Onemogočanje varnosti prevoza aplikacij (ATS) v aplikaciji Deepseek znatno poveča tveganja, povezana z njegovo uporabo, zlasti glede zasebnosti in varnosti podatkov. Tu je podrobna razlaga teh tveganj:
1. Nešifrirani prenos podatkov: Deepseek z onemogočanjem ATS omogoča prenos občutljivih podatkov uporabnikov in naprav po nešifriranih kanalih. To pomeni, da se podatki, kot so podatki o registraciji in podrobnosti naprave, pošljejo brez šifriranja, zaradi česar so kibernetski kriminalci enostavno prestreči. Ta ranljivost uporabnike izpostavlja tako pasivnim kot aktivnim napadom, kjer napadalci ne morejo samo prestreči, ampak tudi manipulirati s prenašanjem podatkov [3] [6] [9].
2. Napadi Man-in-the-Middle (MITM): Pomanjkanje šifriranja zaradi invalidnosti ATS ustvarja enostavno vstopno točko za napade, ki jih človek v sredini. V takšnih napadih lahko napadalec prestreže in spremeni komunikacijo med aplikacijo in njegovimi strežniki, kar lahko vodi do kraje podatkov ali vbrizgavanja zlonamerne vsebine [3].
3. Povečano tveganje za kibernetske napade: Deepseek se je že soočil s pomembnimi kibernetskimi napadi, onemogočanje ATS pa še poslabša to ranljivost. Z omogočanjem nešifriranega prometa HTTP aplikacija postane bolj dovzetna za prihodnje napade, saj lahko napadalci izkoristijo pomanjkanje varnostnih ukrepov za pridobitev nepooblaščenega dostopa do uporabniških podatkov [2] [3].
4. Skrb za zasebnost podatkov: Deepseek zbira obsežne podatke uporabnikov in naprav, ki se nato prenašajo na strežnike, ki jih upravlja Bytedance, kitajsko podjetje. Odsotnost ATS pomeni, da se ti podatki pošljejo brez šifriranja, kar sproži resne pomisleke glede zasebnosti podatkov in morebitne zlorabe tretjih oseb, vključno z državnimi subjekti [2] [5] [9].
5. Šibke šifrirne prakse: Onkraj vprašanja ATS so tudi metode šifriranja Deepseeka napačne. Aplikacija uporablja negotovo simetrični algoritem šifriranja (3DE) s trdo kodiranimi tipkami in ponovno uporabljenimi inicializacijskimi vektorji, kar še dodatno oslabi zaščito uporabniških podatkov. Ta slaba šifrirna praksa v kombinaciji s pomanjkanjem ATS napadalcem olajša dešifriranje in izkoriščanje občutljivih informacij [6] [9].
Če povzamemo, onemogočanje ATS v Deepseeku poveča tveganje za prestrezanje podatkov, manipulacijo in izkoriščanje s kibernetskimi kriminali. Prav tako poudarja širše pomisleke glede zasebnosti in varnosti podatkov, zlasti glede na obsežne prakse zbiranja podatkov in prenos podatkov na strežnike, povezane s kitajskimi subjekti.
Navedbe:
[1] https://cocoacasts.com/the-definitive-guide-to-app-transport-security
[2] https://sbscyber.com/blog/deepseek-ai-Dangers
[3] https://approov.io/blog/deepseek-apps-security-failures-how-approov-could-have-phevent-the-the-dAmage
[4] https://www.infosecinstitute.com/resources/application-security/ios-application-security-part-46-app-transport-security/
[5] https://securityscorecard.com/blog/a-meep-peek-at-deepseek/
[6] https://www.connectyourplatform.com/blogs/deepseek-ios
[7] https://sdks.support.brightcove.com/ios/framework/working-app-transport-security-ats.html
[8] https://www.csis.org/analysis/delving-nagers-reepseek
[9] https://thehackernews.com/2025/02/deepseek-app-transmits-sesivetive-user.html