Android-приложение LastPass содержит 7 трекеров от сторонних компаний 😬
Последний проход
Когда дело доходит до безопасности учетной записи, использование диспетчера паролей обычно является хорошей идеей. Но что произойдет, если этот менеджер паролей отслеживает, что вы делаете, и даже не сообщает вам об этом? По словам исследователя безопасности Майка Кукетца, Android-приложение LastPass имеет семь встроенных трекеров, и LastPass может не знать, какие данные они собирают.
Как впервые заметил The Register, Кукетц использовал инструменты Exodus Privacy для изучения Android-приложения LastPass и обнаружил семь трекеров, встроенных в его код:
- AppsFlyer
- Гугл Аналитика
- Google CrashLytics
- Аналитика Google Firebase
- Диспетчер тегов Google
- MixPanel
- сегмент
Хотя Exodus Privacy подтверждает наличие трекеров, это не гарантирует, что они что-то делают. Поэтому Кукетц продолжил мониторинг сети при настройке новой учетной записи LastPass. Он обнаружил, что приложение обращается почти к каждому серверу трекера, не спрашивая разрешения.
Дальнейшая проверка не предполагает, что трекеры передавали какие-либо данные об имени пользователя или пароле, но, похоже, они знают, когда пользователь создает пароль и какого типа. Кукетц говорит, что включение кода отслеживания этого типа в менеджер паролей (или аналогичное приложение, ориентированное на безопасность) неприемлемо, поскольку разработчики не могут полностью знать, что собирает код отслеживания. Это связано с тем, что трекеры часто используют проприетарный код, который закрыт для проверки.
Объем данных кажется обширным, раскрывая информацию об используемом устройстве, операторе сотовой связи, типе учетной записи LastPass и идентификаторе Google Advertising ID пользователя (используется для связи данных о пользователе между приложениями). Данных достаточно, чтобы создать обширный профиль на основе самой личной информации, которую вы храните.
Согласно Exodus Privacy, другие менеджеры паролей не используют столько трекеров. У Bitwarden их два, у RoboForm и Dashlane — четыре, а у 1Password — ни одного. Почему LastPass использует так много, не ясно.
В заявлении для The Register представитель LastPass сказал: «… через эти трекеры не могут передаваться никакие конфиденциальные личные данные пользователя или действия в хранилище». Далее представитель сказал, что вы можете отказаться от аналитики в меню настроек. Тем не менее, между этим отчетом и недавним изменением, внесенным LastPass, чтобы заставить пользователей бесплатного уровня выбирать между настольной и мобильной синхронизацией, возможно, пришло время перейти к другой альтернативе, такой как Bitwarden или 1Password.
через Реестр