Zakázanie zabezpečenia APP Transport Security (ATS) v aplikácii DeepSeek iOS výrazne uľahčuje útoky Man-in-the-Middle (MITM) tým, že umožňujú nešifrovaný prenos údajov. Takto možno využiť túto zraniteľnosť:
1. Zakázaním ATS, DeepSeek umožňuje svojej aplikácii odosielať údaje cez nešifrované kanály HTTP. To znamená, že akékoľvek údaje vysielané medzi aplikáciou a servermi Deepseek môžu byť zachytené a prečítané útočníkom s kontrolou nad sieťou [6] [8].
2. Útoky Man-in-the-S-Siddle: Pri útoku MITM sa útočník umiestni medzi zariadením používateľa a serverom. Zachytením nešifrovaných údajov môže útočník nielen čítať citlivé informácie, ale tiež ich upraviť. To by mohlo viesť k neoprávnenému prístupu k používateľským účtom alebo manipulácii s vymieňanými údajmi medzi používateľom a aplikáciou [1] [4].
3. Využívanie zraniteľností siete: Keď je ATS deaktivovaná, aplikácia Deepseek sa stáva náchylnejšou na útoky na siete, ktoré nie sú bezpečné. Napríklad, ak sa používateľ pripojí k verejnej sieti Wi-Fi, ktorá je ohrozená, útočník by mohol ľahko zachytiť a manipulovať s údajmi prenášanými aplikáciou [6] [8].
4. Zvýšené riziko expozície údajov: Nedostatok šifrovania a schopnosť zachytiť údaje uľahčujú útočníkom získanie citlivých informácií, ako sú užívateľské mená, heslá alebo iné osobné údaje. Tieto informácie sa môžu použiť na krádež identity, neoprávnený prístup alebo iné škodlivé činnosti [1] [4].
5. Potenciál manipulácie s údajmi: Okrem toho, že okrem zachytia údaje, útočník v pozícii MITM môže tiež upraviť prenášané údaje. To by mohlo viesť k neoprávnenému akciám, ktoré sa vykonávajú v mene používateľa alebo zavedenie škodlivého softvéru do komunikačného toku [4] [6].
Stručne povedané, deaktivácia ATS v aplikácii DeepSeek vytvára významné bezpečnostné riziko tým, že umožňuje nešifrovaný prenos údajov, ktorý útočníci môžu využiť na zachytenie, čítanie a manipulovanie s citlivými údajmi používateľov. Vďaka tejto zraniteľnosti sa používatelia budú náchylnejšie na útoky MITM a zdôrazňuje dôležitosť robustných bezpečnostných opatrení v mobilných aplikáciách.
Citácie:
[1] https://gizmodo.com/cybersecurity-experts-warn-of-deepseek-vulnesticilities-as-governments-ban-app-2000561633
[2] https://www.bankinfosecurity.com/security-researchers-warn-now--sks-in-deepseek-ai-App-Ap-App-a-27486
[3] https://www.strongdm.com/blog/man-in-the-middle-attack-pvention
[4] https://www.nowecure.com/blog/2025/02/06/nowecure-unkovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/
[5] https://securityscorecard.com/blog/adeep-peek-at-deepseek/
[6] https://www.linkedin.com/pulse/deepseek-apps-security-failures-how-alt-could-have-been-ben-te-miracco-iudyc
[7] https://www.computerweekly.com/news/366618596/deepseek-api-apat-log-exposure-exposure-a-rookie-cyber-error
[8] https://krebonsecurity.com/2025/02/experts-flag-security-privacy-reps-indeepseek-ai-App/
[9] https://www.memcyco.com/6-ways-to-prevent-man-in-the-middle-mitm-attacks/
[10] https://www.appdome.com/dev-sec-blog/how-enterprises-can-defend-against-deepseek-ai-mobile-security-thereats/
[11] https://www.csis.org/analysis/Delving-dangers-deepseek