Recentemente mentre ero in agguato intorno a uno dei siti di social network popolari con gente del posto, ho scoperto che il sito non elimina i dati GPS dalle immagini caricate. Li ho contattati e li ho informati delle mie preoccupazioni, ma la loro risposta è stata che ritengono che il caricamento di immagini con (potenzialmente) il tuo indirizzo di casa sia solo un errore dell'utente.
Ho provato a discuterne con loro, perché
- A molti utenti piace postare selfie sul sito, quindi ci sono un bel po 'di foto
- La base utente del sito contiene molti adolescenti e altre persone potenzialmente vulnerabili (per abusi reali se il loro indirizzo di casa / lavoro perde)
- L'API del sito semplifica la ricerca di selfie e altre immagini
- E infine, una volta che qualcuno commenta la tua foto, non può più cancellarlo (quindi anche se qualcuno realizza il suo errore non può più risolverlo, a meno che non contatti l'assistenza clienti per rimuovere le immagini offensive). Anche chiudere il sito di social network non eliminerà le tue foto già caricate che hanno commenti su di loro.
questo è qualcosa di cui preoccuparsi, ma in base alla loro risposta non la pensavano così, anche dopo aver mostrato loro alcune delle mie scoperte, come il fatto che usando le loro API circa il 13% delle immagini hanno informazioni GPS in i loro dati EXIF.
Per aumentare la consapevolezza ho creato un post sul blog (ancora non pubblicato) e un'applicazione open source (anch'essa non ancora pubblicata) che utilizza l'API del sito per esaminare le immagini di un utente e indica se sono vulnerabili o meno. Se lo sono, l'app suggerisce anche che dovrebbero contattare l'assistenza clienti e chiedere loro di eliminare completamente le immagini offensive dal sistema (in quanto è l'unico modo per sbarazzarsene).
Sfortunatamente mentre sto provando a fare in modo che l'app restituisca solo i dati minimi (indica solo all'utente se sono vulnerabili o meno, ma non traccia le posizioni su una mappa o simili), sono preoccupato che una persona malintenzionata dopo aver realizzato il buco potrebbe modificare l'app in modo tale da consentire di tracciare facilmente le posizioni delle persone che hanno caricato immagini con i dati GPS.
Le mie domande sono:
- Questo è effettivamente considerato un rischio per la sicurezza, o hanno ragione che questo è solo un errore dell'utente?
- Il mio approccio di pubblicare un post sul blog e un'applicazione con esso può dirti se sei vulnerabile o meno quello giusto da fare, dal momento che non sono riuscito a convincere gli sviluppatori a tappare questo buco?
- Dovrei essere preoccupato del fatto che se pubblico i miei risultati può portare a un'ondata di uso dannoso, che sono preoccupato che potrebbe portare alla vita reale stalking e abuso di alcuni dei membri del sito, o sono io solo preoccuparsi troppo?