Безопасность данных

Проверка в магазине приложений — это сканирование сборки при публикации и выборочный просмотр кода. Она полезна, но касается одного момента времени, а не всей жизни приложения на вашем телефоне. Приложения с вредоносным кодом попадают в магазины регулярно, и новости об их удалении выходят каждые несколько месяцев.

Разница не в проверке, а в правах. Установленное приложение получает доступ к файлам, контактам, камере и работает в фоне; после установки вы не видите, что оно делает. Приложение, открытое в браузере, работает в песочнице: ему доступно только то, что вы дали сами, и только пока открыта вкладка.

Проверить приложение на вирусы: что проверяет магазин — разбор в блоге, с проверками по шагам.

1. 01

   В Google Play и App Store приложения проверяют. Кто проверял ваши?

   Магазины сканируют сборку при публикации и выборочно смотрят код. Это полезно, но проверяется момент публикации, а не то, что приложение делает у вас на телефоне через месяц: новости об удалении из магазинов десятков приложений с вредоносным кодом выходят регулярно. У веб-приложения ограничения работают постоянно: браузер не спрашивает, что мы обещали, — он не даёт отправить данные, потому что это запрещено заголовком.

2. 02

   Установленное приложение и открытое в браузере — в чём разница по правам?

   Установленное получает доступ к файлам, контактам, камере, работает в фоне, и после установки вы не видите, что оно делает. Приложение в браузере живёт в песочнице: доступ только к тому, что вы дали сами, и только пока открыта вкладка. Закрыли — оно перестало существовать.

3. 03

   Я поставил иконку на экран. Это ведь уже не браузер — правила ещё действуют?

   Действуют, и это главное свойство таких приложений. Иконка на рабочем столе или в меню телефона запускает то же самое приложение в том же движке браузера: на Android это Chrome или Яндекс Браузер, на iPhone — WebKit, на компьютере — тот браузер, из которого вы его поставили. Адресной строки и вкладок не видно, но ограничения на месте: запрет отправки данных, выключенные микрофон и геолокация, камера по нажатию. Проверяется так же — режимом полёта.

4. 04

   Права мобильному приложению тоже можно отозвать. В чём тогда разница?

   Отозвать можно, вы правы: и Android, и iOS позволяют выдавать права по запросу и отбирать их в настройках. Разница в другом. Во-первых, пока право выдано, приложение пользуется им в фоне, и вы не видите, что именно оно делает. Во-вторых, отправку данных в мобильном приложении не запретить в принципе — это его обычная работа, и решение о ней принимает разработчик. У веб-приложения такого права нет вовсе: connect-src — не разрешение, которое можно выдать, а запрет, который вы можете увидеть в браузере.

5. 05

   А если вы измените код и начнёте собирать данные?

   Заголовки отдаёт сервер, и их видно в браузере в любой момент — это не то, что можно поменять тихо. Как только connect-src перестанет быть none, это станет заметно на вкладке «Сеть» у любого, кто откроет инструменты разработчика. Поэтому мы и строим объяснение на проверяемом правиле, а не на обещании.

6. 06

   Приложение обновляется само. Что мешает подсунуть в обновление что угодно?

   Ровно то же самое: новая версия работает под теми же заголовками, и они проверяются так же. Плюс обновление приходит с нашего адреса по защищённому соединению — подменить его по дороге нельзя.

7. 07

   Мы компания, у нас 152-ФЗ. Это решает наши вопросы?

   Частично, и мы не будем говорить, что полностью. Если документ не покидает устройство сотрудника, передачи персональных данных третьему лицу не происходит — а именно она требует основания и договора поручения. Но обязанности оператора этим не исчерпываются: политика, уведомление, сроки хранения остаются на вас. Конкретный состав сверяйте с юристом.

8. 08

   Нашли уязвимость — куда писать?

   На security@businessaxis.ru. Контакт продублирован в файле /.well-known/security.txt — это стандарт RFC 9116, по которому исследователи ищут, кому сообщить о находке. Отвечаем и разбираем каждое сообщение.