Улыбайтесь! Вас разыскали! Стоит отметить, что с увеличением количества различного программного обеспечения резко растет количество ошибок в нем. Данные пользователей фактически полностью доступны кому угодно, чем широко пользуются злоумышленники. Разработчики программ все чаще просто не думают о безопасности, ведь это резко удорожает продукт и увеличивает время его разработки. Да и кроме того, необходимо подчеркнуть, что сами пользователи не требуют от разработчиков безопасности. Ведь за это нужно ПЛАТИТЬ! Мало того, при этом резко ухудшится usability. Ведь всем мы понимаем, что «удобство пользователей» и «безопасность» всегда ходят по разные стороны улицы. К чему это приводит? Правильно, к взлому и утечке информации. Но каждый пользователь надеется, что это произойдет с кем-то другим!

На этот раз исследователи безопасности обнаружили множество уязвимостей в сотнях сервисах геолокации, которые могут позволить злоумышленникам получить целый ряд конфиденциальных данных миллионов устройств отслеживания местоположения.

Массовые уязвимости обнаружены исследователями Vangelis Stykas и Michael Gruhn и названы «Trackmageddon».

Trackmageddon затрагивает несколько сервисов, собирающих геолокационные данные пользователей с ряда устройств с поддержкой GPS, включая трекеры для детей, трекеры для животных, автомобильные трекеры, и т.д.

Как отмечают исследователи, уязвимости включают в себя легко угадываемые пароли (про анализ паролей мы писали), открытые папки, небезопасные API и проблемы Insecure Direct Object References (IDOR)

Используя данные уязвимости, злоумышленник может получить доступ к личной информации, собираемой всеми устройствами отслеживания местоположения, включая GPS-координаты, номера телефонов, модели устройств и логины пользователей. В некоторых онлайн-сервисах можно получить доступ к фотографиям и аудиозаписям, загружаемым устройствами отслеживания местоположения.

По мнению исследователей, один из крупнейших мировых поставщиков устройств GPS-слежения, ThinkRace, возможно изначально был разработчиком и продавцом лицензий программного обеспечения, содержащего уязвимость.

На сегодня около 79 серверов все еще уязвимы:

• http://www.gps958.com
• http://m.999gps.net
• http://www.techmadewatch.eu
• http://www.jimigps.net
• http://www.9559559.com
• http://www.goicar.net
• http://www.tuqianggps.com
• http://vitrigps.vn
• http://www.coogps.com
• http://greatwill.gpspingtai.net
• http://www.cheweibing.cn
• http://car.iotts.net
• http://carm.gpscar.cn
• http://watch.anyixun.com.cn
• http://www.007hwz.com
• http://www.thirdfang.com
• http://www.wnxgps.cn
• http://binding.gpsyeah.net
• http://chile.kunhigps.cl
• http://portal.dhifinder.com
• http://www.bizgps.net
• http://www.gpsmarvel.com
• http://www.mygps.com.my
• http://www.mygpslogin.net
• http://www.packet-v.com
• http://login.gpscamp.com
• http://www.tuqianggps.net
• http://tuqianggps.net
• http://www.dyegoo.net
• http://tracker.gps688.com
• http://www.aichache.cn
• http://gtrack3g.com
• http://www.ciagps.com.tw
• http://www.fordonsparning.se
• http://www.gm63gps.com
• http://yati.net
• http://www.mytracker.my
• http://www.istartracker.com
• http://www.twogps.com
• http://www.gpsyue.com
• http://www.xmsyhy.com
• http://www.icaroo.com
• http://mootrack.net
• http://spaceeyegps.com
• http://www.freebirdsgroup.com
• http://www.gpsmitramandiri.com
• http://www.silvertrackersgps.com
• http://www.totalsolutionsgps.com
• http://567gps.com
• http://gps.tosi.vn
• http://gps.transport-duras.com
• http://thietbigps.net
• http://mygps.co.id
• http://www.gpsuser.net
• http://www.mgoogps.com
• http://www.gpscar.cn
• http://www.aichache.net
• http://www.gpsline.cn
• http://2.tkstargps.net
• http://ephytrack.com
• http://www.squantogps.com
• http://www.tkgps.cn
• http://vip.hustech.cn
• http://www.blowgps.com
• http://www.zjtrack.com
• http://fbgpstracker.com
• http://gps.gpsyi.com
• http://www.crestgps.com
• http://www.spstrackers.com
• http://en.gps18.com
• http://en.gpsxitong.com
• http://gps18.com
• http://en2.gps18.com
• http://ry.gps18.com
• http://www.ulocate.se
• http://classic.gpsyeah.com
• http://www.gpsyeahsupport.top
• http://gpsui.net
• http://vmui.net

Какой же вывод можем сделать мы? Большинство поставщиков продолжает работать с уязвимыми сервисами и даже не думает о возможном исправлении. Ведь это дополнительные расходы, да и время. Ну что, как я и говорил в самом начале – проблемы безопасности — это проблемы пользователей, а никак не проблемы разработчиков ПО и устройств. Увы, стоит признать, что пользователей заботит удобство, а разработчиков – получение прибыли. А безопасность? Безопасность не волнует никого!

 

Автор: Владимир Безмалый