Nguy cơ lộ danh bạ khi dùng Pi Network

11:25 | 20/05/2021

Ứng dụng Pi Network bị phát hiện tải danh bạ người dùng lên máy chủ và không xóa hết ngay cả khi người dùng xóa tài khoản.

Việc tải danh bạ người dùng lên máy chủ ban đầu được phát hiện bởi nhà nghiên cứu Ryan M. Montgomery với phiên bản Pi Network dành cho iOS. Mới đây, hai nhà nghiên cứu bảo mật Phạm Tiến Mạnh và Dương Tiểu Đồng đến từ nhóm Chống lừa đảo của Việt Nam phân tích phiên bản Pi Network trên Android và cũng phát hiện vấn đề tương tự. Thậm chí ở phát hiện mới, Pi Network còn lưu trữ danh bạ ngay cả khi người dùng hủy tài khoản.

Phiên bản mà hai nhà nghiên cứu sử dụng là Pi Network 1.30.3 được cập nhật ngày 4/3 - mới nhất trên Android. Sau khi khởi động, app truy cập một số dữ liệu trên máy, gồm tên thiết bị, loại kết nối, bộ nhớ trống.

Trên ứng dụng Pi Network có tính năng "Nhóm khai thác". Người dùng Pi được khuyến khích khai thác theo nhóm để tăng tốc độ nhận Pi, cũng như tạo "Vòng tròn bảo mật". Để mời người khác vào nhóm, người dùng có thể lựa chọn như gửi qua Facebook hoặc mời bạn bè trên danh bạ.

nguy co lo danh ba khi dung pi network
Pi Network yêu cầu truy cập danh bạ. Ảnh: Lưu Quý

Theo nghiên cứu của Mạnh và Đồng, ngay khi cấp quyền truy cập danh bạ lần đầu tiên, ứng dụng sẽ tải toàn bộ danh bạ của người dùng lên máy chủ. Đồng thời, mỗi lần người dùng truy cập tính năng nhóm, Pi Network lại gửi một bản cập nhật của danh bạ lên.

Theo đánh giá của các nhà phát triển Android, việc cho phép truy cập danh bạ là một trong những quyền tương đối cao, được xếp hạng "nguy hiểm" trên thang đo mức độ an toàn của một ứng dụng. Ứng dụng chỉ có quyền làm vậy khi được phép của người dùng.

Tuy nhiên, vấn đề nghiêm trọng hơn mà hai nhà nghiên cứu Việt Nam chỉ ra là cách quản lý dữ liệu của Pi Network "yếu kém", dẫn đến danh bạ vẫn tồn tại trên máy chủ ngay cả khi người dùng kết thúc phiên sử dụng hoặc thậm chí xóa tài khoản.

Thông thường khi người dùng đăng xuất, đổi mật khẩu, xóa tài khoản, token xác thực của người dùng cũng sẽ bị xóa hoặc vô hiệu hóa. Tuy nhiên trong thử nghiệm, token xác thực này vẫn hợp lệ và có thể dùng để truy xuất dữ liệu. Ở tình huống người dùng không muốn sử dụng Pi Network và mong muốn xóa toàn bộ tài khoản cũng như dữ liệu, Pi Network chỉ xóa số đồng tiền Pi trong tài khoản còn vẫn giữ lại danh bạ.

"Chúng tôi thử gửi yêu cầu truy xuất danh bạ sau khi đã xóa tài khoản. Sau một số lần báo lỗi 401, máy chủ đã gửi lại dữ liệu này. Đây là một lỗi bảo mật cơ bản, chứng tỏ nhà phát triển chưa đầu tư nhiều về bảo mật", Phạm Tiến Mạnh nhận định.

nguy co lo danh ba khi dung pi network
Pi Network thông báo người dùng sẽ mất toàn bộ Pi nếu xóa tài khoản, trong khi danh bạ của người dùng vẫn có thể truy xuất. Ảnh: Cu64

Trong trả lời với nhà nghiên cứu bảo mật Ryan M. Montgomery hồi tháng 4, đội phát triển Pi giải thích việc tải danh bạ người dùng lên máy chủ là để "giúp người dùng tìm danh bạ để đưa vào vòng tròn bảo mật". Theo các chuyên gia bảo mật đến từ nhóm Chống lừa đảo, việc ứng dụng lấy thông tin danh bạ của người dùng đưa lên máy chủ tiềm ẩn nguy cơ mất thông tin không chỉ của những người sử dụng, mà của cả người thân, bạn bè trong danh bạ cũng bị ảnh hưởng gián tiếp.

