Погодите ка. А что такое конституция? На бумажке написано же! А что такое законы? Написаны же на бумажке! Это я о чём: такие соглашения являются официальными документами, а ваша безопасность и приватность устанавливается законами и соглашениями.

-8

luch_kot Jul 12 2018 at 12:33

Думаю, комментатор хотел сказать, что наличие текста != безукоснительное следование ему.
Техническая возможность обработки данных была продемонстрирована.
1. Возможность показывать или скрывать данные банковских карт — это опция.
2. Даже при скрытии банковских данных на экране, тепловая карта кликов во временной развёртке поверх клавиатуры даёт нам всю введённую информацию.

W0xel Jul 12 2018 at 12:49

Записи с клавиатуры не существует в AppSee. Карта нажатий отключена во время работы клавиатуры. Вот скриншот Сергея с пикабу панели с открытой клавиатурой:

-2

UFO just landed and posted this here

W0xel Jul 12 2018 at 13:31

Ну, начнем с того, что я не имею никакого отношения к компании. Ни к одной.
Поля ввода закрыты, но я не могу сказать, как именно он это делает. Когда запущена клавиатура экран не записывается + отключается запись тепловой карты.

Theodor Jul 12 2018 at 12:35

А как они исполняются? ;) И вообще про политику не надо.
Заявлять КАПСОМ, что кто-то что-то там не будет делать с данными, потому что так написано в eula — слишком громко и наивно. Особенно на фоне всяких последних скандалов про утечки и взломы.
Соглашения никак не защитят от утечки ценных/персональных данных, они для потом, для суда.
То, что в соглашении написано «мы не собираем/не храним А, B и C» еще не значит, что это правда.

1024bita Jul 12 2018 at 12:36

Речь же о том что это не соблюдается. Написано одно, а что они в реальности делают только им и известно. Факт в том, что конф.данные могут уйти.

Klenov_s Jul 12 2018 at 13:15

Т.е. опираясь только на законы, вы смело пойдете навстречу человеку, направившему на вас пистолет? Ведь согласно законам, он не может в вас выстрелить )

W0xel Jul 12 2018 at 13:19

Извините меня, тогда выключайте интернет! Речь идёт не о «согласно законам» а об отсутствии возможности записи полей и клавиатуры как таковой.

-1

Klenov_s Jul 12 2018 at 13:27

Речь идет о том, что возможность записи полей управляется одним параметром, который присылает сервер.

RoboForm Jul 12 2018 at 12:33

По поводу оригинальных +60 так и хочется возопить «Хабр, что ты делаешь, прекрати...»

Можно добавить, что

1. Передача видео шифруется и никаким «сторонним» хакерам оно (видео) недоступно. Проведенный эксперимент осуществлен в домашних условиях ручной подменой сертификата.

2. Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

3. Доступа к видео ни у кого, кроме владельца приложения, нет.

-1

1024bita Jul 12 2018 at 12:38

Вы же понимаете, что можно только надеяться что доступа нет у третьих лиц. Не факт что завтра их систему взламают и терабайты видео попадут в сеть.

W0xel Jul 12 2018 at 12:43

Для этого существует шифрование. Поймите, что сейчас «взломают и уведут» превратилось взломают и не получат никакого профита, кроме тысяч зашифрованных документов.

-5

Klenov_s Jul 12 2018 at 12:49

Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

Как минимум эта инфа доступна AppSee, как она там хранится и защищается никому не известно. Все мы помним, как недавно извинялся твиттер, за случайное хранение паролей в открытом виде…

RoboForm Jul 12 2018 at 12:57

Она (вроде) замазывается на устройстве. И поэтому автор и не может предъявить нормального видео.

Klenov_s Jul 12 2018 at 13:12

Даже если допустить такое поведение, то оно не зашито в приложение железно. Этим всем управляет сервер, он может прислать HideSensitiveViews=True, а может и не прислать.
Одна эта возможность помноженная на небольшую криворукость может повлечь большую утечку очень чувствительных данных.

CheY Jul 12 2018 at 13:55

2. Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

а шифруется и замазывается в какой момент? есть бургеркинги, есть сервисы аналитики, а есть МПС Visa и MC, у которых очень жёсткие требования к тому, как платёжная информация может обрабатываться, храниться и т.п. вплоть до требования получения PCI DSS. и что-то я очень сомневаюсь, что они будут довольны даже самой возможностью того, что какой-то сторонний сервис может собрать данные карт (даже потенциально).

ildarz Jul 12 2018 at 12:51

Та самая «чудесная статья» демонстрирует фактическое поведение ПО (насколько качественно она это делает — вопрос отдельного разговора). Вы на это отвечаете цитатами из соглашений. Осмысленность такого «опровержения» примерно такая же, как утверждать, что человека не могут ограбить, потому что это незаконно. Более того, не понимаю, зачем вообще несколько цитат из положений конфиденциальности потребовалось оформлять как отдельный материал, а не как комментарий к исходной статье.

W0xel Jul 12 2018 at 13:01

UPD: люди с пикабу опубликовали видео, записанное приложением. Ссылка под постом.

UFO just landed and posted this here

dom1n1k Jul 12 2018 at 13:31

Соглашения это бла-бла, а жизнь всегда вносит толику как минимум раздолбайства, а как максимум прямого обмана. Написано может быть что угодно, а по факту доступ к серверу имеет пяток Вась Пупкиных, набранных по объявлению. Утечки происходят постоянно и уж конечно никакими прайваси полиси они не были предусмотрены.

Далее. Даже если данные карт действительно там не сохраняются, лично для меня это лишь отсуствие лишнего отягчающего. Сам факт записи видео — неважно с какими целями и как зарегулированного бумажками — на 100% достаточная причина снести такое приложение.

Neuromantix Jul 16 2018 at 13:27

Все эти разговоры вокруг да около можно перебить одной фразой — «Вам видео с моего телефона не нужно. И вам я не давал разрешения его писать, тем более скрытно.»
Потом будут майнить так же, использовать чужие телефоны для меш-сетей. ботнетов, ретрансляции и тп. Это МОЙ телефон, а все любители его поюзать на халяву — идите в баню!

UFO just landed and posted this here