Nguy cơ lộ danh bạ khi dùng Pi Network

11:25 | 20/05/2021

Ứng dụng Pi Network bị phát hiện tải danh bạ người dùng lên máy chủ và không xóa hết ngay cả khi người dùng xóa tài khoản.

Việc tải danh bạ người dùng lên máy chủ ban đầu được phát hiện bởi nhà nghiên cứu Ryan M. Montgomery với phiên bản Pi Network dành cho iOS. Mới đây, hai nhà nghiên cứu bảo mật Phạm Tiến Mạnh và Dương Tiểu Đồng đến từ nhóm Chống lừa đảo của Việt Nam phân tích phiên bản Pi Network trên Android và cũng phát hiện vấn đề tương tự. Thậm chí ở phát hiện mới, Pi Network còn lưu trữ danh bạ ngay cả khi người dùng hủy tài khoản.

Phiên bản mà hai nhà nghiên cứu sử dụng là Pi Network 1.30.3 được cập nhật ngày 4/3 - mới nhất trên Android. Sau khi khởi động, app truy cập một số dữ liệu trên máy, gồm tên thiết bị, loại kết nối, bộ nhớ trống.

Trên ứng dụng Pi Network có tính năng "Nhóm khai thác". Người dùng Pi được khuyến khích khai thác theo nhóm để tăng tốc độ nhận Pi, cũng như tạo "Vòng tròn bảo mật". Để mời người khác vào nhóm, người dùng có thể lựa chọn như gửi qua Facebook hoặc mời bạn bè trên danh bạ.

nguy co lo danh ba khi dung pi network
Pi Network yêu cầu truy cập danh bạ. Ảnh: Lưu Quý

Theo nghiên cứu của Mạnh và Đồng, ngay khi cấp quyền truy cập danh bạ lần đầu tiên, ứng dụng sẽ tải toàn bộ danh bạ của người dùng lên máy chủ. Đồng thời, mỗi lần người dùng truy cập tính năng nhóm, Pi Network lại gửi một bản cập nhật của danh bạ lên.

Theo đánh giá của các nhà phát triển Android, việc cho phép truy cập danh bạ là một trong những quyền tương đối cao, được xếp hạng "nguy hiểm" trên thang đo mức độ an toàn của một ứng dụng. Ứng dụng chỉ có quyền làm vậy khi được phép của người dùng.

Tuy nhiên, vấn đề nghiêm trọng hơn mà hai nhà nghiên cứu Việt Nam chỉ ra là cách quản lý dữ liệu của Pi Network "yếu kém", dẫn đến danh bạ vẫn tồn tại trên máy chủ ngay cả khi người dùng kết thúc phiên sử dụng hoặc thậm chí xóa tài khoản.

Thông thường khi người dùng đăng xuất, đổi mật khẩu, xóa tài khoản, token xác thực của người dùng cũng sẽ bị xóa hoặc vô hiệu hóa. Tuy nhiên trong thử nghiệm, token xác thực này vẫn hợp lệ và có thể dùng để truy xuất dữ liệu. Ở tình huống người dùng không muốn sử dụng Pi Network và mong muốn xóa toàn bộ tài khoản cũng như dữ liệu, Pi Network chỉ xóa số đồng tiền Pi trong tài khoản còn vẫn giữ lại danh bạ.

"Chúng tôi thử gửi yêu cầu truy xuất danh bạ sau khi đã xóa tài khoản. Sau một số lần báo lỗi 401, máy chủ đã gửi lại dữ liệu này. Đây là một lỗi bảo mật cơ bản, chứng tỏ nhà phát triển chưa đầu tư nhiều về bảo mật", Phạm Tiến Mạnh nhận định.

nguy co lo danh ba khi dung pi network
Pi Network thông báo người dùng sẽ mất toàn bộ Pi nếu xóa tài khoản, trong khi danh bạ của người dùng vẫn có thể truy xuất. Ảnh: Cu64

Trong trả lời với nhà nghiên cứu bảo mật Ryan M. Montgomery hồi tháng 4, đội phát triển Pi giải thích việc tải danh bạ người dùng lên máy chủ là để "giúp người dùng tìm danh bạ để đưa vào vòng tròn bảo mật". Theo các chuyên gia bảo mật đến từ nhóm Chống lừa đảo, việc ứng dụng lấy thông tin danh bạ của người dùng đưa lên máy chủ tiềm ẩn nguy cơ mất thông tin không chỉ của những người sử dụng, mà của cả người thân, bạn bè trong danh bạ cũng bị ảnh hưởng gián tiếp.

