Poslední dny jsme prošli bezpečnost PockyAPP od serveru po každou aplikaci a řadu věcí utáhli. Změny na serveru a webu už platí. Aplikace je dostaly v Androidu ve verzi 0.10.3-Fix #2 a ve Windows ve verzi 0.10.3-securityfix.
Server: méně příležitostí pro útočníka
Největší část práce proběhla tam, kde ji nevidíš. Pokusy o přihlášení jsou omezené, takže kdo zkouší hádat hesla, se rychle zastaví, a stejně tak hromadné zakládání účtů. Nový účet vznikne jen s jednorázovým pozvánkovým kódem a nové heslo musí mít aspoň deset znaků. Správcovské rozhraní serveru je zavřené z internetu a dostane se k němu jen správce přímo na serveru.
Zkrátili jsme také stopy, které po tobě zůstávají. IP adresy přihlášených zařízení se drží nejvýš týden a smazané zprávy zmizí i z databáze do sedmi dnů. Veřejné seznamy místností a profily vidí jen přihlášení lidé a profily jen ti, kdo s tebou sdílí místnost. Odkazy ze zpráv server nestahuje, takže cizí weby nezjistí, o čem se píše.
Web: i škodlivý kód narazí
Webová aplikace teď prohlížeči zakazuje spouštět cizí skripty. I kdyby se někomu podařilo vložit do stránky škodlivý kód, prohlížeč ho odmítne. Web má nově zámek aplikace chráněný PINem a odkazy kontroluje stejně jako telefon.
Aplikace: kontrola v rukou uživatele
V Androidu i ve Windows přibyly čtyři věci:
- Zámek, který umí smazat data. Po deseti špatných PINech se aplikace odhlásí a data v zařízení smaže. Zapíná se v nastavení zámku a je jen na tobě.
- Kontrola odkazů. Z odkazů mizí sledovací parametry, třeba
utm_nebofbclid, a aplikace varuje, když text odkazu ukazuje jinam, než kam vede. - Podepsané aktualizace. Aplikace nainstaluje jen aktualizaci podepsanou vývojářem. Podvržený soubor po cestě neprojde.
- Klíč k obnově ve schránce po minutě sám zmizí.
V Androidu navíc oznámení na zamčeném telefonu ukazuje jen „Nová zpráva“ a systém nedělá zálohy ani přenos dat do jiného telefonu. Ve Windows se mapa nedá přesměrovat na cizí stránku.
Co udělat teď
Aktualizuj na nejnovější verzi. Aplikace ji nabídne sama, nebo ji najdeš na stránce Stáhnout.
Zapnutí zámku s mazáním dat si rozmysli. Smaže opravdu všechno, co je v zařízení, a bez klíče k obnově se ke starým šifrovaným zprávám už nedostaneš.
Našel(a) jsi v něčem slabinu? Napiš na dev@pokecio.com. Přečteme to a ozveme se.