Meerdere populaire Chinese cloudgebaseerde keyboard-apps lekken de toetsaanslagen van wel een miljard gebruikers, zo waarschuwen onderzoekers van CitizenLab op basis van eigen onderzoek (pdf). Daarbij sluiten de onderzoekers niet uit dat inlichtingendiensten en autoriteiten hier misbruik van maken voor het surveilleren van gebruikers. Voor het onderzoek werden keyboard-apps van Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo en Xiaomi geanalyseerd. Het gaat om apps voor Android, iOS en Windows.

Acht van de negen apps bevatten kritieke kwetsbaarheden waardoor de inhoud van wat gebruikers typen tijdens het versturen ervan is te achterhalen. Het probleem wordt veroorzaakt doordat de fabrikanten hun eigen encryptiemethodes bedachten, in plaats van gevestigde standaarden te volgen. "Het mantra "don’t roll your own crypto" is misschien algemeen bekend bij in het Engels getrainde cryptografen, maar in de vertaling verloren gegaan", aldus de onderzoekers.

In veel gevallen volstaat het passief afluisteren van het netwerkverkeer om toetsaanslagen af te luisteren. De negen betreffende fabrikanten werden ingelicht, waarop de meesten met een oplossing kwamen. Sommige van de keyboard-apps zijn echter nog steeds kwetsbaar. Daarnaast zijn er ook gebruikers van wie de telefoon geen updates meer ontvangt. "Daardoor blijven veel gebruikers van deze apps voor de nabije toekomst mogelijk onder massasurveillance", stellen de onderzoekers.

"Gegeven de aard van deze kwetsbaarheid, de gevoeligheid van wat gebruikers op hun apparaten typen, het gemak waarmee de kwetsbaarheden zijn te ontdekken, en dat de Five Eyes eerder soortgelijke kwetsbaarheden in Chinese apps voor surveillance hebben gebruikt, is het mogelijk dat massasurveillance heeft plaatsgevonden op de toetsaanslagen van gebruikers", merken de onderzoekers verder op.

Voor het typen van Chinese karakters op een toetsenbord wordt meestal gebruikgemaakt van een Input Method Editor. Deze editors bieden verschillende manieren voor het invoeren van Chinese karakters. De populairste methode is de pinyin-methode. Wanneer gebruikers hun app gebruiken en een Chinees karakter op het scherm tekenen, zal een cloudgebaseerde service suggesties voor een karakter doen als er bijvoorbeeld geen suggesties in de lokale database zijn gevonden.

De apps blijken de toetsaanslagen van gebruikers echter op onveilige manieren naar de cloudserver te versturen. "Dit houdt in dat als je één van deze keyboard-apps gebruikt, je internetprovider, vpn-provider of andere gebruikers op hetzelfde wifi-netwerk als jij, de toetsaanslagen van wat je aan het typen bent kunnen achterhalen", zo waarschuwen de onderzoekers. Alleen bij de app van Huawei werden geen beveiligingsproblemen aangetroffen bij het versturen van toetsaanslagen.

Gebruikers van QQ Pinyin worden opgeroepen om meteen een andere keyboard-app te gebruiken. Daarnaast adviseren de onderzoekers het uitschakelen van de cloudgebaseerde feature. In sommige gevallen hadden de onderzoekers moeite met het updaten van hun apps. Deze apps moeten dan ook niet worden gebruikt. Verder laten de onderzoekers weten dat ze niet alle cloudgebaseerde keyboard apps hebben onderzocht, maar op basis van de kwetsbare API's het aantal veel groter is.

Massasurveillance