הלחי השנייה: חוקרים ישראלים מצאו כשל ביישום של מאמינים נוצרים 

על פי החוקרים, מידע של מליוני משתמשים היה חשוף במשך שנים במאגר מידע בAWS

עמי רוחקס דומבה | 22/11/2020

צילום מסך. https://www.pray.com

צוות המחקר של VpnMentor בראשות נועם רותם ורן לוקאר גילה ארבעה מאגרי S3 מוגדרים בצורה לא נכונה בAWS השייכים לאפליקציית Pray.com שחשפו את נתוני החברה עוד בשנת 2016. Pray.com היא אחת מאפליקציות האמונה הנוצרית הפופולארית ביותר עם מיליון הורדות בחנות של גוגל. 

מבוסס כיום בסנטה מוניקה, קליפורניה, Pray.com זמינה ב- iOS וב- Android. על פי הערכת החוקרים, רשומות של בין 1-10 מליוני משתמשים היו חשופות ברשת. המידע כולל תמונות, אנשי קשר טלפוניים ורשימות תרומות. היישום הותקן לפחות מליון פעמים. 

"מפתחי Pray.com התעלמו מפרוטוקולי אבטחה בסיסיים במאגרי S3, והותירו רבים מהקבצים המאוחסנים בתוכם נגישים לציבור לכל מי שיש לו גישה לכתובת המאגר", כותבים החוקרים. "בחקירה נוספת נודע לנו כי Pray.com הגנו על קבצים מסוימים והגדירו אותם כפרטיים על כדי להגביל את הגישה. עם זאת, במקביל, Pray.com שילבה את מאגרי S3 שלה עם שירות AWS אחר, רשת אספקת התוכן AWS CloudFront.

Cloudfront מאפשרת למפתחי אפליקציות לשמור מטמון תוכן בשרתי פרוקסי שמארחת AWS ברחבי העולם - וקרוב יותר למשתמשי האפליקציה - במקום לטעון קבצים אלה משרתי האפליקציה."

 

שיתוף