FaceApp. Polacy sprawdzili, czy aplikacja jest bezpieczna

Popularna aplikacja do postarzania – FaceApp – nie pobiera wszystkich zdjęć z galerii, nie przechowuje ich na rosyjskich serwerach i nie wie do kogo dzwoni użytkownik. Zachowanie aplikacji sprawdzili eksperci z CERT Polska.

- Aplikacja FaceApp w wersji 3.4.9.1.9 z wysokim prawdopodobieństwem nie zawiera złośliwego oprogramowania ani backdoorów – napisali w oświadczeniu członkowie zespołu CERT Polska.

Eksperci z CERT Polska zbadali zachowanie aplikacji FaceApp, która w zeszłym tygodniu wzbudziła zarówno ogromne zainteresowanie jak i spore kontrowersje. Eksperci przeanalizowali to oprogramowanie, aby sprawdzić, czy faktycznie umożliwia ono “kradzież” danych.

Do badań została wykorzystana aplikacja w wersji 3.4.9.1 ze sklepu Google Play. Została ona uruchomiona w specjalnie przygotowanym do tego środowisku. Podczas użytkowania jej zachowanie było monitorowane a generowany ruch sieciowy nagrywany.

FaceApp. CERT Polska nie znalazł podejrzanej działalności

Po uruchomieniu aplikacji i zleceniu jej przerobienia zdjęcia zaobserwowano, że łączy się ona z kilkoma zewnętrznymi serwerami. Są to serwery producenta aplikacji znajdujące się w amerykańskim oddziale chmury Amazon EC2. Inne połączenia prowadzą bezpośrednio do serwerów Google, Microsoft i Facebooka. Żaden z serwerów nie znajduje się na terenie Rosji.

Eksperci CERT nie zauważyli podejrzanej działalności podczas łączenia się z serwerami. Analiza potwierdziła, że aplikacja nie przesyła samowolnie lokalnych plików lub zdjęć z galerii. Do chmury trafiają wyłącznie zdjęcia, które zostały ręcznie wskazane przez użytkownika aplikacji.

Eksperci CERT zwrócili uwagę, że udostępniając zdjęcie użytkownik udostępniał też dane EXIF w nim zapisane, m.in. dane lokalizacji GPS. O tym, co jeszcze udostępnia się razem ze zdjęciami pisaliśmy tutaj.

Analizie zostały poddane też uprawnienia jakich wymaga FaceApp do działania, które budziły wcześniej wątpliwości i były źródłem obaw o szpiegowanie przez aplikację. Eksperci ustalili, że:

• Dostęp do aparatu nie umożliwia aplikacji samowolnego wykonywania fotografii.
• Pełny dostęp do sieci daje możliwość połączenia z Internetem, nie umożliwia jednak wglądu w to, co wysyłają lub odbierają inne aplikacje.
• Wyświetlanie połączeń sieciowych pozwala aplikacji sprawdzić czy smartfon jest połączony z Internetem i w jaki sposób – przez WiFI, czy też sieć komórkową; uprawnienie nie daje wglądu w przesyłane informacje.
• Usługa płatności w Google Play działa wyłącznie w zakresie zakupu wersji “Pro” w tej konkretnej aplikacji; nie ma możliwości odczytu np. danych karty płatniczej.

Eksperci doszli do wniosku, że aplikacja nie żąda więcej uprawnień niż jest to niezbędne do jej działania. Jednocześnie informują, że opinia podana przez Polska Times, że aplikacja "będzie rejestrować i przesyłać na zewnętrzne serwery niemal wszystko to, co robimy – do kogo i kiedy dzwonimy, na jakie strony wchodzimy, za co płacimy, gdzie przebywamy, itd…" jest nieprawdziwa, a aplikacja nie ma takich możliwości.

- Podczas analizy aplikacji FaceApp nie znaleźliśmy żadnych jednoznacznych wskazań na to, że szpieguje ona swoich użytkowników. Nie zaobserwowaliśmy również, aby generowała nieuzasadniony ruch sieciowy lub wykorzystywała udzielone zgody, aby pozyskiwać nadmiarowe dane z naszego telefonu – czytamy w podsumowaniu opublikowanego na stronie CERT Polska.

Eksperci zaznaczają też, że podejrzewanie programu o szpiegostwo tylko dlatego, że jego twórca pochodzi z Rosji, to zbyt daleko idące wnioski. Podają przykłady rosyjskich programów i usług, które przyczyniły się do rozwoju internetu, jak np. WinRAR 7zip czy nginx, z którego korzysta ok 22 proc. stron internetowych na świecie.

Aplikacja FaceAppzdobyła szturmem światowy internet w zeszłym tygodniu. Wszystko zaczęło się od akcji marketingowej na Twitterze w Stanach Zjednoczonych opatrzonej tagiem #faceappchallenge. "Wyzwanie" stało się szybko popularne w USA, a chwilę później trafiło do Polski.