Cercetătorul francez în securitate detaliază defectul major în aplicația mAadhaar

Aadhaar a fost întotdeauna un coșmar de confidențialitate în cele mai bune cazuri, dar rapoartele recente despre încălcări grave ale datelor și ancheta ulterioară a Tribune au arătat cât de ușor este accesul persoanelor aleatorii la datele Aadhaar la un preț redus. 500. Cel mai rău aspect este că, mai degrabă decât să dețină, guvernul a intrat în modul de acoperire, negând că încălcarea s-a întâmplat chiar, chiar dacă omul din spatele acesteia a recunoscut că a vândut date Aadhaar pentru alune.

Acum, controversatul sistem de identificare este din nou sub foc, de data aceasta datorită unei anchete a unui cunoscut cercetător francez în domeniul securității Baptiste Robert, alias Elliot Anderson, care spune că aplicația mAadhaar recent lansată are probleme majore de securitate care o fac „Foarte ușor de obținut parola pentru baza de date locală”.

Anderson, pentru neinițiați, este același om care a raportat prezența APK-ului EngineerMode în OnePlus 'OxygenOS, ducând la controverse severe și reacții adverse împotriva companiei.

Potrivit lui Anderson, aplicația Aadhaar salvează toate detaliile biometrice într-o bază de date locală protejată de o parolă. În timp ce asta în sine este o practică obișnuită, faptul că dezvoltatorii de aplicații (KhoslaLabs) generează parola folosind un număr aleatoriu cu 123456789 ca semințe și un șir codat db_password_123 este ceea ce ridică acum problemele susținătorilor confidențialității. Conform unei dovezi de concept publicate de Anderson pe Github, parola generată rămâne întotdeauna aceeași, indiferent de câte ori să porniți aplicația.

Aplicația #Aadhaar #android vă salvează setările biometrice într-o bază de date locală care este protejată cu o parolă. Pentru a genera parola, au folosit un număr aleator cu 123456789 ca seed și un șir codat db_password_123 🤦‍♂️ pic.twitter.com/Ty7cPmOjAb

- Elliot Alderson (@ fs0c131y) 10 ianuarie 2018

Potrivit lui Anderson, UIDAI i-a răspuns spunând că aplicația stochează date pe dispozitivul în sine, dar acesta nu a fost niciodată punctul de dispută. Lucrurile sunt, deoarece aplicația nu „de fapt” generează o parolă aleatorie de fiecare dată, dacă îți pierzi telefonul, tipul care deține controlul asupra acestuia va avea acces la toate detaliile tale, chiar dacă te-ai deconectat din aplicație .