Pi Network là nền tảng tiền ảo xuất hiện từ năm 2019, rộ lên tại Việt Nam đầu năm 2021. Sau khi tải ứng dụng lên smartphone, người dùng sẽ được tặng các đồng Pi với điều kiện cần vào điểm danh mỗi ngày. Nhiều người Việt Nam tham gia ứng dụng này với suy nghĩ "không mất gì mà vẫn có tiền" nếu sau này đồng Pi có giá trị. Hiện nay, giá của đồng Pi vẫn bằng 0 do chưa thể thực hiện giao dịch. Nền tảng này cũng bị nhiều chuyên gia bảo mật đánh giá là thiếu minh bạch, do không công bố mã nguồn.

Mới đây, Pi cũng bị nhắc tên trong vụ việc hàng nghìn chứng minh nhân dân của người Việt bị rao bán. Nhưng các nhà phát triển Pi phủ nhận bởi Pi chỉ dùng hộ chiếu để xác thực thông tin người dùng.

Nguồn: VnExpress

Thông tin chứng khoán

Cập nhật ảnh...
Nguồn : stockbiz.vn
Ngân hàng
KKH
1 tuần
2 tuần
3 tuần
1 tháng
2 tháng
3 tháng
6 tháng
9 tháng
12 tháng
24 tháng
Vietcombank
0,10
0,20
0,20
-
2,90
2,90
3,20
3,80
3,80
5,50
5,30
BIDV
0,10
-
-
-
3,10
3,10
3,40
4,00
4,00
5,60
5,60
VietinBank
0,10
0,20
0,20
0,20
3,10
3,10
3,40
4,00
4,00
5,60
5,60
Eximbank
0,10
0,20
0,20
0,20
3,50
3,50
3,50
5,60
5,80
6,20
6,30
ACB
-
0,20
0,20
0,20
3,00
3,10
3,20
4,40
4,80
5,50
6,20
Sacombank
-
-
-
-
3,20
3,50
3,60
5,00
5,20
5,70
6,30
Techcombank
0,03
-
-
-
2,45
2,45
2,65
3,90
3,90
4,50
4,50
LienVietPostBank
0,10
0,10
0,10
0,10
3,10
3,10
3,40
4,30
4,50
5,70
5,80
DongA Bank
-
0,20
0,20
0,20
3,40
3,40
3,40
5,30
5,50
5,80
6,10
Agribank
0,10
-
-
-
3,10
3,10
3,40
4,00
4,00
5,60
5,60
Ngân Hàng USD EUR GBP JPY
Mua vào Bán ra Mua vào Bán ra Mua vào Bán ra Mua vào Bán ra
Vietcombank 22.860 23.090 27.591 28.506 30.510 31.785 215,75 226,99
BIDV 22.890 23.090 27.760 28.872 30.667 31.563 217,28 226,03
VietinBank 22.870 23.090 27.852 28.957 30.988 31.998 217,30 226,30
Agribank 22.855 23.045 27.785 28.479 30.918 31.669 219,50 225,66
Eximbank 22.880 23.060 27.939 28.461 30.994 31.573 220,96 225,08
ACB 22.890 23.070 27.958 28.460 31.172 31.604 220,83 225,02
Sacombank 22.870 23.082 28.038 28.593 31.150 31.655 220,76 227,12
Techcombank 22.831 23.051 27.717 28.940 30.710 31.855 219,56 228,84
LienVietPostBank 22.870 23.050 27.067 27.571 30.322 31.186 214,74 218,67
DongA Bank 22.890 23.050 27.930 28.430 31.030 31.580 217,40 224,40
(Cập nhật trong ngày)

Giá vàng Xem chi tiết

Khu vực
Mua vào
Bán ra
HÀ NỘI
Vàng SJC 1L
56.150
56.770
TP.HỒ CHÍ MINH
Vàng SJC 1L
56.150
56.750
Vàng SJC 5c
56.150
56.770
Vàng nhẫn 9999
51.550
52.150
Vàng nữ trang 9999
51.150
51.850