L'application des Jeux olympiques de 2022 que tous les participants doivent télécharger est un cauchemar pour la sécurité, selon les chercheurs
Une application que les visiteurs des Jeux Olympiques de 2022 à Pékin sont obligés de télécharger est également un cauchemar de cybersécurité qui menace d'exposer une grande partie des données qu'elle collecte, selon un nouveau rapport.
MY2022 , l'application obligatoire pour les visiteurs des Jeux d'hiver de cette année , offre une variété de services, y compris des recommandations touristiques, une surveillance de la santé liée à Covid et une navigation GPS. Il a été conçu par le Comité d'organisation de Pékin et appartient officiellement à une société chinoise soutenue par l'État, le Beijing Financial Holdings Group. Alors que l'application est censée offrir une expérience de visiteur amplifiée, les chercheurs ont découvert qu'elle collecte également une mine d'informations personnelles sur ses utilisateurs qu'elle ne dépense apparemment aucun effort pour sécuriser.
Selon un nouveau rapport de chercheurs numériques du Citizen Lab de l'Université de Toronto, l'application est si peu sécurisée qu'elle pourrait enfreindre la propre loi chinoise sur la sécurité des données, la loi chinoise sur la protection des informations personnelles, qui est entrée en vigueur à la fin de l'année dernière et est censée assurer la protection des données de base pour les citoyens chinois. L'application peut également enfreindre la politique sur les logiciels indésirables de Google , qui aide à éliminer les applications malveillantes dans l'écosystème Android, ainsi que les directives de l'App Store d'Apple, note le rapport.
Les chercheurs ont examiné la version 2.0.0 pour iOS et la version 2.0.1 pour Android, constatant que les deux semblaient souffrir de lacunes similaires dans la façon dont elles gèrent le cryptage et la transmission des données.
Selon Citizen Lab , l'application échoue souvent à valider les certificats SSL, ce qui signifie qu'elle ne vérifie pas où elle envoie réellement les données qu'elle transmet. Cela prépare les utilisateurs à des cyberattaques potentielles de type "man -in-the-m middle " , dans lesquelles un attaquant pourrait usurper une connexion à un site Web légitime et ainsi voler les données envoyées par l'application. Dans le même temps, les chercheurs ont découvert que l'application transmet également certains types de métadonnées sans aucun type de cryptage SSL ni aucune autre protection de sécurité, ce qui la laisse largement ouverte à l'inspection publique dans certains cas.
En résumé, malgré la collecte de grandes quantités d'informations sensibles sur la santé et les voyages de ses utilisateurs (pensez aux détails du passeport, aux antécédents médicaux, aux données démographiques, etc.), MY2022 manque de garanties pour le protéger. Les chercheurs disent avoir révélé ces problèmes au comité d'organisation de Pékin il y a plus d'un mois, le 3 décembre, mais n'ont jamais eu de réponse.
Nous avons contacté le comité d'organisation de Pékin pour commenter cette histoire et nous mettrons à jour s'ils répondent.
Bien que le comité de Pékin n'ait jamais répondu à Citizen Lab , il a récemment publié une nouvelle version de l'application - 2.0.5 pour iOS - qui non seulement n'a résolu aucun des problèmes de sécurité signalés, mais en a apparemment introduit un nouveau : Le plus récent La version de l'application comprend une nouvelle fonctionnalité, appelée Green Health Code, conçue pour gérer les documents de voyage et les données de santé qui, comme ses autres fonctionnalités, transmettent des données de manière non sécurisée, écrivent les chercheurs.
Étant donné le statut de la Chine en tant que goliath de la surveillance , il pourrait être tentant de voir cette conception de sécurité de mauvaise qualité comme une sorte de complot délibéré du gouvernement chinois pour aspirer les informations des visiteurs. Et bien que MY2022 puisse sembler suspect, Citizen Lab en déduit qu'il pourrait s'agir de quelque chose de tout à fait moins sinistre que cela. Ils notent qu'une grande partie des données qui ont été laissées vulnérables au vol sont déjà collectées ouvertement par le gouvernement chinois (la politique de confidentialité de l'application l'explique) - il y aurait donc peu de raisons de mettre en œuvre une solution de contournement de la surveillance. Le rapport note également que la sécurité numérique n'est pas si bonne dans l' ensemble de l'écosystème des applications chinoises et, par conséquent, il se peut que les développeurs de MY2022 aient simplement créé une application merdique, pas une application sournoise.
"Nous pensons qu'un manque de sécurité aussi répandu est moins susceptible d'être le résultat d'un vaste complot gouvernemental, mais plutôt le résultat d'une explication plus simple telle que des priorités différentes pour les développeurs de logiciels en Chine", écrivent les chercheurs à propos des failles de sécurité .
