Obiecują pełną kontrolę. Obiecują pokój. To jest dokładnie hasło reklamowe wszystkich dostępnych na rynku aplikacji do ochrony dzieci. Dla zmartwionych rodziców narzędzia te wydają się idealnym rozwiązaniem. Oferują śledzenie GPS, aby dokładnie wiedzieć, kiedy dziecko dociera do szkoły. Filtrują dziwne treści w Internecie. Blokują podejrzane pobieranie. To wymarzony scenariusz dla zaniepokojonych rodzin. Ale jest pewien haczyk. I on mówi poważnie.
Wiele z tych programów nie chroni Twoich dzieci. Narażają całe Twoje cyfrowe życie na ryzyko.
Badacze przeprowadzili niedawno rygorystyczny audyt bezpieczeństwa 19 popularnych aplikacji do kontroli rodzicielskiej. Wyniki były nie tylko złe. Były katastrofalne. Żadna aplikacja nie przeszła testu bez wykrycia poważnych luk. Narzędzia zaprojektowane do ochrony Twoich danych faktycznie je wyciekają. Lub, co gorsza, przekaż je każdemu, kto ma podstawowe umiejętności hakerskie.
„Żadna z 19 przetestowanych aplikacji nie była pozbawiona poważnych luk w zabezpieczeniach.”
To nie jest tylko raport o drobnym błędzie. Jest to awaria strukturalna. Przekazujemy hasła, dane o lokalizacji i historię przeglądania oprogramowaniu, które nie może nawet bezpiecznie zamknąć swoich drzwi. Ironią jest to, że rodzice instalują te aplikacje, aby stworzyć bezpieczną bańkę wokół swoich dzieci. Zamiast tego otwierają lukę prawną dla cyberprzestępców.
W jaki sposób te aplikacje zagrażają Twojej sieci
Możesz pomyśleć, że skoro aplikacja jest zainstalowana na telefonie Twojego dziecka, zagrożone są tylko jego dane. Mylisz się. Wiele z tych aplikacji żąda nadmiernych uprawnień. Mają dostęp do kontaktów. Potrafią czytać wiadomości. Mogą śledzić lokalizację w czasie rzeczywistym. Jeśli w samej aplikacji występuje luka w zabezpieczeniach, dostęp staje się backdoorem.
Hakerzy nie muszą odgadywać Twojego hasła. Wystarczy, że wykorzystają lukę w oprogramowaniu do kontroli rodzicielskiej. Będąc już w środku, nie tylko oglądają wideo. Trafiają do Twojej sieci domowej. Znajdują się one obok Twoich danych finansowych. Są bliskie Twojej osobowości.
Badanie wskazuje na niepokojącą tendencję. Programiści przedkładają funkcje nad bezpieczeństwo. Dodają śledzenie GPS, limity czasu wyświetlania i filtry treści. Rzadko inwestują w podstawowe szyfrowanie lub bezpieczne praktyki programistyczne. Rezultatem jest produkt, który wygląda bezpiecznie na zewnątrz, ale gnije w środku.
Które aplikacje nie przeszły testu?
W badaniu skupiono się na 19 konkretnych zastosowaniach. Na liście znajdują się niektóre z najczęściej pobieranych tytułów w tej kategorii. Takie marki jak Qustodio, Bark, K9 Web Protection, Net Nanny, Norton Family, FamilyTime, mSpy, Cocospy, Find My Kids, FamiSafe, KiddieGuard, MobileGuard, NetNanny, NetNanny, NetNanny, NetNanny… czekaj. Lista jest długa. Obejmuje zarówno opcje bezpłatne, jak i premium.
Nie ma znaczenia, czy płacisz 5 dolarów miesięcznie, czy otrzymujesz aplikację za darmo. Luki w zabezpieczeniach są wszechobecne. Niektóre aplikacje zapisywały dane na urządzeniu w postaci zwykłego tekstu. Inni używali słabych kluczy szyfrujących. Część nie sprawdzała komunikacji z serwerem. Oznacza to, że każdy atakujący korzystający z tej samej sieci Wi-Fi może potencjalnie przechwycić dane wysyłane do panelu sterowania rodzica.
Dlaczego bezpieczeństwo stało się sprawą drugorzędną
Źródłem problemu jest proces rozwoju. Wiele z tych firm nie zajmuje się oprogramowaniem
Rodzice chcą po prostu chronić swoje dzieci. Rozumiesz to. Naturalne obawy związane ze złym wpływem w Internecie, obcymi nieznajomymi na ulicy lub „cyfrowym detoksem”, który próbujesz narzucić, skłaniają wiele osób do instalowania aplikacji do kontroli rodzicielskiej. Chcą mieć wgląd w cyfrowe życie swojego dziecka.
