L'application Android Deepseek a été identifiée avec plusieurs vulnérabilités de sécurité importantes qui présentent des risques considérables pour les utilisateurs. Voici les vulnérabilités spécifiques et leurs implications:
1. Configuration du réseau non garanti: l'application manque de mesures de sécurité du réseau appropriées, ce qui le rend hautement sensible aux attaques de l'homme au milieu (MITM). Lorsque les utilisateurs se connectent sur le Wi-Fi public ou les réseaux non fiables, les attaquants peuvent intercepter et manipuler des données, voler potentiellement les informations d'identification de connexion, les messages personnels et les détails de paiement. Pour atténuer cela, Deepseek pourrait implémenter HTTPS avec HSTS et utiliser SSL Pinning pour valider les certificats de serveur [1].
2. Pas de validation SSL ou d'épinglage de certificat: Deepseek ne valide pas les certificats SSL, ce qui le rend vulnérable aux attaques d'identité. Les pirates peuvent se faire passer pour des serveurs de confiance et intercepter les informations sensibles, telles que les informations d'identification de connexion et les données personnelles. La mise en œuvre des protocoles de validation SSL SSL et des protocoles de validation SSL peuvent résoudre ce problème [1].
3. Détection racine faible: La détection racine inefficace de l'application permet aux attaquants avec un accès racine aux commandes de sécurité de contourner et à extraire des données sensibles. Les appareils enracinés sont particulièrement vulnérables aux logiciels malveillants et aux cyberattaques avancées. Le renforcement des mécanismes de détection des racines avec des vérifications de sécurité avancées et l'intégration de bibliothèques tierces comme SafeTyNet peut améliorer la sécurité [1].
4. Sensibilité à la vulnérabilité de Strandhogg: Deepseek est vulnérable à la vulnérabilité de Strandhogg, ce qui permet aux applications malveillantes de détourner les tâches d'application légitimes, affichant de faux écrans de connexion pour voler des informations d'identification des utilisateurs. Cela peut conduire à un vol de phishing et d'identité. La mise à jour de l'application pour cibler les versions Android plus récentes avec des correctifs de sécurité améliorés et la mise en œuvre des paramètres d'affinité des tâches stricts peut atténuer ce risque [1].
5. Exposition à la vulnérabilité de Janus: l'application est exposée à la vulnérabilité de Janus, permettant aux attaquants de modifier le fichier APK de l'application sans casser sa signature numérique, permettant une injection de logiciels malveillants. La mise en œuvre des vérifications d'intégrité des applications, l'utilisation de la signature des applications Google Play et l'utilisation de la signature des applications Android peuvent empêcher les modifications non autorisées [1].
6. Risques de cryptage et de confidentialité faibles: l'application utilise des mécanismes de cryptage faibles, ce qui rend les données des utilisateurs sensibles à l'interception. Il utilise des algorithmes cryptographiques obsolètes et manque d'épinglage de certificats approprié, ce qui pourrait permettre aux attaquants d'exploiter les faux certificats et d'intercepter le trafic. Cela expose les utilisateurs au vol d'identité, à une fraude financière et à une surveillance non autorisée. La mise en œuvre de normes de chiffrement robustes comme le cryptage de bout en bout (E2EE) ou des protocoles TLS solides est nécessaire [3].
7. Risques d'injection SQL et clés codées en dur: L'application fait également face à des risques d'injection SQL et utilise des clés de chiffrement codées en dur, affaiblissant encore sa posture de sécurité. Ces pratiques augmentent le risque de violations de données et d'accès non autorisé [6].
8. Présenté à la collecte et à la confidentialité des données: l'application de Deepseek recueille plus d'autorisations que nécessaire, de rassemblement des métadonnées et potentiellement de suivre le comportement des utilisateurs au-delà de ce qui est divulgué dans sa politique de confidentialité. Cette dépassement pourrait conduire à une récolte de données non autorisée et entre en conflit avec les réglementations de confidentialité comme le RGPD et le CCPA [3].
Ces vulnérabilités mettent en évidence la nécessité de Deepseek pour résoudre ses problèmes de sécurité et de confidentialité pour protéger efficacement les données des utilisateurs.
Citations:
[1] https://www.appknox.com/blog/is-your-ai-app-safe-analyzing-deepseek
[2] https://blogs.cisco.com/security/evaluating-security-risk-in-eepseek-and-other-fratier-reasoning-models
[3] https://moxso.com/blog/deepseeks-android-app-flaws-privacy-risks
[4] https://approov.io/blog/deepseek-apps-security-fails-how-approov-lould-have-preveted-the-damage
[5] https://www.infosecurity-magazine.com/news/deepseek-r1-security/
[6] https://securityscorecard.com/blog/a-deep-peek-at-deepseek/
[7] https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
[8] https://thehackernews.com/2025/02/deepseek-app-transmits-sentive-user.html
[9] https://uwaterloo.ca/information-systems-technology/news/deepseek-app-security-and-privacy-weakness
[10] https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/
[11] https://krebsonsecurity.com/2025/02/experts-flag-security-privacy-risks-in-epseek-ai-app/