Мобильные сайты без разрешения получают доступ к датчикам смартфона

Более 3,5 тыс. сайтов из рейтинга Top 100 тыс. Alexa содержат скрипты, получающие доступ к одному или нескольким датчикам в мобильном устройстве.

Как правило, приложения запрашивают разрешение на доступ к датчикам телефона (датчик движения, освещенности и т.д.), однако эта норма не распространяется на web-сайты, загружаемые в мобильных браузерах, выяснила команда исследователей из ряда американских университетов. Мобильные сайты часто получают доступ к различным датчикам в смартфоне или планшете без всяких уведомлений и разрешений. По данным специалистов, более 3,5 тыс. сайтов, входящих в рейтинг Top 100 тыс. Alexa, содержат скрипты, получающие доступ к одному или нескольким датчикам в мобильном устройстве, причем в связи с отсутствием механизма уведомления и запроса разрешения подобная активность остается незаметной для пользователей.

Самого по себе несанкционированного доступа к данным датчиков освещенности, движения, ориентации или приближения будет недостаточно для компрометации личности пользователя или его устройства. К тому же, доступ сохраняется только при просмотре страницы, но не в фоновом режиме. Однако, отмечают исследователи, в случае с вредоносными сайтами данная информация может применяться в различных атаках, например, на основании данных датчика освещенности злоумышленник может вычислить просматриваемые пользователем интернет-страницы или использовать данные датчика движения в качестве кейлоггера для определения PIN-кодов.

Специалисты протестировали девять мобильных браузеров (Chrome, Edge, Safari, Firefox, Brave, Focus, Dolphin, Opera Mini и UC Browser) и обнаружили, что все они разрешают web-страницам доступ к датчикам движения и ориентации без разрешения. На момент исследования различные версии Firefox также разрешали доступ к датчикам приближения и освещенности (разработчики исправили проблему в версии Firefox 60).

Некоторые скрипты служили для безобидных целей, однако порядка 1,2 тыс. сайтов использовали данные датчиков для отслеживания и сбора аналитики. В общей сложности 63% проанализированных скриптов, которые получали доступ к датчикам движения, также использовались для идентификации и отслеживания браузеров.

Ранее специалисты Университета Генуи (Италия) и французского исследовательского института EURECOM обнаружили , что Android-версии популярных программ для хранения паролей не способны различать фальшивые и официальные приложения, тем самым создавая новую возможность для проведения фишинговых атак.