Безопасность видеочатов: кто в вашей Houseparty?

Число пользователей приложений для видеочатов, таких как Houseparty, за последние несколько месяцев значительно выросло: люди по всему миру проводят больше времени дома и чаще общаются с друзьями и коллегами онлайн. Когда компании растут так быстро, защита пользователей нередко отстаёт. Давно существующие приложения для общения, встроенные в платформы, такие как WhatsApp, iMessage и FaceTime, как правило, надёжны: ими пользуются миллиарды людей, и поэтому они прошли немало проверок и тестов.

Более мелкие и новые видеоплатформы такой проверки не проходили, и в последнее время безопасность некоторых видеоприложений ставится под сомнение. Мы уже подробно писали о том, как компании на законных основаниях собирают ваши данные, как оставаться в безопасности в интернете и что делать, если ваши аккаунты взломаны. В этой статье я коротко рассмотрю Houseparty, риски, связанные с её использованием, и простые шаги, которые помогут не делиться тем, что вы предпочли бы сохранить в тайне.

4 риска, с которыми сталкиваются все пользователи: кража данных, чрезмерная откровенность или отслеживание данных и слабая защита

В целом при использовании подобных видеоприложений пользователи сталкиваются с четырьмя рисками:

1. Неприемлемый контент и слабый родительский контроль.
2. Умышленная и незаконная кража данных непосредственно компанией, выпускающей приложение.
3. Умышленная передача или отслеживание данных, которые законны, но часто неожиданны.
4. Доступ других людей к вашим личным данным из-за небрежности в защите приложения или взломов, ставших следствием слабой защиты приложения.

Давайте посмотрим, насколько вероятен каждый из них.

На главной странице Houseparty приложение позиционируется как социальная сеть, но в нём нет функций родительского контроля, которых пользователи вправе ожидать от социальной сети. В рекламном описании приложения в Google Play Store сказано, что оно «truly the next best thing to hanging out in person». Это почти так: для детей, использующих Houseparty, это как провести время лично, но с неприятным взрослым, который задаёт им вопросы о сексе.

При регистрации в Houseparty все пользователи должны указать дату рождения, и приложение хранит эти сведения под рукой, пока работает: оно регулярно передаёт дату рождения пользователя используемым в приложении продуктам для отслеживания. Новейшая функция Houseparty и суть планов по монетизации — серия встроенных викторин, которые не учитывают возраст пользователя.

При выборе викторины всем пользователям показывают один и тот же список, где викторина 18+ «Slang terms» стоит третьей, даже для несовершеннолетних. Мы не касаемся в этом блоге контента для взрослых, поэтому не будем вдаваться в подробности, но в викторинах немало крайне неподходящего для детей материала: аббревиатуры бранных выражений, что на самом деле происходит в стрип-клубах, упоминания наркотиков от героина до марихуаны и разнообразные описания секса и гениталий. Да, и ещё есть материалы про Jeffrey Dahmer.

В App Store от Apple приложение Houseparty помечено как подходящее для «12+», а в рекламе в Google Play Store — как подходящее для «Teen». Встроенных функций родительского контроля в приложении нет.

Многие родители вполне обоснованно беспокоятся о том, с чем сталкиваются их дети в интернете и в приложениях, и ряд сайтов рецензирует приложения и даёт такие рекомендации. В Великобритании такую услугу оказывает некоммерческая организация Internet Matters при поддержке BT, Sky и других. Сейчас организация активно продвигает свои рекомендации по Houseparty, поясняя, что для их подготовки она работает с индустрией, правительством и школами.

Такие сервисы — важный ресурс для родителей, но в случае Internet Matters, похоже, проверка была проведена слабо или не проводилась вовсе. Их советы родителям крайне ограничены, в основном это общее предупреждение об опасности незнакомцев в видео, а завершается всё призывом к родителям скачать приложение.

Беглое чтение условий использования Houseparty подсказало бы любому разумному эксперту, что приложение не соответствует GDPR, не имеет родительского контроля и заявляет права на всё, чем пользователи делятся в приложении. Это, наряду с викторинами 18+, важно донести до родителей. Предоставляя такой контент, Internet Matters оказывает медвежью услугу обеспокоенным родителям по всему миру.

Internet Matters — не единственный сервис, публикующий успокаивающие страницы о приложениях, которые не были должным образом проверены, но мы решили выделить именно его, потому что по состоянию на 2 апреля он всё ещё вкладывается в продвижение вводящего в заблуждение контента, несмотря на то что как минимум один пользователь публично сообщил о своих опасениях.

