Mobil veb-saytlar smartfon sensorlariga ruxsatsiz kirish huquqiga ega

Alexa Top 100,000 ro’yxatidagi 3500 dan ortiq veb-saytlarda mobil qurilmadagi bir yoki bir nechta sensorlarga kirish imkonini beruvchi skriptlar mavjud.

Ilovalar odatda telefon sensorlariga (harakat, yorug’lik va boshqalar) kirish uchun ruxsat so’rashadi, ammo bu qoida mobil brauzerlarga yuklangan veb-saytlarga taalluqli emasligini bir nechta Amerika universitetlarining tadqiqotchilari aniqladilar. Mobil veb-saytlar ko’pincha smartfon va planshetlardagi turli sensorlarga hech qanday bildirishnomalar yoki ruxsatnomalarsiz kirishadi. Tadqiqotchilarning fikriga ko’ra, Alexa Top 100,000 ro’yxatidagi 3500 dan ortiq veb-saytlarda mobil qurilmadagi bir yoki bir nechta sensorlarga kirish imkonini beruvchi skriptlar mavjud va bildirishnoma yoki ruxsat so’rash mexanizmi yo’qligi sababli, bunday faoliyat foydalanuvchilar uchun ko’rinmas bo’lib qolmoqda.

Yorug’lik, harakat, orientatsiya yoki yaqinlik sensori ma’lumotlariga ruxsatsiz kirishning o’zi foydalanuvchining shaxsini yoki qurilmasini buzish uchun yetarli emas. Bundan tashqari, kirish faqat foydalanuvchi sahifani ko’rayotgan paytda mavjud bo’ladi, fonda emas. Biroq, tadqiqotchilar zararli veb-saytlar holatida bu ma’lumot turli xil hujumlarda ishlatilishi mumkinligini ta’kidlaydilar. Masalan, tajovuzkor foydalanuvchi ko’rayotgan veb-sahifalarni aniqlash uchun yorug’lik sensori ma’lumotlaridan foydalanishi yoki PIN-kodlarni aniqlash uchun harakat sensori ma’lumotlaridan keylogger sifatida foydalanishi mumkin.

Tadqiqotchilar to’qqizta mobil brauzerni (Chrome, Edge, Safari, Firefox, Brave, Focus, Dolphin, Opera Mini va UC Browser) sinovdan o’tkazdilar va ularning barchasi veb-sahifalarga ruxsatsiz harakat va yo’nalish sensorlariga kirishga ruxsat berishini aniqladilar. Tadqiqot vaqtida Firefoxning turli versiyalari ham yaqinlik va atrof-muhit yorug’ligi sensorlariga kirishga ruxsat bergan edi (ishlab chiquvchilar muammoni Firefox 60 da hal qilishdi).

Ba’zi skriptlar zararsiz maqsadlarga xizmat qilgan bo’lsa-da, taxminan 1200 ta veb-sayt kuzatuv va tahlil qilish uchun sensor ma’lumotlaridan foydalangan. Harakat sensorlariga kirgan tahlil qilingan skriptlarning jami 63% brauzerlarni aniqlash va kuzatish uchun ham ishlatilgan.

Ilgari Genuya universiteti (Italiya) va fransuz tadqiqot instituti EURECOM tadqiqotchilari mashhur parol saqlash dasturlarining Android versiyalari soxta va rasmiy ilovalarni ajrata olmasligini va shu bilan fishing hujumlari uchun yangi imkoniyat yaratishini aniqladilar.