfuskace je v dnešní době nezbytností.
Pište pro Computerworld
Máte dobré nápady, máte co říct? Chcete se podělit o své znalosti se čtenáři Computerworldu?
Je tu ideální příležitost. V redakci neustále hledáme externí autory, kteří rozšíří náš záběr. Nabízíme možnost publikací zajímavých článků nejen na webu, ale také v našem tištěném magazínu.
Pokud máte zájem, ozvěte se šéfredaktorovi na e-mail: radan.dolejs@iinfo.cz
Kód společnosti Pushwoosh je používán ve zhruba osmi tisících aplikací a je třeba dodat, že dle vývojářů sbíraná data nejsou ukládána v Rusku. To však samo o sobě dle Reuters neznamená, že jsou zabezpečená před zneužitím. A v určitém smyslu na tom, kde jsou uložena, vlastně až tolik nezáleží, jelikož bezpečnost je založena na předcházení rizikům, nikoliv na hašení požárů. Vzhledem k množství firem, které zkrachují po hackerském útoku, se určitě v ohledu zabezpečení hodí přístup dvakrát měř a jednou řež.
Proto by se každý vývojář spoléhající na už hotové kódy třetích stran měl ujistit, že tyto kódy jsou v souladu s bezpečnostní politikou firmy, pro kterou pracuje. Ve finále totiž dáváte všanc svou reputaci, jméno své firmy a v případě zneužití půjde o váš problém.
Security World si můžete koupit i jako klasický časopis, buď v klasické tištěné formě nebo v elektronické verzi. Věnujeme se bezpečnosti počítačových systémů, ochraně dat, informací a soukromí. Jsme jediný titul na českém a slovenském trhu, který oslovuje širokou čtenářskou obec – od ředitelů firem, přes odborníky na bezpečnost po koncové uživatele. Naším cílem je poskytnout ucelený přehled o bezpečnostních hrozbách a zejména o tom, proč a jak se jim bránit, případně proč respektovat a dodržovat nařízení IT manažerů ve firmách.
PŘEDPLATNÉ
ČLÁNKY DO MAILU