Мы считаем, что подобные сервисы должны заметно указывать, какие шаги они предпринимают при проверке приложений, и добавлять чёткую оговорку, если проверка была поверхностной и опиралась лишь на маркетинговые материалы, а не на изучение условий или самого продукта. Таким сервисам стоит рассмотреть возможность снимать свои материалы после обновления продуктов и услуг, пока материалы не будут адекватно отражать текущее состояние приложения. (Рекомендации Internet Matters последний раз обновлялись 24 декабря 2019 года, тогда как Houseparty ввела викторины примерно за 11 месяцев до этого, в январе 2019 года.)

Отслеживание, отслеживание повсюду...

А как насчёт законной, но неожиданной передачи личных данных? В Houseparty здесь кое-что происходит.

Риск незаконной кражи данных крайне низок. У материнской компании Houseparty чёткие бизнес-модели, не предполагающие этого, а штаб-квартира находится в стране с достойными законами о защите данных. Houseparty принадлежит Epic Games. Ничто не указывает на то, что компания стала бы красть данные пользователя, а попасться на этом было бы для неё контрпродуктивно.

Houseparty — не платный продукт, и модель получения дохода сейчас неясна. Это веская причина с осторожностью относиться к тому, что приложение может отслеживать. Однако на данный момент мы не видели никаких доказательств того, что Houseparty взломали или что она допускает утечки информации.

Историй в Twitter недостаточно...

В Twitter много сообщений от пользователей, утверждающих, что после использования Houseparty у них опустошили банковские счета, взломали аккаунты Spotify или раскрыли электронную почту, но все эти сообщения основаны на отдельных случаях и ненадёжны. Многие используют легко угадываемые пароли и постоянно становятся жертвами взлома: Security Magazine рассказывал об исследовании Университета Мэриленда, согласно которому хакеры атакуют каждые 39 секунд, а данные Gemalto говорят о том, что каждую секунду похищается 291 запись.

Для наглядности: защита Apple в целом непробиваема, но время от времени всё равно появляются утверждения, что Apple взломали; в Twitter в любой момент легко найти любое количество чудаков, заявляющих об этом. Голословные обвинения ничего не доказывают.

Тем временем Houseparty утверждает, что третья сторона ведёт против неё кампанию клеветы:

Houseparty также заявила:

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

Но в какой-то мере это игра слов: любой разумный продукт не собирает и не хранит пароли, а использует токены аутентификации. Когда пользователи связывают аккаунты Houseparty с Facebook, Spotify или Snapchat, приложение Houseparty получает доступ к токенам аутентификации или обмена данными для этих аккаунтов и потенциально может их хранить, и нет указаний на то, хранятся ли они. В хранении таких токенов нет ничего принципиально необычного, но остаётся важный вопрос: синхронизирует ли Houseparty контакты с Facebook только при регистрации или хранит токен аутентификации Facebook, чтобы синхронизировать контакты и другие данные аккаунта в будущем? Их твит этого не исключает.

Безопасность и использование данных в Houseparty: подробнее

ESET изучила приложение Houseparty для Android и пришла к выводу, что оно выглядит в целом нормально. Мы изучили приложение Houseparty для iOS и то, как оно хранит данные, а также некоторые договоры и юридические формулировки, связанные с сервисом. Мы выделили несколько заметных находок из приложения com.herzick.houseparty, как оно называется:

• Сейчас Houseparty интегрируется с Facebook, как это делал Zoom. Интеграция предполагает передачу Facebook некоторых данных об использовании. Формально она нужна для приглашения друзей из Facebook, а отслеживание — неизбежное следствие, если пользователи решают подключиться к Facebook.
• Houseparty хранит и кэширует на устройствах пользователей адреса фидов для самых разных данных конфигурации. Например, там есть путь ко всем вопросам и ответам для викторины Houseparty «fun fact». Судя по всему, он остаётся на телефоне каждого пользователя вместе с множеством других фидов.
• Приложение Houseparty кэширует некоторые «Facemails», которые получают пользователи. Их можно найти в Library/Application Support/Prefetch-Facemails, и они хранятся в формате mp4. (Если хотите посмотреть сами, вам поможет этот документ.)
• О телефоне пользователя сохраняется немало данных для отслеживания, скорее всего для снятия цифрового отпечатка устройства. Как и Netflix, Houseparty хранит user-agent устройства (то есть Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148), но также сохраняет значения вроде bnc_device_fingerprint_id, которые помогают со временем определять устройства, использующие сервис Снятие цифровых отпечатков устройств — повсеместная практика, против которой Apple неоднократно принимала меры, и Houseparty, похоже, не использует рекомендуемые Apple идентификаторы отслеживания IDFA / IDFV. Вероятно, потому что они снижают эффективность отслеживания!
• Как ни удивительно, резервные копии приложения Houseparty включают полную базу данных журналирования и отслеживания приложения. В ней только собственные данные пользователя, но она очень подробна и содержит самые разные детальные данные, которым не место в резервной копии.

