PASIVNA ANALIZA BEZBEDNOSTI ANDROID MOBILNE APLIKACIJE “Izabrani Doktor”

[1van]

@YuMERA

Ja ne vidim sto bi ova aplikacija bila sporna ili opasna po licne podatke zdravstvenih korisnika.

1. Zato sto nije tesko saznati neciji LBO
2. Zato sto se niko nije ni potrudio da primeni osnovne mere zastite podatka na telefonu korisnika (npr nakon koriscenja aplikacije)
3. Zato sto je kod napisan tako da preskace/zaobilazi inace predvidjenje mere zastite
4. Zato sto tvojim licnim podacima raspolaze firma ciji su serveri van tvoje zemlje
5. Zato sto aplikacija zeli da pristupa drugim podacima na tvom telefonu

Sto se tice aplikacije "Izabrani Doktor" koja na testu koji je @1van uradio i objavio i nije tako lose prosla. Obzirom da se radi o nekoj prvoj verziji (u medjuvremenu izasao je jedan update) i sigurno da ce se sigurnost koriscenja aplikacije podignuti na visi i sigurniji nivo.

Ovo nije prva verzija i aplikacija je prosla ocajno. Testirao sam samo dva sata i to bez aktivacije, dakle nisam "ulazio" u aplikaciju (kako je predvidjeno) i nisam komunicirao sa API servisima. Da imam odobrenje vlasnika da testiram taj deo verovatno bi imali mnogo veci problem sada ...

Ako je Ministarstvo odobrilo pristup njihovoj bazi o zdravstvenim osiguranicima verovatno je i vodilo racuna o zloupotrebi tog pristupa i taj pristup verovatno je radjen na nivou API-a gde aplikacija ima odredjeni nivo pristupa od strane samih developera.

Pa verovatno nije ... pricam iz licnog iskustva a ako ne verujes onda mi odgovori zasto niko nije uradio slican test pre verzije za javnost?
Cak i besplatni online skeneri Android aplikacija bi prijavili vise od pola stvari koje sam nasao.

Koristili mi ovu aplikaciju ili ne cinjenica je da "tamo negde"(citaj baza podataka) postoje podaci o nama. Ako nekome ti podaci zatrebaju zbog zloupotrebe oni ce se domoci njih na bilo koji nacin pa i putem ovakvih aplikacija,,,,,

Tacno ali takodje mozemo i da radimo na tehnoloskoj pismenosti i da edukujemo jedni druge. Kao i da stitimo prava koja imamo.


Da se razumemo, meni je super to sto sve mozemo da odradimo online ali da pri tome ti servisi stvarno rade i da usput ne (pro)dajemo nase licne /privatne podatke svima redom. 

P.S. Pogledaj npr ovaj link: https://security-net.biz/ssl-monitor-rs-services.html