Peste 19.000 de aplicații Android dezvăluie date datorită Firebase neconfigurat

Analiștii Avast  estimează că mii de aplicații Android scurg o varietate de date din cauza unei configurări greșite a bazei de date Firebase. Cercetătorii amintesc că, datorită Firebase, datele pot fi stocate într-un număr imens de aplicații diferite - pentru instruire, jocuri, poștă, livrare de alimente și altele - în regiuni din întreaga lume, inclusiv Europa (aceasta include și Rusia), Asia de Sud-Est și America Latină America ... Ca urmare, bazele de date pot conține informații personale colectate de aceste aplicații, cum ar fi nume, adrese, locații și, în unele cazuri, chiar parole.

Mulți dezvoltatori folosesc platforma Firebase pentru a construi aplicații Android. Procedând astfel, își pot lăsa dezvoltările în Firebase vizibile pentru alți dezvoltatori, ceea ce le face vizibile tehnic tuturor. Când cercetătorii Avast Threat Labs au examinat 180.300 de instanțe publice Firebase, au descoperit că peste 10% (19.300) erau deschise din cauza configurării greșite, ceea ce înseamnă că datele erau accesibile persoanelor neautentificate.

Avast a notificat Google despre constatările sale, astfel încât dezvoltatorii de aplicații să poată lua măsuri pentru a remedia situația.

Permiteți-mi să vă reamintesc că nu este prima dată când experții vorbesc despre problema configurării incorecte a Firebase. De exemplu, în 2018, analiștii Appthority au scanat 2,7 milioane de aplicații Android și iOS și au identificat 28.502 produse (27.227 aplicații pentru Android și 1.275 pentru iOS) care accesează Firebase și utilizează acest backend. Dintre acestea, 3.046 de aplicații (2.446 pentru Android și 600 pentru iOS) au stocat date în 2.271 baze de date Firebase configurate greșit, permițând oricui să-și vizualizeze conținutul.

Și mai rău, majoritatea bazelor de date sunt găzduite pe domeniul firebaseio.com, iar bazele de date care nu necesită parolă sunt adesea indexate de motoarele de căutare , făcându-le descoperibile cu interogări simple. Și în timp ce Google încearcă să excludă astfel de rezultate din SERP, alte motoare de căutare încă nu ignoră backend-ul Firebase, iar brokerii de date subterane colectează în mod regulat informații.