حمله با SDK و آگاهی اندک ما از تهدیدات موجود برای اندروید

SDK یا کیت توسعه ی نرم افزار به مجموعه ابزارهایی گفته می شود که برای ساخت و گسترش نرم افزار استفاده می شوند. SDK شامل تمامی کدها، توابع و کتاب خانه های مختلفی است که در زمینه ی نرم افزار به وجود آمده اند. کاربرد SDK بسیار گسترده است؛ از ایجاد بسته های نرم افزاری و فریم ورک ساخت نرم افزار گرفته تا سیستم های عامل، بازی های کنسولی، اپلیکیشن ها و … . کمپانی تحلیل گر SafeDK در تازه ترین گزارش خود به خطر کیت های توسعه نرم افزار ثالث برای حریم خصوصی کاربران اشاره کرده است.

این کمپانی 190,000 اپلیکیشن رایگان اندروید را از چارت های برتر گوگل پلی انتخاب کرده و آن ها را نسبت به مجموعه ای از 1000 کیت توسعه ی نرم افزار ثالث آزمایش کرده است. این آزمایش نشان داد که هر اپ اندرویدی به طور میانگین از 17 کیت توسعه ی نرم افزار موبایل استفاده می کند؛ نتیجه ای که بسیار نگران کننده است. زیرا براساس آن، کاربر نه تنها باید به سازنده ی یک اپلیکیشن اعتماد کند، بلکه با واسطه باید به 17 توسعه دهنده ی دیگر اعتماد کند و امیدوار باشد که هیچکدام قصد ورود به حریم خصوصی او را نداشته باشند.

بسیاری از ما تصور می کنیم هنگامی که اپلیکیشنی را از  پلی استور دانلود می کنیم، از حاصل کار یک توسعه ی دهنده ی نرم افزار استفاده می نماییم نه چیز دیگر. حالا در نظر بگیرید که بیشتر اپ ها در خود تبلیغات دارند، این خود به یک SDK نیاز دارد که درون اپ تعبیه شده است؛ همچنین بیشتر اپ ها آمارگیری و تحلیل دارند که خود نیاز به یک SDK داخلی دارد. بنابراین باید دو یا حداکثر سه SDK در یک اپلیکیشن وجود داشته باشد، در حالی که گزارش شرکت SafeDK نشان می دهد نزدیک به 20 کیت توسعه دهنده نرم افزار در هر اپ وجود دارد که مربوط به شخص ثالث هستند. ما این اشخاص ثالث را نمی شناسیم و نمی دانیم قابل اعتماد هستند یا خیر. اکنون سوال اینجاست که اگر این SDKها ضرری به کاربر بزنند چه کسی مسئول است؟

بر اساس گزارش شرکت SafeDK، SDKهایی که سریع ترین رشد را در ساخت نرم افزار دارند، کیت های توسعه ی مربوط به پرداخت هستند. 45% اپلیکیشن ها از این SDKها استفاده می کنند. این نوع کیت های توسعه برای اپ های بانکی و کاربردهای گوناگون در درون برنامه ها استفاده می شوند. مثلا برای خرید شارژ، انتقال پول، اپ های مخصوص فروشگاه ها، واریز پول در ازای خدمات (مثلا آموزش زبان)، خرید محصولات نرم افزاری و … . یکی از رایج ترین کاربردهای SDKهای مربوط به پرداخت، انتقال پول برای خریدهای درون برنامه ای است که در همه ی جای دنیا از جمله ایران کاربرد زیادی دارد.

شاید فکر کنید تنها اپلیکیشن های ناشناخته از تعداد زیادی SDK استفاه می کنند. اپ هایی که در گوشه و کنار Play Store  پنهان شده اند و گذر شما هیچوقت به آن ها نمی افتد. اگر اینطور فکر می کنید در اشتباه هستید. بیایید نگاهی به نمودار زیر بیندازیم.

محور عمودی تعداد SDKهای به کار رفته در اپلیکیشن ها را نشان می دهد و محور افقی تعداد دفعات دانلود اپ ها را. این نمودار مربوط به ماه های اردیبهشت و مرداد امسال است و دو ستون رنگی نشان دهنده ی آمار در این دو ماه هستند.

با کمی دقت در این نمودار متوجه می شوید هرچه تعداد دانلودهای یک اپ بالاتر باشد، شمار SDKهای به کار رفته در آن اپ بیشتر است و تعداد SDKها تنها در مورد اپلیکیشن هایی که بیش از یک میلیارد بار دانلود شده است کمتر می باشد. با توجه به این نمودار، اپ هایی که بین 100 میلیون تا 500 میلیون بار دانلود شده اند به طور میانگین از 23 SDK استفاده می کنند که رقمی شگفت آور است.

در مورد حریم خصوص کاربران، آمار نشان می دهد بیش از نیمی از اپ ها دسته کم یک SDK دارند که سعی می کند به مکان کاربر دسترسی پیدا کند. از هر 10 اپلیکیشن یکی قادر است از میکروفون دستگاه کاربر استفاده کند و 40% اپ ها دسته کم از یک SDK بهره گرفته اند که تلاش می کند فهرست اپ های نصب شده روی دستگاه کاربر را ببیند.

در این آمار، نکته ی جالب آنجاست که اصلا چرا یک SDK نیاز دارد  دیگر اپ های نصب شده روی دستگاه را بشناسد؟ مساله ی نگران کننده آنجاست که هیچ مجوز اندرویدی وجود ندارد که جلوی دسترسی به فهرست اپ های نصب شده را بگیرد و هرکس بخواهد می تواند به این اطلاعات دسترسی پیدا کند.

در عین حال، بر اساس قوانین پلی استور گوگل، کاربران باید از وجود این قابلیت در اپلیکیشن ها آگاهی پیدا کنند. در این بین مشکل سازندگان مستقل نرم اپلیکیشن این است که گوگل میان اپ و فعالیت یک SDK شخص ثالث تفاوت قائل نمی شود. این مساله باعث می شود گاهی یک اپ ناقض قوانین گوگل باشد و سازنده ی آن اپ اصلا از این مساله خبر نداشته باشد.