23 приложения для iOS для конвертации файлов, используемые 3 миллионами человек, не шифруют документы

Компания по кибербезопасности Wandera обнаружила, что около 23 приложений для iOS для конвертации файлов, используемых тремя миллионами человек, не используют шифрование, что потенциально ставит документы под угрозу.

Все рассматриваемые приложения были созданы одним разработчиком, Cometdocs, но Wandera утверждает, что это открытие поднимает более широкую проблему безопасности…

Cometdocs создает приложения, которые конвертируют документы между различными форматами файлов. Например, из Word в PDF или из PDF в Powerpoint.

Проблема заключается в том, что сама конвертация происходит на сервере Cometdocs, и как исходные, так и сконвертированные документы отправляются без какой-либо формы шифрования.

Коротко говоря, приложения Cometdocs предназначены для загрузки файлов на серверы Cometdocs перед их конвертацией и отправкой обратно пользователю.

Приложение позволяет пользователю входить в популярные сервисы хранения файлов, включая Gmail, iCloud, DropBox, Google Drive, OneDrive или Box, чтобы получить все файлы, которые пользователь там хранит. В качестве альтернативы пользователь может выбрать загрузку файла непосредственно со своего устройства.

Проблема в том, что […] приложения Cometdocs передают файлы без использования шифрования (через http), предоставляя злоумышленникам возможность кэшировать и получать файлы. Более того, злоумышленник типа «человек посередине» (MitM) может получить доступ к файлам, «прослушивая» трафик в той же сети Wi-Fi, что и пользователь. Поскольку приложения Cometdocs не используют шифрование при передаче и хранении файлов на своих серверах, они позволяют утекать частной информации в руки третьих лиц, мониторящих сеть.

Кроме того, некоторые из бесплатных приложений оказались обманчивыми: они заставляют пользователей очень долго ждать бесплатной конвертации или платить за немедленную. Некоторые пользователи жалуются на ожидание 60-90 минут и более.

Полный список затронутых приложений для iOS для конвертации файлов можно найти ниже. Wandera связывалась с разработчиком три раза за последние три месяца, но не получила ответа.

Wandera говорит, что это не просто проблема этих приложений, а более широкая проблема использования пользователями неодобренных сервисов с конфиденциальными бизнес-документами.

В условиях развивающегося периметра предприятия теневая ИТ-инфраструктура приобретает новый смысл. Раньше она относилась к неодобренным приложениям, которые люди устанавливали на свои рабочие компьютеры. Сегодня сотрудники используют личные или неуправляемые устройства, которые имеют неограниченный доступ к целому миру приложений и сервисов, включая те, которые они могут считать безопасными для работы, такие как облачные хранилища и PDF-конвертеры. Нефильтрованный доступ к этим неодобренным сервисам все больше подрывает усилия по обеспечению безопасности облачных данных и раскрывает конфиденциальную информацию, поскольку ИТ-отделы не имеют возможности понять или контролировать, куда уходят конфиденциальные корпоративные интеллектуальные свойства и как они туда попадают.