يعرض ما يقدر بـ 24000 تطبيق أندرويد بيانات المستخدم من خلال أخطاء Firebase. وتسمح التهيئة الخاطئة الشائعة في قواعد بيانات Google Firebase للأطراف غير المصرح لها بالعثور على البيانات الشخصية للمستخدمين والوصول إليها بسهولة في آلاف التطبيقات.
يتم استخدام Firebase من قبل ما يقدر بنحو 30 بالمائة من جميع التطبيقات على متجر Google Play ، مما يجعله حل التخزين الأكثر شيوعًا لتطبيقات Android.
4.8 بالمائة من تطبيقات الجوال التي تستخدم Google Firebase لتخزين بيانات المستخدم ليست مؤمنة بشكل صحيح ، مما يسمح لأي شخص بالوصول إلى قواعد البيانات التي تحتوي على معلومات المستخدمين الشخصية والوصول إلى الرموز والبيانات الأخرى بدون كلمة مرور أو أي مصادقة أخرى.
قام فريق البحث الأمني في شركة Compareitech بقيادة Bob Diachenko بفحص 515،735 تطبيق Android ، والتي تشكل حوالي 18 بالمائة من جميع التطبيقات على Google Play.
في هذه العينة ، وجد الفريق أكثر من 4282 تطبيقًا يسرب معلومات حساسة. ما يقدر بنحو 0.83 في المائة من جميع تطبيقات Android على Google Play تسرب البيانات الحساسة من خلال Firebase أي ما يقرب من 24000 تطبيق في المجموع.
وأبلغ الفريق Google في 22 أبريل وقدم تقريرًا يوضح تفاصيل النتائج التي توصلنا إليها. ورد متحدث باسم Google على Comparitech قائلاً: “يوفر Firebase عددًا من الميزات التي تساعد المطورين لدينا على تكوين عمليات النشر الخاصة بهم بأمان. نقدم إشعارات للمطورين حول التكوينات الخاطئة المحتملة في عمليات النشر الخاصة بهم ونقدم توصيات لتصحيحها. نحن نتواصل مع المطورين المتأثرين لمساعدتهم على معالجة هذه المشكلات “.
على الرغم من أن الفريق فحص تطبيقات Android فقط على متجر Google Play ، فإن Firebase عبارة عن أداة تستخدم عبر العديد من أنظمة التشغيل والأنظمة الأساسية. من المحتمل أن تؤثر عمليات التهيئة الخاطئة هذه على العديد من التطبيقات بخلاف Android.
تم تثبيت التطبيقات الضعيفة التي حددها الفريق 4.22 مليار مرة من قبل مستخدمي Android. نظرًا لأن مستخدم الهاتف الذكي العادي لديه ما بين 60 و 90 تطبيقًا مثبتًا ، هناك احتمالات كبيرة بأن خصوصية مستخدم Android قد تم اختراقها بواسطة تطبيق واحد على الأقل.
وتضمنت البيانات المكشوفة ، على سبيل المثال لا الحصر:
- عناوين البريد الإلكتروني: 7،000،000+
- أسماء المستخدمين: 4،400،000+
- كلمات المرور: 1،000،000+
- أرقام الهاتف: 5،300،000+
- الاسم الكامل: 1830000+
- رسائل الدردشة: 6،800،000+
- بيانات GPS: 6،200،000+
- عناوين IP: 156،000+
- عناوين الشوارع: 560.000+
وأعطت معظم قواعد البيانات المكشوفة للمهاجمين حق الوصول للكتابة حيث من بين 155،066 تطبيق Firebase تم تحليلها ، كشف 11،730 عن قواعد بيانات علنية. حتى أن 9014 منهم تضمنوا أذونات الكتابة ، والتي ستسمح للمهاجم بإضافة البيانات على الخادم أو تعديلها أو إزالتها ، بالإضافة إلى عرضها وتنزيلها.
يقوم Google بفرك قواعد البيانات المكشوفة من نتائج البحث. إذ يسمح التهيئة الخاطئة الشائعة في Firebase للمهاجمين بالعثور على البيانات وسرقتها من التخزين بسهولة. بمجرد إلحاق “.json” بنهاية عنوان URL على Firebase ، يمكن للمهاجم عرض وتنزيل محتويات قواعد البيانات الضعيفة.
ويوضح تقرير ديسمبر 2019 أن Google تفرك عناوين URL لقاعدة البيانات الضعيفة هذه من نتائج البحث. ومع ذلك ، لا يزال يتم فهرستها بواسطة محركات البحث الأخرى مثل Bing.
المصدر : comparitech
