آؤٹ لک ڈاٹ کام کی اینڈرائڈ ایپ فائلوں کو خفیہ نہیں کرتی ہے۔ تم کیوں نہیں

اگر آپ آؤٹ لک ڈاٹ کام سے ای میل پڑھنے اور بھیجنے کے لئے اینڈرائڈ ایپ کا استعمال کرتے ہیں تو ، ای میل منسلکات کو محفوظ طریقے سے محفوظ نہیں کیا جاسکتا ہے۔ مائیکروسافٹ کا کہنا ہے کہ خفیہ کاری پہلی جگہ میں اطلاق کی ذمہ داری نہیں ہے۔

انکلوڈ سیکیورٹی کے محققین نے آؤٹ لک ڈاٹ کام کے لئے مائیکرو سافٹ کے اینڈرائڈ کلائنٹ کو انجینئر کیا اور پتہ چلا کہ ای میل کے اٹیچمنٹ آلے کے ایس ڈی کارڈ پر بغیر خفیہ رکھے جاتے ہیں ، محقق پاولو سوٹو نے گذشتہ ہفتے کمپنی کے بلاگ پر لکھا تھا۔ یہ فائلیں کسی بھی ایپ کے ذریعہ پڑھ سکتی ہیں جس میں SD کارڈ تک رسائی حاصل ہے۔ کوئی بھی ایسڈی کارڈ کو دوسرے آلے میں پاپ کر کے مشمولات پڑھ سکتا ہے۔

کسی کا احساس ہے ، کوئی؟ اس ماہ کے شروع میں ، ایپل کو اس وقت تنقید کا نشانہ بنایا گیا جب یہ نکلا کہ میل منسلکات کو iOS آلات پر مستقل طور پر خفیہ نہیں کیا جارہا تھا۔ حقیقت یہ ہے کہ آئی او ایس پر اٹیچمنٹ کو انکرپٹ نہیں کیا گیا ہے اس سے کارپوریشنوں اور حکومتوں کے لئے سرخ جھنڈے اٹھ سکتے ہیں جن کے پاس ملازمین موبائل آلات پر کام کے ڈیٹا تک رسائی حاصل کرتے ہیں۔ iOS مسئلے پر محدود اثر پڑا کیونکہ ڈیوائس پاس کوڈ ایک روکنے والے کے طور پر کام کرتا تھا۔ تاہم ، اس صورت میں ، اگر ایپ SD کارڈ پر فائلوں کو محفوظ کررہی ہے تو ، حملہ آوروں کو دور رکھنے کے لئے کوئی روکاوٹ نہیں ہے۔

یہ بات قابل غور ہے کہ بہت سی دوسری ایپس فائلوں کو پہلے انکرپٹ کیے بغیر SD کارڈ پر اسٹور کرتی ہیں۔ "اگرچہ مثالی نہیں ہے ، یہ یقینی طور پر زیادہ تر ایپس کے لئے معمول ہے جو ایس ڈی کارڈ پر ڈیٹا محفوظ کرتے ہیں ،" وینڈ فورینکس کے سی ای او اور شریک بانی ، اینڈریو ہوگ نے ​​کہا۔ انہوں نے کہا کہ ماضی میں کمپنی نے ایپ ڈویلپرز کو متنبہ کیا ہے۔

سیکیورٹی میں شامل دیگر میسجنگ ایپس کی طرح برتاؤ کی نمائش شامل کریں۔ انکلوڈ سیکیورٹی کے منیجنگ پارٹنر ایرک کابیٹاس نے کہا ، "ہم ڈیٹا کی رازداری کے لئے موبائل فون فائل سسٹم کی خفیہ کاری کے ایک بڑے مسئلے کے بارے میں صارف کے شعور میں اضافہ کرنا چاہتے ہیں۔"

کیا یہ ایپ کا کام ہے؟

سیکیورٹی واچ میں ، ہم قارئین کو بار بار اس بات کی یاد دلاتے ہیں کہ پاس کوڈ یا پن کو اہل بنائیں تاکہ ان کے ڈیٹا کے کھو جانے یا چوری ہونے کی صورت میں ان کے ڈیٹا کے مندرجات کی حفاظت کریں۔ اس حقیقت سے کہ چور صرف ایس ڈی کارڈ کو کسی دوسرے آلے میں پاپ کرسکتے ہیں اور میل ڈیٹا دیکھ سکتے ہیں اس ساری توقع کو ختم کردیتا ہے کہ جسمانی آلہ کو محفوظ رکھنے سے حملہ آور ہمارے ڈیٹا سے دور ہوجاتے ہیں۔ تاہم ، سوال بہت آسان ہے: کیا ڈیٹا کو خفیہ کرنا ایپ کا کام ہے ، یا صارف کا؟

سوٹو کے مطابق ، مائیکرو سافٹ نے انکلوڈ سیکیورٹی کو بتایا کہ "صارفین کو کسی بھی ایپلی کیشن یا آپریٹنگ سسٹم میں ڈیفالٹ کے ذریعہ ڈیٹا کو خفیہ شدہ نہیں سمجھنا چاہئے جب تک کہ اس کے بارے میں کوئی واضح وعدہ نہ کیا جائے۔"

