Szolgáltatóválasztás
A DeepSeek iPhone-alkalmazása titkosítatlanul küldött adatokat
2025 februárjában a NowSecure biztonsági cég azt találta, hogy a DeepSeek iOS-alkalmazása kikapcsolja az iPhone titkosított kapcsolatra vonatkozó védelmét, és egyes eszközadatokat titkosítatlanul küld az interneten.
A DeepSeek kínai csevegőalkalmazása 2025 elején, megjelenése után az egyik legtöbbet letöltött iPhone-alkalmazás lett. A NowSecure mobilbiztonsági cég megvizsgálta az iPhone-ra és iPadre készült változatot, és 2025. február 6-án több biztonsági és adatvédelmi hibáról számolt be.
Az iOS beépített védelme (App Transport Security) arra szolgál, hogy az alkalmazások csak titkosított csatornán küldjenek adatot. A DeepSeek alkalmazása ezt teljesen kikapcsolta, és egyes regisztrációs és eszközadatokat – például a készülék nyelvét és adatait, az operációs rendszert és a telepítés azonosítóját – titkosítás nélkül küldött el. Ezeket egy támadó a hálózaton elolvashatta, sőt módosíthatta. Egyes adatok titkosításához az alkalmazás elavult, feltörtnek tekintett eljárást (3DES) használt, a programba beégetett kulccsal. A NowSecure a készüléken lévő gyorsítótárból felhasználóneveket, jelszavakat és titkosítókulcsokat is ki tudott nyerni.
A cég szerint az alkalmazás sok olyan adatot is gyűjtött, amelyből a készülék azonosítható, például a készülék nevét, amely gyakran a tulajdonos nevét is tartalmazza. Teljesítmény- és követési adatok a ByteDance felhőplatformjára, a Volcengine-re kerültek, az adatkezelési tájékoztató szerint pedig a felhasználói adatokat Kínában tárolják és kezelik. A NowSecure azt javasolta a szervezeteknek, hogy tiltsák meg az alkalmazást a céges és a munkára is használt saját eszközökön.
Mit tanulhatunk belőle?
Egy alkalmazás biztonsága azon is múlik, hogyan küldi el az adatot a telefonról, és ezt a felhasználó nem látja: az alkalmazás ugyanúgy működik, akár titkosít, akár nem. Ezért számít, kitől származik. Munkára érdemes olyan AI-alkalmazást választani, amelynek ismerjük az üzemeltetőjét, az adatkezelés helyét és a feltételeit, és amelyről volt független vizsgálat. A munkára használt eszközökön pedig jó előre megállapodni, mely AI-alkalmazások használhatók, így senkinek nem kell menet közben döntenie.
Források
- NowSecure: NowSecure Uncovers Multiple Security and Privacy Flaws in DeepSeek iOS Mobile App
- 9to5Mac: Multiple security flaws found in DeepSeek iOS app, including sending unencrypted data
A cikk a felsorolt nyilvános források alapján készült. Ha hibát talál benne, írjon nekünk: [email protected]