Аудит 11 популярных российских Android-приложений, включая банковские сервисы, госуслуги и маркетплейсы, выявил 237 уязвимостей. Исследование проводилось методами статического анализа и пассивного перехвата logcat без получения root-прав.
Шесть приложений, включая Сбербанк и Госуслуги, используют устаревшие ключи подписи RSA-1024 или DSA-1024, что не соответствует современным стандартам безопасности. Лишь 2ГИС применяет RSA-4096. В 10 из 11 приложений обнаружена интеграция HMS Huawei, в некоторых случаях число ссылок на сервис превышает 70 000.
Банковские приложения, такие как Сбербанк, ВТБ и Т-Банк, обладают расширенными правами, включая возможность установки обновлений без участия пользователя и доступ к внешнему хранилищу. Также большинство банков используют WebRTC для детекции VPN, что может приводить к утечке реального IP-адреса пользователя.
Наиболее безопасным приложением в выборке стал Госключ с показателем риска 42,4 из 100. Он использует современные ключи подписи и минимум разрешений. В то же время RuStore лидирует по числу открытых компонентов без ограничений доступа, что позволяет сторонним программам запускать их напрямую.
Автор исследования рекомендует пользователям использовать DNS-фильтрацию, изолированные рабочие профили для финансовых сервисов и ограничивать опасные разрешения. Эксперт отмечает, что использование устаревших стандартов криптографии является техническим долгом разработчиков.
