Službena aplikacija olimpijskih igara nesigurna je i slabo štiti osjetljive podatke korisnika

MY2022 od inozemnih posjetitelja prikuplja podatke o putovnici, zdravstvenom stanju, statusu cijepljenja, demografske detalje i ime organizacije za koju rade i dijeli ih s Organizacijskim odborom igara

Mladen Smrekar petak, 21. siječnja 2022. u 06:00

U detaljnom izvješću koje je sastavio kanadski Citizen Lab, istraživači su analizirali aplikaciju MY2022 i potencijalne probleme privatnosti i sigurnosti vezane uz službenu aplikaciju Zimskih olimpijskih igara u Pekingu 2022.

Dug popis osjetljivih informacija

Istraga je pokazala da aplikacija prikuplja dugi popis osjetljivih informacija, uključujući identifikatore uređaja i model hardvera, podatke davatelja usluga, popis drugih aplikacija instaliranih na uređaju, status WLAN-a, lokaciju u stvarnom vremenu, pristup zvuku i pristup pohrani, između ostalih osjetljivih osobnih podataka.

Politika privatnosti aplikacije nejasna je pa se ne zna tko ili što točno prima i obrađuje osjetljive podatke
Politika privatnosti aplikacije nejasna je pa se ne zna tko ili što točno prima i obrađuje osjetljive podatke

Prikupljanje ovih podataka navodno je potrebno za kontrolu zaštite od Covida-19, usluge prevođenja, integraciju Weiboa te turističke preporuke i navigaciju.
Prema Citizen Labu, sustav enkripcije aplikacije također ima veliku manu koja potencijalno omogućuje neželjeni pristup dokumentima, zvuku i datotekama spremljenim na uređaju u tekstualnom obliku.


Aplikacija MY2022 također je podložna cenzuri na temelju ugrađenog popisa ključnih riječi, koje uključuju imena kineskih čelnika i vladinih agencija, kao i reference na masakr prodemokratskih prosvjednika na Trgu Tiananmen 1989. Takva značajka je očito nije neuobičajena za aplikacije u Kini.


Prikupljanje ovih podataka navodno je potrebno za kontrolu zaštite od Covida-19, usluge prevođenja, integraciju Weiboa te turističke preporuke i navigaciju
Prikupljanje ovih podataka navodno je potrebno za kontrolu zaštite od Covida-19, usluge prevođenja, integraciju Weiboa te turističke preporuke i navigaciju

Politika privatnosti aplikacije također je nejasna pa se ne zna tko ili što točno prima i obrađuje osjetljive podatke koje korisnici moraju unijeti u nju. To je izravno kršenje smjernica za aplikacije kojih se drže i Google i Apple, no aplikacija je još uvijek dostupna u obje trgovine aplikacijama. Štoviše, upozorava Citizen Lab, aplikacija krši čak i kineske zakone o zaštiti privatnosti.

Tko sve mora instalirati aplikaciju

Nije jasno ni je li uporaba MY2022 obvezna ili neobavezna. Svi sportaši, novinari i gledatelji moraju instalirati aplikaciju i dodati joj svoje osobne podatke ako žele nazočiti Igrama. 

Aplikacija je podložna cenzuri na temelju ugrađenog popisa ključnih riječi
Aplikacija je podložna cenzuri na temelju ugrađenog popisa ključnih riječi

MY2022 od kineskih građana prikuplja imena, nacionalne identifikacijske brojeve, telefonske brojeve, adrese e-pošte, slike profila i podatke o zapošljavanju i te podatke dijeli s Organizacijskim odborom igara.

Od inozemnih posjetitelja aplikacija prikuplja potpune podatke o putovnici, dnevnom zdravstvenom stanju, statusu cijepljenja protiv Covida-19, demografske podatke i ime organizacije za koju rade.

Presretanje i prisluškivanje

Citizen Lab je otkrio nedostatke i u SSL-temeljenoj enkripciji aplikacije, što bi pak moglo dopustiti lažne veze zbog problema s provjerom valjanosti certifikata. Napadač bi potencijalno mogao prevariti više poslužitelja, pretvarajući se da je pouzdano odredište, i presresti osjetljive podatke koji dolaze iz aplikacije.

Sažetak dijeljenja informacija objavljen u politici privatnosti aplikacije MY2022
Sažetak dijeljenja informacija objavljen u politici privatnosti aplikacije MY2022

Analitičari su također otkrili da preneseni podaci nisu uvijek šifrirani, pa se neki prijenosi mogu presresti i lako očitati putem prisluškivanja mrežnih paketa.


Svi rizici koje je otkrio Citizen Lab prijavljeni su Pekinškom organizacijskom odboru za Zimske Olimpijske i Paraolimpijske igre 2022. početkom prosinca prošle godine, ali nikakav odgovor nisu dobili do 18. siječnja, kada su istraživači javno objavili svoje nalaze.


Iako su programeri aplikacije tada objavili ažuriranje aplikacije za verziju 2.0.5, daljnjom analizom najnovije verzije utvrđeno je da prethodno prijavljeni problemi ostaju neriješeni.

Konfiguriranje po volji

Međunarodni olimpijski odbor u kojem se kaže da aplikaciju MY2022 korisnici mogu konfigurirati tako da onemogući pristup značajkama kao što su "datoteke i mediji, kalendar, kamera, kontakti", kao i informacije o lokaciji, navodeći da: "Korisnik ima kontrolu nad onim čemu aplikacija MY2022 može pristupiti na njihovom uređaju. Oni mogu promijeniti postavke već tijekom instaliranja aplikacije ili u bilo kojem trenutku nakon toga."

Infografika koja objašnjava prednosti provjere valjanosti SSL certifikata
Infografika koja objašnjava prednosti provjere valjanosti SSL certifikata

Tvrtka za kibernetičku sigurnost Internet 2.0 preporučila je pak da svi stranci koji sudjeluju na Olimpijskim igrama u Pekingu trebaju koristiti telefon ili tablet s "burnerom" i stvoriti novi račun e-pošte koji će koristiti isključivo tijekom svog boravka u Kini.

📢 Uštedi do 30%

TOP!

Logitech

Vrhunska Logitech periferija nezaobilazan je dodatak za tvoj radni stol.

Kupi

📢 Uštedi 800 kn

TOP!

HUAWEI MateView GT

27" monitor sa zakrivljenim zaslonom i velikom brzinom osvježavanja savršen je za učenje, igranje i rad.

2.199 kn 2.999 kn Kupi

📢 Besplatna dostava

TOP!

DELL

DELL Vostro 3510 s Core i7 procesorom, 16GB RAM-a te 15.6" IPS ekranom i vrhunski monitori.

Od 1499 kn Kupi


2-sistemski bass reflex zvučnici

KEF LS50

Najprecizniji, impresivan zvuk, Uni-Q 12. generacije s MAT nizom drajvera za iznimnu akustičnu točnost, 47 Hz - 45 kHz, 40-100 W, 8 Ω, 85 dB.

7.399 kn 9.749 kn Kupi

7.2-kanalni AV receiver

MARANTZ NR1711

Tanak dizajn, iznimne performanse, 8K Ultra HD, HEOS, 90W po kanalu, eARC HDMI, Bluetooth, Wi-Fi, AirPlay 2.

6.799 kn Kupi