Nieuws
image

Populaire fitness-app lekte persoonsgegevens gebruikers

maandag 22 september 2014, 12:44 door Redactie, 2 reacties

De makers van de populaire fitness-app MyFitnessPal, die het verbruik van calorieën bijhoudt, hebben eerder deze zomer een lek in de app gepatcht waardoor de persoonsgegevens van gebruikers door willekeurige internetgebruikers waren op te vragen, zo laat onderzoeker Randy Westergren weten.

Hij gebruikte de gratis Fiddler webproxy om het verkeer van en naar de Android-app te analyseren. Daarbij ontdekte hij dat er een ongedocumenteerde API (Application Programma Interface) werd aangeroepen. De app stuurde een verzoek naar de API waarin om gebruikersinformatie werd gevraagd. Het verzoek kon echter worden aangepast met de ID's van andere gebruikers, zodat de API hun persoonsgegevens als antwoord teruggaf.

"Dit is een redelijk ernstig privacyprobleem, omdat het de persoonlijke details van gebruikers blootstelt, waaronder geboortedata", aldus Westergren. Twee dagen nadat hij de ontwikkelaars had ingelicht werd het probleem verholpen en ontving hij als blijk van waardering een cadeaubon. MyFitnessPal heeft tussen de 10 miljoen en 50 miljoen installaties.

Reacties (2)
22-09-2014, 15:02 door User2048
Netjes opgelost door de ontwikkelaars! (Maar jammer dat het lek er in zat.)
22-09-2014, 15:57 door Anoniem
Nee dat is helemaal niet netjes!
Het duidt eerder op nonchalance over de rug van 10 to 50 miljoen gebruikers, voor een gift card heb je je security audit uitbesteed aan wie dan ook interesse heeft om er vrijwillig tijd in te steken en iets te vinden.

Dan Geer haalde dat enige tijd geleden in een speech op andere wijze aan. Software aanbieders/ontwikkelaars moeten er geen potje van maken en (nog) meer hun verantwoordelijkheden nemen voor het ontwikkelen van veilige software.

He even quoted the Code of Hammurabi (circa 1700 B.C.) while suggesting that product liability be applied to source code. “If a builder builds a house for someone, and does not construct it properly, and the house which he built falls in and kills its owner, then the builder shall be put to death,” he said. While the death penalty may be a little severe for software makers who fail to adequately secure their products, criminal and civil liability isn’t, he suggests.
http://www.wired.com/2014/08/cia-0day-bounty/

Enige meer wettelijke tik op de vinger achter de hand stimulans is kennelijk nodig om ontwikkelaars meer hun verantwoordelijkheden te laten nemen. Gift card en T-shirtjes houding is aardig voor het eigen pr beeld, iets veranderen doet het er niet van.
Met het uitbreidende leger aan online internet of things apparaten wordt het alleen maar belangrijker dat dat wel gaat veranderen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search