Po zainstalowaniu aplikacje te zapewniają wirtualny dostęp do smartfona Twojego dziecka. Możesz śledzić jego drogę do szkoły w czasie rzeczywistym. Możesz przeglądać swój kanał na Instagramie. Możesz nawet zdalnie zablokować swoje urządzenie. To poczucie bezpieczeństwa. To uczucie spokoju ducha.
Iluzja bezpieczeństwa
Dostawcy obiecują ochronę. Jednak oprogramowanie stale spotyka się z krytyką z powodu naruszeń prywatności. Niemieckie Stowarzyszenie na rzecz Ochrony Dzieci (Kinderschutzbund ) nazywa to naruszeniem prywatności. Zwolennicy danych ostrzegają przed lukami w zabezpieczeniach.
Ich obawy są uzasadnione.
Testy przeprowadził Instytut Fraunhofera ds. Technologii Informatycznych ds. Bezpieczeństwa. Nie patrzyli tylko na twierdzenia marketingowe. Przestudiowali kod. Instytut św. Augustyna przeanalizował 19 popularnych programów śledzących. Nie są to produkty niszowe. To są aplikacje głównego nurtu. Same wersje Sklepu Google Play zostały pobrane miliony razy.
Ale w jaki sposób faktycznie przetwarzają gromadzone przez siebie wrażliwe dane?
Możliwy pełny nadzór
Wyniki były przerażające. We wszystkich 19 aplikacjach stwierdzono poważne wady. Żaden z nich nie był bezpieczny.
Badacze odkryli, że dane użytkowników były przeważnie przechowywane na serwerach w postaci zwykłego tekstu. Brak odpowiedniego szyfrowania. Jeśli nie wiedziałeś, jak zabezpieczyć backend, nie zrobiłeś tego.
„Musieliśmy po prostu wejść na konkretną stronę internetową i wpisać nazwę użytkownika w adresie URL” – powiedział lider projektu Siegfried Rasthofer. – Albo po prostu zgadnij.
Po otrzymaniu imienia otrzymałeś profil ruchu.
Skala problemu okazała się większa niż pojedyncze wycieki. Zespół znalazł dane dotyczące więcej niż jednego dziecka. Mogli odczytać pełne profile ruchu wszystkich użytkowników.
„Dzięki temu można śledzić tysiące ludzi w czasie rzeczywistym” – powiedział Rasthofer.
Nie chodzi tylko o metadane. Atakujący widzą więcej niż tylko lokalizację telefonu. Mogą odbierać wiadomości SMS. Mogą pobierać obrazy. To jest pełny nadzór.
Dane logowania ujawnione
Szkody nie ograniczały się do danych lokalizacyjnych. Zespół wyodrębnił także dane logowania do samych aplikacji. W większości przypadków hasła te były przechowywane bez szyfrowania. Albo szyfrowanie było tak słabe, że nie miało to znaczenia.
Badacze odkryli 37 luk w zabezpieczeniach aplikacji. To średnio prawie dwie poważne wady na aplikację.
Powiadomili twórców. Powiadomili Sklep Google Play.
Reakcja była mieszana. W rezultacie usunięto 12 z 19 aplikacji. A co z resztą? Cisza. Brak reakcji. Żadnych poprawek.
Obietnica bezpieczeństwa jest zbudowana na piasku. I piasek wsiąka.
Jak faktycznie chronić dzieci
Jeśli aplikacje do kontroli rodzicielskiej są tak zawodne, jaka jest alternatywa? Technologia sama w sobie nie jest wrogiem. Problem leży w implementacji. Jednak dopóki kod nie zostanie naprawiony, poleganie na tych narzędziach jest ryzykowne.
Dlaczego to ma znaczenie? Ponieważ jeśli haker może uzyskać dostęp do konta rodzica, może uzyskać dostęp do konta dziecka. To ulica dwukierunkowa. Bezbronność nikogo nie chroni.
Które aplikacje są bezpieczne? W badaniu nie wymieniono nazwisk tych, którzy przeżyli. Mówiono tylko, że większość nie zdała egzaminu. Założenie, że wysoko oceniana aplikacja jest bezpieczna, jest ryzykowne.
Gdzie należy przesunąć ostrość? Od nadzoru technicznego po umiejętności cyfrowe. Nauczenie dziecka rozpoznawania zagrożeń jest trudniejsze niż zainstalowanie aplikacji. Ale daje trwałe rezultaty. Aplikację można zhakować. Nawyku ostrożności nie ma.
Przemysł technologiczny sprzedaje kontrolę jako opiekę. Kiedy jednak mechanizm kontroli jest przejrzysty dla hakerów, troska staje się ostentacyjna. Nie ukryjesz swojego dziecka przed ciemnością. Po prostu dajesz mu latarkę ze złamanym ciałem.
Dopóki szyfrowanie nie dogoni ambicji, najbardziej bezbronni mogą być rodzice oglądający ekrany. Dane już tam są. Czekają na odgadnięcie.