А что такое этот ваш AppSee? [Re: Приложение Burger King тайно записывает экран телефона! ]

[unlor]

Вольный перевод «Карта тепла» можно заменить на точный и распространенный «тепловая карта кликов»

[W0xel]

Заменил

[Theodor]

Простите, но

НИКАКУЮ другую информацию приложение и сервисы Бургер Кинга обрабатывать не могут.

а на заборе написано, что Петя Маше не изменял…

[W0xel]

Погодите ка. А что такое конституция? На бумажке написано же! А что такое законы? Написаны же на бумажке! Это я о чём: такие соглашения являются официальными документами, а ваша безопасность и приватность устанавливается законами и соглашениями.

[luch_kot]

Думаю, комментатор хотел сказать, что наличие текста != безукоснительное следование ему.
Техническая возможность обработки данных была продемонстрирована.
1. Возможность показывать или скрывать данные банковских карт — это опция.
2. Даже при скрытии банковских данных на экране, тепловая карта кликов во временной развёртке поверх клавиатуры даёт нам всю введённую информацию.

[W0xel]

Записи с клавиатуры не существует в AppSee. Карта нажатий отключена во время работы клавиатуры. Вот скриншот Сергея с пикабу панели с открытой клавиатурой:

[W0xel]

Ну, начнем с того, что я не имею никакого отношения к компании. Ни к одной.
Поля ввода закрыты, но я не могу сказать, как именно он это делает. Когда запущена клавиатура экран не записывается + отключается запись тепловой карты.

[Theodor]

А как они исполняются? ;) И вообще про политику не надо.
Заявлять КАПСОМ, что кто-то что-то там не будет делать с данными, потому что так написано в eula — слишком громко и наивно. Особенно на фоне всяких последних скандалов про утечки и взломы.
Соглашения никак не защитят от утечки ценных/персональных данных, они для потом, для суда.
То, что в соглашении написано «мы не собираем/не храним А, B и C» еще не значит, что это правда.

[1024bita]

Речь же о том что это не соблюдается. Написано одно, а что они в реальности делают только им и известно. Факт в том, что конф.данные могут уйти.

[Klenov_s]

Т.е. опираясь только на законы, вы смело пойдете навстречу человеку, направившему на вас пистолет? Ведь согласно законам, он не может в вас выстрелить )

[W0xel]

Извините меня, тогда выключайте интернет! Речь идёт не о «согласно законам» а об отсутствии возможности записи полей и клавиатуры как таковой.

[Klenov_s]

Речь идет о том, что возможность записи полей управляется одним параметром, который присылает сервер.

[RoboForm]

По поводу оригинальных +60 так и хочется возопить «Хабр, что ты делаешь, прекрати...»

Можно добавить, что

1. Передача видео шифруется и никаким «сторонним» хакерам оно (видео) недоступно. Проведенный эксперимент осуществлен в домашних условиях ручной подменой сертификата.

2. Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

3. Доступа к видео ни у кого, кроме владельца приложения, нет.

[1024bita]

Вы же понимаете, что можно только надеяться что доступа нет у третьих лиц. Не факт что завтра их систему взламают и терабайты видео попадут в сеть.

[W0xel]

Для этого существует шифрование. Поймите, что сейчас «взломают и уведут» превратилось взломают и не получат никакого профита, кроме тысяч зашифрованных документов.

[Klenov_s]

Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

Как минимум эта инфа доступна AppSee, как она там хранится и защищается никому не известно. Все мы помним, как недавно извинялся твиттер, за случайное хранение паролей в открытом виде…

[RoboForm]

Она (вроде) замазывается на устройстве. И поэтому автор и не может предъявить нормального видео.

[Klenov_s]

Даже если допустить такое поведение, то оно не зашито в приложение железно. Этим всем управляет сервер, он может прислать HideSensitiveViews=True, а может и не прислать.
Одна эта возможность помноженная на небольшую криворукость может повлечь большую утечку очень чувствительных данных.

[CheY]

2. Важные поля по умолчанию замазываются, поэтому информация о картах и т.п. недоступна даже BurgerKing.

а шифруется и замазывается в какой момент? есть бургеркинги, есть сервисы аналитики, а есть МПС Visa и MC, у которых очень жёсткие требования к тому, как платёжная информация может обрабатываться, храниться и т.п. вплоть до требования получения PCI DSS. и что-то я очень сомневаюсь, что они будут довольны даже самой возможностью того, что какой-то сторонний сервис может собрать данные карт (даже потенциально).

[ildarz]

Та самая «чудесная статья» демонстрирует фактическое поведение ПО (насколько качественно она это делает — вопрос отдельного разговора). Вы на это отвечаете цитатами из соглашений. Осмысленность такого «опровержения» примерно такая же, как утверждать, что человека не могут ограбить, потому что это незаконно. Более того, не понимаю, зачем вообще несколько цитат из положений конфиденциальности потребовалось оформлять как отдельный материал, а не как комментарий к исходной статье.

[W0xel]

UPD: люди с пикабу опубликовали видео, записанное приложением. Ссылка под постом.

[dom1n1k]

Соглашения это бла-бла, а жизнь всегда вносит толику как минимум раздолбайства, а как максимум прямого обмана. Написано может быть что угодно, а по факту доступ к серверу имеет пяток Вась Пупкиных, набранных по объявлению. Утечки происходят постоянно и уж конечно никакими прайваси полиси они не были предусмотрены.

Далее. Даже если данные карт действительно там не сохраняются, лично для меня это лишь отсуствие лишнего отягчающего. Сам факт записи видео — неважно с какими целями и как зарегулированного бумажками — на 100% достаточная причина снести такое приложение.

[Neuromantix]

Все эти разговоры вокруг да около можно перебить одной фразой — «Вам видео с моего телефона не нужно. И вам я не давал разрешения его писать, тем более скрытно.»
Потом будут майнить так же, использовать чужие телефоны для меш-сетей. ботнетов, ретрансляции и тп. Это МОЙ телефон, а все любители его поюзать на халяву — идите в баню!