В облаке мобильных устройств под управлением операционной системы Android хранится намного больше данных: резервные копии
[918] и данные приложений (в том числе журналы звонков, SMS-сообщений, история браузера и поисковых запросов, а также маркеры аутентификации отдельных приложений), синхронизированные данные (контакты, заметки, календари и т. п.), пароли Chrome (без защиты), детализированная история местонахождения устройств за все время использования, почта Gmail и др.
Примечание. В устройствах компании Samsung используется не связанное с Google облачное хранилище. Там хранятся резервные копии, фотографии, данные приложения Samsung Health, резервные копии часов и трекеров Samsung. А в облаке Xiaomi Mi Cloud, помимо прочего, хранятся контакты и SMS-сообщения.
Важно обратить внимание: сквозное шифрование используется при сохранении в облаке резервных копий в Android 9 и более поздних версиях
[919]. В этом случае данные может расшифровать только сам пользователь. Ранние версии операционной системы Android не предусматривают сквозного шифрования резервных копий в облаке.
В операционной системе iOS сквозное шифрование не используется (копии в облаке шифруются, но ключами дешифровки также располагает компания Apple), поэтому данные могут предоставляться государственным организациям по их запросу
[920]. В этом случае для надежной защиты данных их резервные копии следует создавать с помощью приложения iTunes (macOS Mojave 10.14 и ранее или Windows) либо Finder (macOS Catalina 10.15 и поздние версии) на компьютере, установив флажок «Зашифровать локальную копию» (по умолчанию копии не шифруются)
[921].
Помимо прочего, следует пристально следить за данными, которые публикуются в облачных хранилищах вне зашифрованных резервных копий.
Примечание. В некоторых случаях злоумышленники могут в погоне за особенно ценными для них конфиденциальными данными, находящимися на мобильном устройстве, внедрить в него аппаратные компоненты для перехвата информации. Согласно данным, полученным исследователями из Университета имени Бен-Гуриона
[922], внедрить такие компоненты для реализации так называемой атаки chip-in-the-middle относительно несложно. После компрометации модифицированный сенсорный экран (если пользователь обратился для замены разбитого экрана) может фиксировать пароли для разблокировки устройства, камера – делать снимки (без уведомлений) и отсылать их на удаленный сервер
[923].
Незащищенные интернет-соединения
Современный смартфон или планшет нельзя представить без доступа к интернету через беспроводные сети, такие как 4G или Wi-Fi. Вопросы безопасности подключения к таким сетям мы обсуждали ранее в этой книге, в частности в главе о безопасном интернете. Как и в случае с компьютерами, следует уделять пристальное внимание защите соединений и устройств для доступа в интернет, таких как точки доступа Wi-Fi. Особенную опасность представляют собой бесплатные публичные точки доступа, трафик с которых может перехватываться злоумышленником. В общедоступных Wi-Fi, а также корпоративных и прочих сетях, где вы не можете быть уверены в защите передаваемого трафика, нельзя использовать персональные данные и особенно производить банковские транзакции. Вместо оригинального интерфейса веб-службы может быть отображен фишинговый с целью кражи логина и пароля; банковские реквизиты, как и любые другие особо важные данные: Ф.И.О., сведения о возрасте, электронные и почтовые адреса и т. п. могут быть перехвачены.
Если крайне необходимо передать важные персональные данные через общедоступную сеть, необходимо использовать надежный VPN-сервис. Такая служба организует защищенный виртуальный канал для передачи данных в зашифрованном виде. При этом важно отметить, что не каждый VPN-сервис безопасен. Многие из них, особенно бесплатные, открывают доступ к данным своих пользователей для третьих лиц, а также требуют разрешения получать конфиденциальные данные клиентов – информацию о местоположении, идентификаторы устройств, список контактов, содержимое сообщений, системный журнал и файлы, хранящиеся в памяти.
КЕЙС Команда специалистов с ресурса The Best VPN протестировала 81 VPN-приложение для мобильных устройств под управлением операционной системы Android, проверив запрашиваемые ими разрешения
[924]. Выяснилось, что больше половины из них пытаются получать доступ к конфиденциальным данным пользователя. Так, 27 приложений требовали доступ к чтению и записи файлов в памяти (в том числе на SD-карте) устройства, 18 пытались узнать номер телефона и информацию о вызовах, 16 для определения местоположения запрашивали сведения о подключенных Wi-Fi-сетях и базовых станциях, а 9 пытались выяснить точную геопозицию устройства. Сводная таблица со списком VPN-сервисов с запрашиваемыми ими обычными и опасными разрешениями доступна на странице https://thebestvpn.com/android-vpn-permissions/.
Карты памяти
Угроза кражи данных особенно актуальна для устройств с разъемом для карт памяти (компания Apple предусмотрительно не допускает использование съемных карт памяти в своих устройствах, взамен предоставляя каждому владельцу пространство в облачном хранилище). По данным на июнь 2020 г., около 75 %
[925] используемых в мире смартфонов работало под управлением операционной системы Android. Свыше 90 % из них были оборудованы слотом для карты памяти, причем на многих из них не использовалось шифрование данных на съемных носителях, т. е. информация, находившаяся на множестве устройств, могла быть похищена.
Чаще всего владелец смартфона настраивает устройство так, чтобы все данные хранились на отдельной карте памяти, а внутренняя память гаджета оставалась свободной. Многие приложения, например мессенджеры типа WhatsApp, могут устанавливаться и хранить данные, в том числе мультимедийные файлы, в незашифрованном виде на карте памяти. Некоторые устройства также используют карты памяти для записи резервных копий установленных приложений, часто без достаточно надежного шифрования. Для получения доступа к таким данным злоумышленнику не потребуется взламывать и даже похищать сам девайс: достаточно извлечь карту памяти и установить ее в другое устройство. В ряде моделей для доступа к карте памяти не нужно даже снимать крышку смартфона и аккумуляторную батарею: достаточно тонким предметом типа скрепки открыть крышку на корпусе, под которой находится соответствующий разъем.
