По поводу мобильного приложения Госуслуг.Авто [1], много что можно написать. Хорошее про работающий сервис, плохое про динамический анализ того куда передаются данные и как плохо это отражено в условиях использования. Но я в этот раз, хочу написать о другом, о том что разработчики, мягко так, скажу, халтурно относятся ко всему что за пределами пользовательского интерфейса.


Поэтому я ненадолго, очень ненадолго, надену белую шляпу расскажу что когда я вижу репозиторий Artifactory 3.5.1 6-летней давности используемый RTLabs для разработки мобильных приложений [2], а также ссылки на него (и не только) в захардконженных строках в мобильных приложений. То, конечно, хочется надеяться что это honeypot такой, но, что-то мне подсказывает что ситуация хуже.

А ещё я хочу поинтересоваться, что это ещё за встроенный код по передаче сообщений на адрес https://rsa-dev.trueengineering.ru/api/logmessage ? И не только туда

Так что как-то мне тревожно за данные с которыми это приложение и другие приложения Минцифры работают. Я, конечно, ещё доберусь до анализа того как они работают в подробностях (динамический анализ), но позже. Вдруг что исправят.

Так что я белую шляпу на этом снимаю и прозрачно намекаю что работа приложения не соответствует тому что написано в условиях использования [3].

Ссылки:
[1] https://play.google.com/store/apps/details?id=ru.gosuslugi.auto&gl=ru&hl=ru
[2] https://egovdev.ru
[3] https://gu-st.ru/content/Privacy_Policy_MP_AUTO.pdf

#privacy #digital #auto #gosuslugi