صراحة

استخدمت منظمة Ungender الهندية، تطبيق صراحة لمعالجة مشكلة التحرش الجنسي.[11]

تعرض موقع تطبيق صراحة لأكثر من ثغرة وهفوة التي لو تلقفها المخترقين، لكانت تعرض بيانات وخصوصية المستخدمين للسرقة مما يعرضهم لأن يكونوا ضحية انتحال شخصية أو ضحية هندسة اجتماعية أو ابتزاز، ومن جهة ثانية خادم بأمان هش يصبح مفتوحاً لبعثرة كل أنواع البرمجيات الخبيثة.[14]

اكتشف أحد الخبراء الأردنيين، خير الأحمد، ثغرة في موقع صراحة وقام بتجربة اختراق ورفع على الموقف ملف «جافا سكريبت» كـ "minimal proof of concept"، وراسل المطور زين العابدين بن توفيق، ليخبره بوجود الثغرة، وقام الأخير بتصحيحها بسرعة.[14]

وفي أغسطس 2017، تمكن الباحث في أمن المعلومات من كشف ثغرة من نوع XSS أو Cross Site scripting وهي ثغرة في تطبيق الويب الخاص بموقع صراحة يمكن استغلالها، لسرقة حساب مستخدم موقع صراحة المُستهدف، أو إلغاء حساب مستخدم موقع صراحة المُستهدف، أو قراءة كافة رسائل حساب مستخدم موقع «صراحة» المستهدف.[14]

وأشار خبير ألأمن محمد عبد الباسط من شركة Seekcurity المتخصصة بأمن المعلومات، أنه قام بالتواصل مع المطور في عام 2016، عبر تويتر لإجراء اختبار اختراق لموقع صراحة بالإضافة إلى تطبيقاته الأخرى (بشكل مجاني) ولكن المطور تجاهل عرض الشركة وامتنع عن التواصل معه.[14]

وعندما قام خبراء أمن أخرون، بتحليل نسخة APK للتطبيق باستخدام موقع Virtustotal، وجدوا أن التطبيق يطلب صلاحيات لا حاجة لطبيق من هذا النوع لها، كاستخدام الكاميرا لالتقاط الصور في أي وقت، وصلاحيته أيضاً الكتابة على شريحة SD بالإضافة إلى السماح للتطبيق قراءة البيانات من مستوعب حفظ خارجي.[14]

رد المطور زين العابدين توفيق في تغريدة على موقع تويتر على مقالة The intercept، أشار فيه إلى أنه «سيحذف طلب الحصول على البيانات في التحديث المقبل للتطبيق»، وأن الصلاحية موجودة لتلبية ميزة «البحث عن أصدقاء» وهي ميزة لم يتمكن التطبيق من تأمينها، حسب زين العابدين توفيق، لأسباب تقنية، وهي غير متوفرة في التطبيق. وتساءلت وسائل إعلام لماذا يطلب التطبيق صلاحية لميزة لم توفر بعد. وتواصلت كاتبة من صحيفة مونت كارلو الدولية، مع زين العابدين توفيق، وتوجهت له بعدة أسئلة؛ عن مصير البيانات التي يخزنها في خوادم التطبيق، وعن قضية الصلاحيات التي يطلبها تطبيق صراحة، وهو ليس بحاجة لها كالكاميرا مثلاً. وأجابها بأنه، خوادم موقع صراحة لا تحتفظ بجهات الاتصال، أو بيانات أي من المستخدمين حالياً. وأن استخدام الكاميرا هو لالتقاط الصور للملف الشخصي. وتسأئلت الكاتبة لماذا تطبيق تواصل سري يخفي الهواية، بحاجة لتفعيل الكاميرا؟[14]

وقال الباحث سكوت هيلم، أن المخاوف الأمنية تركزت على نسخة الويب من تطبيق صراحة وليس تطبيق الموبايل. ووصف الباحث أن نظام الحماية CSRF الخاص بتطبيق صراحة يعتبر سهل التجاوز، حيث يعتبر بحد ذاته شكل خطير من الهجوم والذي يمكن أن يؤدي إلى تصرفات سيئة على حساب الفيس بوك للشخص الذي سجل من خلاله في خدمة صراحة، حيث أشار الباحث إلى أن المهاجم يمكن أ، يستغل هذا الأمر من أجل إجبار الحساب على تفضيل منشورات معينة.[15]

واكتشف الباحث هيلم أيضاً مشاكل خطرة مع نظام الحماية والذي يمنع الموقع من استخدام بروتوكول إتش اس تي أس HSTS والذي يُستخدم بشكل متزايد من أجل حماية المستخدمين من اختراق الكوكيز وهجمات البروتوكول منخفض الحماية.[15]

يمتلك تطبيق صراحة نظام تصفية (فلترة) والذي يستطيع من خلاله استبعاد منشورات بالاعتماد على الكلمات المستخدمة. وبحسب هذا النظام فإن كلمة سكريبت "Script" ضمن الكلمات المستبعدة، وتعد طريقة بلهاء من أجل تجنب هجمات XSS وذلك لكون هناك الكثير من الطرق من أجل إدخال الجافاسكريبت الخاص بالمهاجم دون استخدام وسم سكريبت. واكتشف الباحث أيضاً افتقار تطبيق صراحة لأي نوع من التقييد إذ يسمح للمستخدم بإمكاينة إرسال الكثير من الرسائل سوية. مما يسبب إزعاج الضحية بعدد لا نهائي من الرسائل المزعجة وذلك فقط من خلال كتابة سكريبت بسيط. وأشار إلى أن تطبيق صراحة يتفقر إلى وظيفة حذف متعدد للرسائل وهو ما يجبر الضحية على قراءة الرسالة أو على الأقل إلقاء نظرة سريعة على كل الرسائل المزعجة التي تتلقاها. وعبر الباحث عن مخاوفة من الطريقة التي يتعامل فيها الموقع مع إعادة تعيين كلمة السر في حالة نسيانها أو محاولات الدخول المعتمدة على التخمين، حيث يمكن أن يُستخدم بطريقة مزعجة. فمن أجل إعادة تعيين كلمة السر فلا يتطلب منك سوى عنوان البريد الإلكتروني المرتبط بالحساب ثم سيقوم الموقع بتوليد ذاتي لكلمة سر جديدة يتم إرسالها إلى ذلك الإيميل وهذا أيضاً لا يقيد بعدد محدد وبالتالي يمكن كتابة سكريبت من أجل تغيير كلمة السر كل ثلاثين ثانية وهذا لن يؤدي إلى ملء صندوق الوارد للضحية فحسب إنما سيجعل من الصعب لهم الدخول إلى حسابهم. ونفس السكريبت يمكن أن يستخدم من أجل منع المستخدم من الدخول إلى حسابه بطريقة تسجيلات الدخول الخاطئة حيث يتم بعد عشر محاولات خاطئة قفل الحساب لفترة عشوائية من الزمن.[15]

توصل شباب مهتمون بمجال الإنترنت وبرمجة المعلومات إلى تطبيق يمكنه الكشف عن هوية مرسل الرسائل، ويسمى ب"Detector for sarah" كاشف الصراحة، ويتيح إمكانية الكشف عن المرسلين بشكل مجاني في الفترة الأولى من استخدامه ليتحول إلى تطبيق مدفوع بعد ذلك.[16]

أطلق فريق تطبيق صراحة، مشروع كفى، الذي يهدف إلى مساعدة المنشآت على خلق بيئة عمل آمنة وإيجابية عبر توفير منصة تمكن المنسوبين من طرح شكاويهم ومقترحاتهم بسرية وأريحية.[24]