Hvis en ioOS-app får tilladelse til at tilgå en iPhone-brugers billeder, kan appen frit læse billedernes metadata – herunder, hvor billedet er taget henne.
Det skriver The Register.
Adgang til metadata betyder derfor adgang til et komplet historik over, hvor brugeren har været og taget billeder, forklarer Felix Krause, der opdagede problemet og byggede en prototype, der udnytter adgangen, på under en time.
»Det er et seriøst privacy-problem, at en tredjeparts kamera-app, der bare skal gemme et billede, som brugeren tog, også vil få fuld adgang til alle billeder og deres lokation i billede-bibliotektet,« skriver Krause i sin bug-report.
Manøvren er simpel, understreger Krause. Følgende kode-stump returnerer alle lokationer på alle billeder.
PHFetchResult *photos = [PHAsset fetchAssetsWithMediaType:PHAssetMediaTypeImage options:nil];
for (PHAsset *asset in photos) {
if ([asset location]) {
// Access the full location, speed, full picture, camera model, etc. here
}
}Metadata tæller foruden lokation også camera-model, dato og tid og den fysiske hastighed, som kameraet bevægede sig med, da billedet blev taget.
I sin proof-of-concept-kode skriver Krause, at data kan bruges til at lure, hvor personen arbejder, samt hvilke byer og steder brugeren har besøgt, og om brugeren er flyttet for nyligt.
Der bør være en seperat tilladelse til at vælge et billede (som fx skal på Facebook) og til at give fuld adgang til biblioteket, skriver Krause yderligere på GitHub. I iOS 11 er der netop blevet introduceret en seperat tilladelse så apps, der bare skal gemme et billede, kan få den specifikke tilladelse.
Endelig kunne en alternativ tilgang være at have et ekstra lag af tilladelser for adgang til billeders metadata, foreslår Felix Krause.