Pi Network là nền tảng tiền ảo xuất hiện từ năm 2019, rộ lên tại Việt Nam đầu năm 2021. Sau khi tải ứng dụng lên smartphone, người dùng sẽ được tặng các đồng Pi với điều kiện cần vào điểm danh mỗi ngày. Nhiều người Việt Nam tham gia ứng dụng này với suy nghĩ "không mất gì mà vẫn có tiền" nếu sau này đồng Pi có giá trị. Hiện nay, giá của đồng Pi vẫn bằng 0 do chưa thể thực hiện giao dịch. Nền tảng này cũng bị nhiều chuyên gia bảo mật đánh giá là thiếu minh bạch, do không công bố mã nguồn.

Mới đây, Pi cũng bị nhắc tên trong vụ việc hàng nghìn chứng minh nhân dân của người Việt bị rao bán. Nhưng các nhà phát triển Pi phủ nhận bởi Pi chỉ dùng hộ chiếu để xác thực thông tin người dùng.

Nguồn: VnExpress

Thông tin chứng khoán

Cập nhật ảnh...
Nguồn : stockbiz.vn
Ngân hàng
KKH
1 tuần
2 tuần
3 tuần
1 tháng
2 tháng
3 tháng
6 tháng
9 tháng
12 tháng
24 tháng
Vietcombank
0,10
0,20
0,20
-
3,10
3,10
3,40
4,00
4,00
5,50
5,30
BIDV
0,10
-
-
-
3,10
3,10
3,40
4,00
4,00
5,60
5,60
VietinBank
0,10
0,20
0,20
0,20
3,10
3,10
3,40
4,00
4,00
5,60
5,60
Eximbank
0,10
0,20
0,20
0,20
3,50
3,50
3,50
5,60
5,80
6,10
6,30
ACB
-
0,20
0,20
0,20
3,00
3,10
3,20
4,40
4,80
5,50
6,20
Sacombank
0,03
-
-
-
3,10
3,20
3,30
4,60
4,90
5,50
6,00
Techcombank
0,03
-
-
-
2,45
2,45
2,65
3,90
3,90
4,50
4,50
LienVietPostBank
0,10
0,10
0,10
0,10
3,10
3,10
3,40
4,20
4,40
5,60
5,60
DongA Bank
-
0,20
0,20
0,20
3,40
3,40
3,40
5,30
5,50
5,80
6,10
Agribank
0,10
-
-
-
3,10
3,10
3,40
4,00
4,00
5,60
5,60
Ngân Hàng USD EUR GBP JPY
Mua vào Bán ra Mua vào Bán ra Mua vào Bán ra Mua vào Bán ra
Vietcombank 22.645 22.875 26.488 27.866 31.023 32.318 204.16 214.87
BIDV 22.675 22.875 26.575 27.683 31.139 32.402 203.99 213.29
VietinBank 22.653 22.873 26.607 27.727 31.399 32.409 204.47 213.47
Agribank 22.665 22.855 26.787 27.493 31.334 32.117 205.87 211.70
Eximbank 22.680 22.860 26.871 27.398 31.480 32.096 206.75 210.81
ACB 22.680 22.860 26.814 27.429 31.401 31.993 206.11 211.05
Sacombank 22.668 22.883 26.953 27.513 31.568 32.084 206.29 212.66
Techcombank 22.659 22.869 26.643 27.863 31.118 32.281 205.24 214.28
LienVietPostBank 22.660 22.860 26.875 27.928 31.504 31.988 207.19 213.97
DongA Bank 22.700 22.860 26.930 27.410 31.560 32.110 203.80 210.30
(Cập nhật trong ngày)

Giá vàng Xem chi tiết

Khu vực
Mua vào
Bán ra
HÀ NỘI
Vàng SJC 1L
56.450
57.120
TP.HỒ CHÍ MINH
Vàng SJC 1L
56.450
57.120
Vàng SJC 5c
56.450
57.120
Vàng nhẫn 9999
50.400
51.300
Vàng nữ trang 9999
50.000
51.000