Max Messenger vizsgálata
Az InterSecLab kilenc héten át vizsgálta az orosz Max Messenger Android-verzióját, és ehhez olyan módszert dolgozott ki, amellyel az alkalmazás forgalmát még a titkosítás előtt, az appon belül tudták megfigyelni. A legfontosabb megállapításuk, hogy a Max nem használ végpontok közötti titkosítást, az üzeneteket a VK szerverei olvashatják. A secret chat sem valódi titkosított beszélgetés, hanem lényegében eltűnő üzeneteket biztosító funkció.
Technikailag még érdekesebb, hogy a Max működésének több eleme szerveroldalról, akár felhasználónként külön kapcsolható alkalmazásfrissítés nélkül. Ilyen lehet a VPN-észlelés, hálózati tesztelés, hangüzenetek átírása vagy a részletesebb naplózás. A kutatók szerint emiatt két azonos alkalmazásverziót használó embernél eltérő funkciók működhetnek anélkül, hogy ezt a felületen látnák. A tesztekben a Max külső szolgáltatásokon keresztül ellenőrizte a publikus IP-címet, érzékelte a VPN-t és különböző internetes szolgáltatások elérhetőségét is vizsgálta. Egy rejtettebb mechanizmus pedig a szervertől kapott tetszőleges címeket tudott elérhetőség szempontjából tesztelni a felhasználó készülékéről.
A vizsgálat szerint regisztrációkor a Max a teljes címjegyzéket névvel és telefonszámmal, nem hash-elve továbbította a VK-nak. Egy regisztrált telefonszám lekérdezésével pedig kapcsolat nélkül is megszerezhető volt az adott fiók azonosítója, neve és létrehozási ideje, majd a szerver valós időben továbbította annak online státuszát. A hangüzenetek átírása szintén szerveroldalon történik.
Fontos ugyanakkor a kutatás korlátja, az InterSecLab képességeket dokumentált, nem bizonyított megfigyelési műveleteket. A kutatók kifejezetten közlik, hogy nem találtak bizonyítékot arra, hogy a VK vagy valamely orosz állami szerv ezeket a funkciókat konkrét személyek megfigyelésére használta volna. Biztonsági szempontból viszont már önmagában jelentős, hogy az alkalmazás szerveroldalról személyre szabható viselkedése miatt egy laborban megvizsgált kliens nem feltétlenül mutatja meg, milyen funkciókat aktiválnak egy másik felhasználónál.
