Правительство США, наложившее санкции на Huawei, интегрировало SDK Huawei в официальное приложение Белого дома?

Автор: TechFlow

27 марта администрация Трампа запустила официальное новостное приложение, которое, как утверждается, позволяет пользователям напрямую получать информацию из Белого дома «без фильтров».

Однако несколько независимых аудитов безопасности в течение 48 часов выявили довольно ироничный факт: в установочный пакет этого приложения встроен компонент отслеживания от Huawei — китайской компании, которую правительство США само внесло в санкционные списки под предлогом национальной безопасности.

Кроме того, приложение запрашивает ряд системных разрешений, значительно превышающих необходимые для новостного приложения, включая точное определение местоположения по GPS, распознавание отпечатков пальцев и автозагрузку при включении устройства. Платформа X быстро добавила предупреждение Community Note к своему официальному рекламному посту.

Зачем приложению для публикации пресс-релизов и прямых трансляций президента нужно считывать ваши отпечатки пальцев?

После проведения обратного анализа приложения Белого дома (версия 47.0.1) исследователь безопасности Сэм Бен отправил его на сканирование через Exodus Privacy. Exodus Privacy — это платформа с открытым исходным кодом для аудита конфиденциальности приложений Android, предназначенная для обнаружения встроенных трекеров и запросов разрешений, широко используемая в сообществе исследователей приватности. Результаты сканирования показали, что приложение Белого дома содержит 3 встроенных трекера, одним из которых является Huawei Mobile Services Core (базовый компонент сервисов Huawei).

Издание IBTimes впоследствии независимо сообщило об этом же открытии, а специалист по правовым вопросам mitchthelawyer также опубликовал статью в Substack, подтвердив выводы отчета Exodus. Три независимых источника указывают на один и тот же факт: официальное приложение Белого дома действительно содержит код SDK Huawei.

Стоит отметить, что сам Huawei Mobile Services Core представляет собой SDK для push-уведомлений и аналитики, который Huawei предоставляет для глобальной экосистемы Android, и многие приложения, ориентированные на международный рынок, внедряют его для совместимости со смартфонами Huawei.

Его наличие в установочном пакете не означает, что он активно передает данные Huawei. Но проблема заключается в следующем:

Правительство США запретило своим компаниям вести бизнес с Huawei под предлогом национальной безопасности, но в собственном официальном президентском приложении содержится код Huawei. Комментарии на Hacker News точно подметили суть: скорее всего, это стандартная конфигурация подрядчика-аутсорсера, а руководящий состав Белого дома, возможно, вовсе не knew о наличии SDK Huawei, «но это, пожалуй, даже более тревожно, чем преднамеренное внедрение».

Список разрешений сопоставим с системными утилитами, а политика конфиденциальности устарела на год

Приложение Белого дома запрашивает следующие разрешения: точное GPS-позиционирование, биометрическую идентификацию по отпечатку пальца, чтение и запись памяти, автозапуск при включении устройства, отображение всплывающего окна поверх других приложений, сканирование сетей Wi-Fi, а также доступ к индикаторам уведомлений. Для сравнения, приложение AP News, предоставляющее аналогичные новостные push-уведомления и сообщения о стихийных бедствиях, запрашивает значительно меньшее количество разрешений.

Согласно отчету IBTimes, разработчики приложения признали, что технический плагин, изначально предназначавшийся для удаления разрешения на геолокацию, «очевидно, не удалил никакой соответствующий код».

Более серьезная проблема кроется в политике конфиденциальности. Согласно перекрестной проверке данных из IBTimes и статьи mitchthelawyer в Substack, последняя версия политики конфиденциальности для приложения Белого дома датирована 20 января 2025 года, то есть она была обновлена ровно за год до запуска самого приложения. Данная политика распространяется только на посещение веб-сайта, подписку по электронной почте и страницы в социальных сетях, совершенно ничего не говоря о мобильных приложениях, отслеживании GPS, сборе геоданных или доступе к биометрии. Когда пользователь нажимает «Согласен», он принимает документ, который никоим образом не охватывает фактическое поведение приложения.

Встроенные пропагандистские формулировки и функция анонимного доноса на иммигрантов

В приложение встроен функциональная кнопка «Отправить сообщение президенту». После нажатия текстовое поле автоматически заполняется одной фразой: «Greatest President Ever!» («Президент величайший в истории»). Если пользователь выбирает отправку, система собирает его имя и номер телефона.

Кроме того, в приложение встроена кнопка для доноса в ICE. ICE (Управление по иммиграции и таможенному контролю США) отвечает за правоприменение в сфере иммиграции и депортации. Нажатие на эту кнопку сразу перенаправляет на страницу информирования ICE, где пользователи могут анонимно сообщить о людях, подозреваемых в незаконной иммиграции.

Формально инструмент для публикации государственных новостей одновременно выполняет функцию сбора данных для политической пропаганды и правоохранительных доносов. Менее чем через два дня после запуска пользователи платформы X добавили пометку Community Note к официальному промо-посту Белого дома, предупреждая остальных пользователей о рисках для конфиденциальности.

Не только Белый дом: приложение ФБР показывает рекламу, а FEMA запрашивает 28 разрешений

В том же расследовании Сэм Бен провел аудит через Exodus для нескольких приложений федеральных ведомств и выяснил, что приложение Белого дома далеко не единственный случай.

Официальное приложение ФБР «myFBI Dashboard» запрашивает 12 разрешений и содержит 4 встроенных трекера, среди которых Google AdMob — SDK для показа рекламы. Официальное приложение федерального правоохранительного органа монетизирует сбор информации об устройстве пользователя, показывая таргетированную рекламу.

Приложение FEMA (Федерального управления по чрезвычайным ситуациям) запрашивает 28 разрешений, тогда как его основная функция сводится к отображению погодных предупреждений и мест расположения убежищ.

Приложение Управления по контролю за паспортами и границами (CBP) запрашивает 14 разрешений, из которых 7 относятся к категории «опасных разрешений», включая отслеживание местоположения в фоне (отслеживание продолжается даже после закрытия приложения) и полный доступ к хранилищу. Биометрические данные лица, собираемые всей экосистемой приложений CBP, хранятся до 75 лет и передаются между Министерством внутренней безопасности, ICE и ФБР.

На более фундаментальном уровне закупки данных Министерство внутренней безопасности, ФБР, Министерство обороны и Управление по борьбе с наркотиками (DEA) через коммерческих брокеров данных, таких как Venntel, ежедневно покупают свыше 15 миллиардов точек геолокации, охватывающих более 250 миллионов устройств, без получения ордера на обыск. По сути, эта практика обходит защиту конфиденциальности геоданных мобильных телефонов, установленную Верховным судом США в деле «Карпентер против США» в 2018 году.

Многие комментаторы на Hacker News подвели общий вывод логики этих приложений: публикуя общедоступный контент, который легко было бы распространить через веб-сайт или RSS, властям упаковывают его в нативные приложения. Единственное разумное объяснение — получение системных разрешений, недоступных обычному браузеру, включая фоновую геолокацию, биометрию, чтение идентификатора устройства и автозагрузку.

Согласно отчету Аудиторского управления Правительства США (GAO) за 2023 год, из 236 рекомендаций по вопросам конфиденциальности и безопасности, выданных с 2010 года, почти 60% так и не были исполнены. Конгресс дважды получал рекомендации принять комплексное законодательство о конфиденциальности в интернете, но до сих пор не предпринял никаких действий.