📊 Цифровая слежка в кармане: аудит 11 популярных российских Android-приложений

По данным habr_infosec, статический анализ и пассивный logcat без обхода SSL Pinning выявили 237 уязвимостей в 11 популярных приложениях. Шесть из них подписаны ключами RSA-1024 или DSA-1024 — по NIST это устарело ещё в 2013-м. Среди них Сбербанк, Госуслуги, Авито, Ozon Bank, VK и Яндекс Пэй. VK лидирует по риску слежки: 11 трекеров, рейтинг 98 из 100. Госключ — на другом полюсе: RSA-2048, два трекера, проверка VPN отсутствует, риск 42.4.

В пяти приложениях (VK, Т-Банк, Сбербанк, Госуслуги, Авито) заявлена проверка VPN через утечку ICE Candidate в WebRTC: реальный IP утекает даже при использовании VPN. Банки объясняют это противодействием мошенничеству, но пользователь, осознанно скрывающий IP, этого не ожидает. Отдельная находка — пара разрешений REQUEST_INSTALL_PACKAGES и UPDATE_PACKAGES_WITHOUT_USER_ACTION у Сбербанка, ВТБ и Т-Банка. Плюс MANAGE_EXTERNAL_STORAGE у первых двух. Это полноценный профиль загрузчика: читать APK из Downloads и устанавливать обновления без диалога. Законный сценарий — мини-приложения супераппа — так не реализуется.

Только VK показал реальный MitM-вектор без root: в network_security_config.xml доверие к пользовательским CA, плюс TrustAllManager в smali. Достаточно установить свой сертификат через Настройки — и трафик читается. У остальных с NSC такого нет. Госключ при этом запрашивает ровно семь опасных разрешений и не проверяет VPN. У Сбербанка и ВТБ по четыре критичных права, у RuStore — 22 экспортируемых сервиса без permission.

Меня в этом аудите цепляет не сам факт слежки, а разрыв между Госключем и банками. Если приложение с ЭЦП может обойтись без VK_SDK и без доверия пользовательским сертификатам, почему у Сбербанка ключ подписи RSA-1024, а у Т-Банка 4931 слабое криптографическое обращение? Технический долг здесь — не объяснение, а диагноз.

#Android #трекеры #RSA1024 #VK #Госключ #мобильнаябезопасность