Мы подозреваем, что Houseparty не прошла бы сторонний аудит безопасности без замечаний хотя бы по некоторым из этих пунктов, поэтому то, что они сохраняются в текущей версии приложения, нас тревожит. Подтверждение того, что Houseparty проходила сторонний аудит безопасности, вселило бы уверенность.

Читаем мелкий шрифт...

Наконец, обратившись к политике конфиденциальности и юридическим формулировкам Houseparty, мы увидели несколько вещей, которые нас насторожили. Во-первых, нет политики ответственного раскрытия уязвимостей. Это документ, описывающий, как компания реагирует, когда исследователь безопасности обнаруживает проблему. Обычно такие политики предусматривают вознаграждение нашедшему при условии, что он ответственно сообщит о проблеме компании, чтобы её можно было исправить.

Без такой политики исследователям безопасности обычно приходится писать на почту службы поддержки, когда они находят проблемы, а пробиться через службу поддержки к команде безопасности компании, как известно, очень трудно. Если бы мы нашли в приложении что-то по-настоящему ужасное, политика раскрытия дала бы нам место, куда легко сообщить о находке. (Для сравнения: вот политика раскрытия уязвимостей Reincubate.)

Кажется поистине поразительным, что Houseparty предлагает вознаграждение в 1 млн долларов (без каких-либо чётких условий!) за доказательства кампании клеветы на её безопасность, но не объявляет никакого вознаграждения за ответственное раскрытие проблем безопасности платформы.

В условиях использования Houseparty есть тревожные моменты: нет вообще никаких упоминаний Safe Harbor / Privacy Shield или GDPR, что говорит о небрежном отношении к защите пользователей и потенциально может создать компании юридические трудности с европейскими регуляторами по защите данных. Более того, несоответствие GDPR может означать, что и сами компании, использующие такие сервисы, нарушают законодательство о защите данных, что может вызвать претензии их собственных клиентов. Одно из свидетельств того, что о GDPR не думали: пользователи могут лишь отказаться от маркетинга, а это нарушает европейское законодательство GDPR, которое требует, чтобы такие возможности были «opt-in», то есть требовали согласия при регистрации. Отказаться от остального сбора данных тоже нельзя.

Условия Houseparty включают следующее:

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

Мы не юристы, но здесь, похоже, возникают вопросы интеллектуальной собственности: если вы рассказываете о своей бизнес-идее или продукте, Houseparty вправе взять всё, что вы обсуждали, чтобы разработать собственный продукт или продать информацию третьей стороне. Это также наводит на мысль, что сервис может сохранять часть содержимого сообщений, а в этом случае он может нарушать европейские законы о мониторинге коммуникаций.

В их условиях есть и такая формулировка, которая предлагает пользователям написать в Houseparty, чтобы отказаться от нежелательных маркетинговых рассылок:

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Все эти проблемы конфиденциальности Houseparty резко контрастируют с известными мессенджерами, такими как FaceTime, iMessage, WhatsApp, Zoom и Slack. У WhatsApp есть отличный набор документации и политик по конфиденциальности. Даже Zoom заявляет: «Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes». Slack ясно даёт понять, что использует данные клиентов только для предоставления сервиса и хранит их в соответствии с пожеланиями клиента (например, некоторые бизнес-тарифы предусматривают архивирование).

Что делать, если вас беспокоит ваша безопасность

Если вас беспокоит безопасность в интернете или использование Houseparty, рекомендуем выполнить следующие шаги.

• Удаления Houseparty недостаточно, чтобы удалить ваши данные из их сервиса. Сервис может по-прежнему хранить ваш номер телефона, имя, загруженный список контактов и токены аутентификации. В их условиях предлагается написать на hello@houseparty.com, чтобы отказаться от маркетинга и удалить свои данные. Странно, что адрес data-requests@lifeonair.com упоминается позже, но не для запросов о данных!
• Пользоваться Houseparty можно, не делясь почти ничем, кроме номера телефона. Интеграции с Facebook, Snapchat и Spotify необязательны, как и загрузка списка контактов. Мы рекомендуем ничего из этого не делать, а добавлять друзей вручную.
• Пользуясь Houseparty, помните, что гости могут зайти в комнату в любой момент. Другие пользователи получают уведомление, что вы в сети, как только вы открываете приложение. Будьте осторожны! По умолчанию комнаты не заперты, а значит, зайти может любой, кого вы добавили. В Twitter полно сообщений о пользователях, удивлённых тем, что начальник заглянул к ним в Houseparty, пока они принимали ванну! Это можно изменить в настройках Houseparty.
• Как и в случае любого онлайн-сервиса, мы рекомендуем принять простой набор мер предосторожности для безопасности в интернете. Мы подводим их итог в конце этой статьи и приводим подробные советы по безопасности для пользователей Apple.