گزارش یک آسیب‌پذیری امنیتی

در محدوده: اپلیکیشن‌های موبایل Telvio، API و سرورهایی که با آن‌ها ارتباط دارند، و این وب‌سایت. هر چیزی که بتواند سوابق تماس، موجودی اعتبار یا شناسه نصب کاربر را افشا کند، امکان برقراری تماس با هزینه شخص دیگری را بدهد، یا شماره نمایش‌داده‌شده در تماس را تغییر دهد، اهمیت ویژه‌ای دارد.

خارج از محدوده: یافته‌های اسکنرهای خودکار بدون تأثیر اثبات‌شده؛ هدرهای امنیتیِ ناقص بدون پیامد قابل بهره‌برداری؛ هر چیزی که به دسترسی فیزیکی به دستگاهی قفل‌گشوده نیاز داشته باشد؛ مهندسی اجتماعی کارکنان یا کاربران ما؛ ایجاد اختلال در سرویس؛ مشکلات سرویس‌های شخص ثالثی که استفاده می‌کنیم، که باید مستقیماً به خود آن سرویس‌ها گزارش شوند؛ و گزارش‌هایی درباره نبود یک قابلیت — مثلاً محدودیت نرخی که می‌توانست سخت‌گیرانه‌تر باشد یا گزینه‌ای که ارائه نمی‌کنیم — نه نقص در قابلیتی که وجود دارد.

لطفاً به شیوه‌ای آزمایش نکنید که بر دیگران تأثیر بگذارد. به داده‌هایی که متعلق به شما نیستند دسترسی پیدا نکنید، آن‌ها را تغییر ندهید یا حذف نکنید، کیفیت سرویس را برای کاربران کاهش ندهید، برای اثبات اینکه می‌توانید با هزینه کاربر دیگری تماس برقرار کنید این کار را انجام ندهید، و از ابزارهای خودکار با حجمی استفاده نکنید که عملاً به آزمایش ایجاد اختلال در سرویس تبدیل شود. اگر برای نمایش یک مورد به حساب یا اعتبار نیاز دارید، درخواست کنید تا آن را فراهم کنیم.

مؤثرترین کنترل امنیتی موجود برای یک سرویس مصرفی، از ابتدا نگه‌نداشتن داده‌هاست و اینجا نیز کنترل اصلی همین است. ثبت‌نامی وجود ندارد، بنابراین پایگاه داده‌ای از کاربران هم وجود ندارد: هیچ نام، نشانی ایمیل، شماره تلفن یا گذرواژه‌ای برای سرقت وجود ندارد و چیزی هم برای حمله با پر کردن اطلاعات ورود وجود ندارد، چون هیچ اطلاعات ورودی‌ای وجود ندارد.

پرداخت کاملاً توسط Apple و Google پردازش می‌شود. ما هرگز شماره کارت، تاریخ انقضا، نشانی صورتحساب یا هیچ اطلاعات پرداخت دیگری را دریافت نمی‌کنیم — فقط یک شناسه رسید امضاشده را دریافت می‌کنیم. نفوذ به سیستم‌های ما نمی‌تواند ابزار پرداختی را افشا کند، چون هیچ‌کدام ذخیره نمی‌شود.

صدای تماس هرگز ضبط نمی‌شود. صدا در طول تماس به‌صورت رمزگذاری‌شده منتقل می‌شود و پس از آن به هیچ شکلی وجود ندارد. فهرست مخاطبان هرگز بارگذاری نمی‌شود: اگر دسترسی به مخاطبان به اپلیکیشن داده شود، فهرست روی خود دستگاه خوانده می‌شود تا بتوان شماره‌ای را انتخاب کرد و همان‌جا باقی می‌ماند. موقعیت مکانی دقیق هرگز جمع‌آوری نمی‌شود.

