IT-специалисты разнесли приложение мэрии Москвы для слежки за жителями столицы

Вчера, 30 марта, в магазинах приложений появилось анонсированное мэрией Москвы приложение, созданное для контроля над находящимися в самоизоляции москвичами. На создание софта из бюджета города было выделено 180 млн. руб.

Ранее в нескольких Telegram-каналах была опубликована служебная презентация мэрии Москвы, содержащая подробную информацию о способе передвижения по городу в условиях карантина. Согласно опубликованным документам, для любого выхода из квартиры (от «срочного выхода по базовым потребностям» в магазин, до выезда на дачу) москвичи будут вынуждены уведомлять столичную мэрию и получать специальный QR-код.

Однако при первом же изучении «Социального мониторинга» (именно так называется опубликованное GooglePlay приложение) оказалось, что при установке на смартфон оно запрашивает все возможные разрешения, от камеры и местоположения, до нательных датчиков. Также, как выяснил при изучении кода приложения автор Telegram-канала IT и COPM, в сгенерированных QR-кодах приложение зашифровывает индивидуальные идентификаторы устройства (MAC и IMEI), на котором оно установлено. При этом большинство данных (кроме изображений) отправляется на сервера мэрии Москвы в незашифрованном виде. Для распознавания лиц разработчики использовали эстонский сервис identix.one. По неподтвержденной информации, изображения могут отправляться для обработки на серверы, расположенные в Германии.

Представители identix.one данную информацию (как и собственное участие в провальном проекте) опровергают:

«Как сервис identix.one мы оказываем услуги по всему миру, имеем серверные мощности в Германии, в России и других локациях.

Вся передача данных в сервисе identix.one защищена шифрованием, сервис не позволяет хранить никакие персональные данные.

Партнер, написавший данное приложение, является нашим клиентом.

Никакого отношения к написанию указанного в новостях приложения, его коду, архитектуре сервис identix.one не имеет.

Как мы можем оценивать со своей стороны, это была или тестовая версия приложения, или ошибка в части выбора мощностей для обработки не в России.

Публикация токена доступа непосредственно в приложении, вероятно, является упущением из-за необходимости как-можно скорее реализовать прототип приложения»

Токен, о котором говорится в ответе identix.one, это ключ доступа к службам софта, который выдается пользователю после успешной аутентификации. Таким образом разработчики не только не зашифровали данные пользователей приложения, но еще и упростили злоумышленникам доступ к этим данным.

Внутренний интерфейс приложения содержит в себе лишь 2 составляющие: кнопку SOS и «Последние новости». Первая, предоставляет возможность вызвать экстренную помощь, вторая ведет на сайт мэрии Москвы. 

В GooglePlay приложение было опубликовано издателем всего софта мэрии Москвы – «Информационный город ГКУ». Однако контакты для связи, опубликованные в магазине приложений, содержали название приложения для отслеживания детей Wokka Lokka, разработчиком которого выступает компания «Гаскар».

По состоянию на 11:00 1 апреля приложение «Социальный мониторинг» было удалено из GooglePlay. Ранее мэрия Москвы анонсировала появление приложения на текущей неделе. Однако после категорического разгрома со стороны профессионального сообщества руководитель столичного Департамента информационных технологий Эдуард Лысенко в эфире радиостанции «Эхо Москвы» заявил, что приложение было опубликовано исключительно для анализа со стороны специалистов.

Никакой информации о том, что опубликованное приложение лишь beta-версия софта, страничка «Социального мониторинга» в магазине GooglePlay не содержала. В то же время, критические уязвимости, найденные специалистами относятся к ключевой архитектуре приложения. Уровень проработки приложения не соответствовал даже минимальным нормам по защите персональных данных, прописанных в профильном федеральном законе (152 ФЗ). На разработку и запуск «Социального мониторинга», напомним, столичная мэрия потратила 180 млн. руб.