Onderzoek: Populair Android-keyboard stuurt privédata door
Een zeer populair Android-keyboard met 200 miljoen installaties stuurt privégegevens van gebruikers door, ook al zegt de ontwikkelaar dat er geen privédata wordt verzameld. Dat stellen onderzoekers van securitybedrijf AdGuard aan de hand van eigen onderzoek.
Het gaat om de app "GO Keyboard", waar in de Google Play Store twee versies van bestaan met elk tussen de 100 miljoen en 500 miljoen downloads. Volgens de ontwikkelaar "GOMO Dev Team" zal de app nooit persoonlijke informatie van gebruikers verzamelen. Volgens AdGuard communiceert de app met tientallen third-party trackers en advertentienetwerken en verzamelt het zonder toestemming allerlei gegevens van gebruikers. Het gaat dan om het Google-adres, taal, locatie, netwerktype, Android-versie en andere informatie.
Ook downloadt de app kort na de installatie code van een remote server. Het gaat dan om plug-ins die door meerdere virusscanners als adware en potentieel ongewenste software worden bestempeld. De onderzoekers waarschuwen verder dat de uitgebreide permissies die de app vraagt ervoor zorgen dat de app op elk moment ook andere informatie kan verzamelen, niet alleen het e-mailadres van de gebruiker. De app heeft namelijk toegang tot contacten, gesprekslogbestanden, de microfoon en ziet alles wat gebruikers op het toetsenbord typen. AdGuard waarschuwde Google, maar beide versies van het toetsenbord zijn nog steeds in de Google Play Store te vinden.
Google wist ervan en laat deze app gewoon in de playstore staan????!!!
Het zal Google werkelijk een biet wezen wie welke data verzameld, een belangrijke reden om zo ver mogelijk bij Google weg te blijven.
Bij Android krijg je de vraag of al die rechten ingeschakeld mogen worden tijdens de installatie. Achteraf kun je alle rechten in en uit schakelen (vanaf Android 6). Ik vind het standaard Android keyboard prima werken. Zal vast wel e.e.a. doorsturen naar Google...
(het lek was al op 21 september of nog eerder ontdekt)
Bij android krijg je gewoon netjes een melding. Zodra jij een custom keyboard inschakelt (dit moet handmatig) dan laat hij een bericht zien waarin onder andere staat "deze app kan al uw wachtwoorden en getypte text onderscheppen"
Wel een overbodige melding. Als je een custom keyboad installeert verwacht je dat hij toetsaanslagen detecteert. Dat is zo ongeveer de functie ervan.
Wel een overbodige melding. Als je een custom keyboad installeert verwacht je dat hij toetsaanslagen detecteert. Dat is zo ongeveer de functie ervan.
Niemand garandeert mij dat welk besturingssysteem dan ook (MS Windows, Mac OS, iOS of Android) geen toetsaanslagen doorstuurt inclusief wachtwoorden. Dan blijven alleen Open Source systemen over want die zijn te controleren via de source code.
Wel een overbodige melding. Als je een custom keyboad installeert verwacht je dat hij toetsaanslagen detecteert. Dat is zo ongeveer de functie ervan.
Onderschat trouwens ook niet je eigen vermogen om verbanden niet te zien die voor anderen weer evident zijn. Mensen variëren enorm in waar ze goed en slecht in zijn, en dat is maar goed ook: als iedereen ongeveer hetzelfde kon was de mensheid lang niet zo ver gekomen als ze is gekomen.
Wel een overbodige melding. Als je een custom keyboad installeert verwacht je dat hij toetsaanslagen detecteert. Dat is zo ongeveer de functie ervan.
Niemand garandeert mij dat welk besturingssysteem dan ook (MS Windows, Mac OS, iOS of Android) geen toetsaanslagen doorstuurt inclusief wachtwoorden. Dan blijven alleen Open Source systemen over want die zijn te controleren via de source code.
Er wel vanuitgaande dan dat je alles zelf compileerd vanaf die gecontroleerde source omdat de binary en de source in een distributie niet gelijk hoeven te zijn.
Succes ermee.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