آنچه وجود دارد و در نتیجه در صورت رخنه افشا خواهد شد، صادقانه در سیاست حریم خصوصی توضیح داده شده است: یک شناسه نصب ناشناس که موجودی اعتبار را نگه می‌دارد، سوابق تماس از همان نوعی که در قبض تلفن وجود دارد، شناسه‌های رسید خرید، و داده‌های فنی از جمله نشانی‌های IP. سیگنال‌دهی تماس و صدا هنگام انتقال رمزگذاری می‌شوند، و همین‌طور تمام ترافیک میان اپلیکیشن و سرورهای ما؛ دسترسی به سوابق تماس نیز به افرادی محدود است که برای اداره سرویس به آن نیاز دارند.

سه مورد به‌طور مرتب گزارش می‌شوند که مطابق طراحی کار می‌کنند، و توضیح دادن آن‌ها در اینجا برای همه وقت کمتری می‌گیرد.

هر تماس همان شماره را نمایش می‌دهد. این موضوع عمدی است و در صفحه اختصاصی آن توضیح داده شده؛ همچنین نقطه مقابل ضعف شناسه تماس‌گیرنده است: اپلیکیشن هیچ راهی برای نمایش شماره‌ای دیگر ارائه نمی‌کند و همین ویژگی باعث می‌شود برای جعل هویتی که بیشتر کلاهبرداری‌های تلفنی به آن متکی هستند، قابل استفاده نباشد.

ورود به سیستم وجود ندارد و این به معنای نبود یک کنترل احراز هویت نیست. حسابی وجود ندارد که بخواهید به آن وارد شوید. شناسه نصب، توکنی برای دسترسی به موجودی اعتبار است و با آن نیز همین‌طور رفتار می‌شود؛ هرکس بتواند آن را از دستگاه بخواند، می‌تواند آن موجودی را خرج کند، به همین دلیل جز در بخش تنظیمات نمایش داده نمی‌شود و به خطر افتادن دستگاه خارج از محدوده است.

اپلیکیشن نمی‌تواند تماس یا پیام دریافت کند. گزارشی مبنی بر اینکه تماس‌های ورودی احراز هویت نمی‌شوند، گزارشی درباره قابلیتی است که وجود ندارد. هیچ مسیر ورودی‌ای وجود ندارد.

هیچ‌کدام از این موارد الزامی نیستند و همه آن‌ها تبادل پیام‌ها را کوتاه‌تر می‌کنند. گزارشی که بتوانیم بازتولید کنیم، گزارشی است که می‌توانیم برطرف کنیم؛ گزارشی که نتوانیم بازتولید کنیم به گفت‌وگو تبدیل می‌شود، و گفت‌وگو برای همه، از جمله کسی که مشکل را پیدا کرده، کندتر است.

یک شخص آن را می‌خواند و ظرف پنج روز کاری، و معمولاً زودتر، پاسخ می‌دهد. پاسخ اول یا می‌گوید که آن را بازتولید کرده‌ایم و تقریباً چه زمانی برطرف خواهد شد، یا یک پرسش لازم برای بازتولید آن را مطرح می‌کند، یا توضیح می‌دهد چرا فکر نمی‌کنیم یک آسیب‌پذیری باشد. گزارش‌ها را بی‌صدا نمی‌بندیم و تأییدیه خودکاری هم نمی‌فرستیم که بعد از آن دیگر خبری نباشد.

برای هر موردی که تأثیر واقعی داشته باشد، اصلاحیه منتشر می‌شود و به شما اطلاع می‌دهیم. پیش از انتشار، یک بازه زمانی معقول درخواست می‌کنیم — به‌اندازه‌ای که برای اصلاح و انتشار کافی باشد؛ برای یک اپلیکیشن موبایل، این بازه شامل چرخه بررسی فروشگاه اپلیکیشن نیز می‌شود که خارج از کنترل ماست — و اگر این کار بیش از معمول طول بکشد، صادقانه به شما می‌گوییم، نه اینکه بگذاریم مهلتی بی‌سروصدا بگذرد.

اگر با شما موافق نباشیم، این موضوع و دلیلش را می‌گوییم و شما آزادید این اختلاف‌نظر را منتشر کنید. سیاست افشایی که فقط زمانی کار کند که پژوهشگر با فروشنده موافق باشد، سیاست نیست.