سوٹو نے کہا کہ اس کے برعکس معاملہ ہونا چاہئے ، کیونکہ صارفین کے لئے یہ مناسب ہوگا کہ وہ اپن کھولنے کے لئے جو PIN داخل کرتے ہیں وہ ان کے پیغامات کی رازداری کو بھی محفوظ رکھتا ہے۔ سوٹو نے کہا ، "بہت کم از کم ، ایپ فروش کسی صارف کو متنبہ کرسکتے ہیں اور تجویز کرسکتے ہیں کہ وہ فائل سسٹم کو انکرپٹ کریں کیونکہ ایپلی کیشن رازداری کی کوئی یقین دہانی نہیں فراہم کرتی ہے۔"

مائیکرو سافٹ کے ترجمان نے سیکیورٹی واچ کو بتایا ، "وہ صارفین جو اپنے ای میل کو خفیہ کرنا چاہتے ہیں وہ اپنے فون کی ترتیبات میں جاکر ایسڈی کارڈ کے ڈیٹا کو خفیہ کرسکتے ہیں۔"

بدقسمتی سے ، ایسا لگتا ہے کہ "یہ ایک عام رویہ ہے جسے ہم اکثر دیکھتے ہیں ،" کیون واٹکنز ، چیف معمار اور اپتھورٹی کے شریک بانی۔ کسی بھی وقت نجی اعداد و شمار مقامی طور پر آلہ پر محفوظ کیا جاتا ہے ، حملہ آور کے ذریعہ عام طور پر یہ قابل رسائی ہوتا ہے۔ واٹکنز نے نوٹ کیا کہ یہاں تک کہ اگر ایپ ڈویلپرز سیف گارڈز پر عمل درآمد کرتے ہیں تو ، اگر کوئی حملہ آور جو پرعزم ہے یا کافی سخت ہے تو بھی وہ ڈیٹا کو ڈکرپٹ کر سکتا ہے۔

مائیکرو سافٹ نے سیکیورٹی واچ کو بتایا کہ سینڈ باکس کی خصوصیت کی وجہ سے ایک ایپ کے ڈیٹا کو Android پر دوسرے ایپس کے ذریعہ غیر قانونی طور پر رسائی حاصل نہیں کی جاسکتی ہے۔ یہ سچ ہے اگر ایپ ایپ کی ڈیٹا ڈائریکٹری میں منسلکات کو اسٹور کرتی ہے نہ کہ SD کارڈ۔ جیسا کہ ہوگ نے ​​نوٹ کیا ، اس میں بہت زیادہ جگہ لگ سکتی ہے ، اسی وجہ سے ڈویلپر اس کے بجائے ایس ڈی کارڈ کا استعمال کرتے ہیں۔

ہوگ نے ​​کہا ، ایپ عارضی طور پر / tmp ڈائرکٹری میں فائلیں ڈاؤن لوڈ کرسکتی ہے ، اس کا مطلب یہ ہوگا کہ صارفین کو ہر بار فائل ڈاؤن لوڈ کرنا ہوگی۔ لیکن اس فیصلے کی اپنی غلطیاں ہیں۔

کون متاثر ہوتا ہے

سوفوس کے سیکیورٹی کے مشیر میکسم وینسٹائن نے کہا کہ زیادہ تر صارفین پرائیویسی مضمرات سے متعلق جنگلی نہیں ہوسکتے ہیں ، لیکن ان پر اثر "نسبتا minor معمولی ہے"۔

سب سے زیادہ مضمرات ان تنظیموں کے لئے ہیں جو آؤٹ لک ڈاٹ کام کا استعمال کرتے ہیں اور ای میل کے ذریعے اعلی قدر والے ڈیٹا بھیجتے ہیں۔ وین اسٹائن نے کہا ، تاہم ، ڈیٹا کو صحیح طریقے سے محفوظ رکھنے کو یقینی بنانے کے ل mobile انہیں پہلے سے ہی موبائل ڈیوائس مینجمنٹ سوفٹ ویئر اور دیگر ٹولز کا استعمال کرنا چاہئے۔

کم از کم ، صارفین کو پہلے ہی ایسڈی کارڈ ڈیٹا کو خفیہ کرنا چاہئے تاکہ کوئی صرف کارڈ چوری نہ کر سکے اور فائلیں پڑھ نہ سکے۔

سیکیورٹی کو دیگر سفارشات تھیں شامل کریں: ترتیبات-ڈویلپر کے اختیارات میں جاکر Android ڈیوائس پر USB ڈیبگنگ کو بند کریں۔ ایس ڈی کارڈ (/ ایس ڈی کارڈ / بیرونی_ ایس ڈی) کے علاوہ کسی اور مقام پر ای میل کے اٹیچمنٹ کیلئے ڈیفالٹ ڈاؤن لوڈ ڈائرکٹری تبدیل کریں۔ اس طرح ، یہاں تک کہ اگر آلہ کھو گیا یا چوری ہو گیا ہے ، تو اعداد و شمار آلے کے PIN یا پاس کوڈ کے پیچھے محفوظ ہیں اور اسے بے نقاب نہیں کیا گیا ہے۔

موبائل کی سیکیورٹی کے دوسرے سلوک اطلاق ہوتے ہیں ، جیسے قابل اعتماد ایپ اسٹورز کے علاوہ ذرائع سے ایپس سے پرہیز ، موبائل سیکیورٹی سافٹ ویئر انسٹال کرنا ، اور آلہ کو پاس ورڈ سے تحفظ فراہم کرنا۔

واٹکنز نے کہا ، "اپنے فون کو کھونے کی کوشش نہیں کریں۔"