3 ثغرات بتطبيق إقفال الشاشة APPLOCK تمكن المقتحمين من تجاوزه وتجعله عديم الفائدة

3 ثغرات بتطبق Android APPLOCK App تهدم  إمكانيات و قدرات هذا التطبيق على حماية خصوصيات مستخدميه . ثغرات يمكن من خلالها الإطالاع على كل ملفات المستخدمين و كسر كلمة السر و إعتراضها بكل سهولة

تعتبر تطبيقات إقفال شاشة الأندرويد من أكثر التطبيقات استعمالا في الهواتف و أجهزة أندرويد ، وعلى الأخص تطبيق Android APPLOCK App من شركة DoMobile الأكثر تحميلا  ،لما يعتقد أنه يتميز به من إمكانية لحماية  خصوصية المستخدمين  ، بحيث يسمح لهم بتفعيل طبقة حماية على أجهزتهم تقوم بإقفال و إخفاء الخدمات و التطبيقات المثبتة على أجهزتهم : sms - Gallery  - Facebook -Gmail وحتى إمكانية الإتصال .

ومن أهم المميزات التي يقدمها هذا التطبيق :
- حماية التطبيقات المثبتة على أجهزة اندرويد برقم سري PIN أو مجموعة من النقاط يتم وصلها بشكل محدد Pattern Lock
- إخفاء الصور و الفيديو في مكان أو نفق سري Photo / Video Vault
- سهولة في تغيير الأقفال
- منع إزالة التطبيقات المثبتة
- عدم إمكانية التحايل على التطبيق عن طريق Task Killer

بالرغم من كل القدرات و الميزات الهائلة التي يوفرها هذ التطبيق لحماية مستخدميه . يبقى السؤال دائما مطروحا : هل يمكنه حقا حماية جهازك أندرويد ؟

في بحث أجراه مجموعة من الباحثين المتخصصين في مجال الحماية التابعين لشركة Beyond Security على تطبيق APPLOCK الأكثر شهرة و تحميلا من على جوجل بلاي ستور ( أكثر من 100 مليون تحميل) توصل الى أن هذا التطبيق يحتوي على 3 من الثغرات الخطيرة التي تفقد هذا الأخير ميزاته الأساسية التي بني عليها و تهدد خصوصية و حماية مستعمليه .

الثغرة الأولى كما صرح الباحثون تكمن في خدمة القبو Vault Service حيث يقوم التطبيق بإخفاء الصور و الفيديو من دون تشفير ، مما يمكن المقتحمين من الإطلاع عليها بكل سهولة فقط بتثبيت برامج التصفح و تغيير بعض الملفات . مما يسمح لهم في الأخير بالحصول على كل البيانات عبر SQLLite Database .

الثغرة الثانية تمكن المهاجمين من فك و كسر كلمة السر PIN للتطبيق بكل سهولة عبر استخدام Brute Force لأن SALT المستخدم في التشفير ثابت و ليس متغير و هو "domobile" . الشيء الذي أثار حقا استغراب الكثير من المتخصصين ، إذ يعتير مثل هذه الهفوة استهتارا حقيقيا بخصوصية و أمن بيانات المستخدمين .

الثغرة الثالثة تمكن المهاجمين من إعادة تعيين كلمت السر PIN للتطبيق من دون حتى إذن خاص ، و ذلك بتحديد عنوان الإيميل في حالة إن لم يعين من طرف المستخدم  ، أو عن طريق إعتراض الترافيك بإستخدام Wireshark ومن ثم الحصول على MD5 HASH .

والى حدود كتابة هذه التدوينة لا يوجد ترقيع للثغرات المعلن عنها ، ولم يصدر أي بيان من الشركة المطورة للتطبيق .