Магазин Windows Phone недавно получил исправление ошибки, закрыв дыру, которая позволяла разработчикам публиковать приложения, которые могут получить доступ к библиотеке фотографий пользователя без их разрешения. Изначально эта странность была доведена до нашего сведения разработчиком Аль Джихуни, который делает популярное приложение Sound Cloud SoundClone для Windows Phone (не волнуйтесь, это приложение безопасно).
Gihuni продемонстрировал нам эту причуду, отправив в магазин тестовое приложение, которое видно из изображений в этой статье, и для которого потребовалось три возможности: доступ к вашей библиотеке фотографий , идентификация телефона и идентификация владельца. После прохождения процессов сертификации Microsoft мы открыли приложение Store и перешли к списку приложений. Список указывал только на то, что приложению необходим доступ к телефону и удостоверению личности владельца, без упоминания о доступе к библиотеке фотографий.
Тестовое приложение «TicTacHum» проведет нас через недостаток
Глубокое погружение в XAP и исходный код приложения не выявило никаких хитростей, таких как запутывание. На самом деле, мы смогли воспроизвести проблему с нашей собственной простой подачей. Тем не менее, важно отметить, что приложение не использовало недостаток в базовой операционной системе. Через манифест приложения он правильно указал, что требуется доступ к библиотеке фотографий. Но эта информация не была передана пользователю, делающему последний вызов установки. И вот где у нас есть проблема.
Поскольку Магазин является единственным местом, где пользователи могут оценить набор разрешений приложения, такие проблемы могут быть опасными. Например, мошеннический актер может передать клону Flappy Birds через Магазин и спокойно получить доступ к библиотеке фотографий пользователя, собирая и загружая фотографии на удаленный сервер. Утечки фотографий особенно опасны, так как они часто содержат богатые метаданные, такие как информация о местоположении.
«TicTacHum» имеет доступ к нашим фотографиям, хотя мы не согласились с этим
Насколько нам известно, приложение, использующее этот недостаток, никогда не попадало в Магазин. И на сегодняшний день мы можем сказать, что этот недостаток был исправлен после того, как мы подняли проблему с Microsoft в конце прошлой недели.