بررسی امنیت اپلیکیشن روبیکا توسط مرکز ماهر

در پی افزایش استفاده از اپلیکیشن روبیکا نظرات مختلفی در مورد امنیت این اپلیکیشن چند رسانه ای مطرح شد و با اوج گیری شایعات در خصوص جاسوسی روبیکا از گوشی کاربران، مرکز ماهر پس از بررسی این اپلیکیشن موبایلی و دسترسی های آن به اطلاعات کاربران در نهایت روبیکا را یک اپلیکیشن غیرجاسوس و طبیعی دانست.

روبیکا (Rubika) یک اپلیکیشن موبایلی است که در آن مطالب مختلف در حوزه های گوناگون منتشر می شود. تماشای فیلم و کارتون، ساخت کانال و انتشار مطلب، خدمات پرداخت، پخش موسیقی، مشاهده برنامه های تلویزیون و تعامل با آنها، شرکت در مسابقات و ارسال رای و ... برخی از خدمات برنامه روبیکا می باشند. این نرم افزار چند رسانه ای که برای گوشی های موبایلی ساخته شده از ابتدای سال ۹۷ منتشر شد و از همان ابتدا تبلیغات گسترده خود را در تلویزیون آغاز کرد.

همین امر باعث شد روبیکا از ابتدای کار با استقبال کاربران مواجه شده و برخی افراد نسبت به این موضوع نگران باشند. نگرانی اصلی کاربران از جهت امنیت روبیکا بوده است. چرا که این اپلیکیشن به طور ناگهانی وارد بازار شد و در مدتی کوتاه میزبان میلیون ها کاربر ایرانی شد. میزبانی که امکان داشت جاسوس بوده و اطلاعات کاربران را سرقت کند. در این مورد شایعات مختلفی در فضای مجازی منتشر شد که باعث شد در نهایت مرکز ماهر وارد موضوع شده و برای حل مشکل برنامه روبیکا را مورد بررسی قرار دهد.

در بررسی مرکز ماهر روی نسخه ۱.۰.۸ روبیکا مشاهده شد که در آن از کدهای منبع تلگرام اندروید استفاده شده و کدهای این اپلیکیشن پیام رسان به بصورت کامل در روبیکا قرار گرفته است. علت انجام چنین کاری بهره گیری از واسط گرافیگی مبتنی بر Fragments بوده که در اپلیکیشن تلگرام وجود دارد. اما روبیکا تنها از واسط گرافیکی این کدها استفاده کرده و بخش عمده ای از کد منبع تلگرام در روبیکا بی استفاده باقی مانده است.

گرچه در روبیکا به طور کامل از کدهای تلگرام استفاده شده است اما در پیاده سازی بخش پیام رسان و شبکه اجتماعی روبیکا نیز از قابلیت های تلگرام هیچگونه استفاده ای نشده است و خدمات ارائه شده توسط برنامه روبیکا با استفاده از قابلیت WebView سیستم عامل اندروید پیاده سازی شده است. در نتیجه طبق بررسی های انجام شده روی این برنامه موبایلی می توان گفت:

• اپلیکیشن روبیکا جاسوس نبوده و حریم خصوصی کاربران خود را نقض نمی کند.
   
• این نرم افزار موبایلی به هیچ‌گونه دسترسی به سایر اپلیکیشن ها نظیر تلگرام و اینستاگرام و اطلاعات داخل آنها ندارد. چراکه اساسا سیستم عامل اندروید از فناوری application security sandbox استفاده می کند که به موجب آن اپلیکیشن ها در فضایی ایزوله و بسته اجرا می شوند و این برنامه ها دسترسی مستقیمی به داده های یکدیگر ندارند و نمی توانند از آنها استفاده نمایند.
   
• در اپلیکیشن روبیکا به طور کامل از کد منبع (Source code) های تلگرام اندروید استفاده شده است که در عین حال تنها برخی از قابلیت های مربوط به واسط گرافیکی آن مورد استفاده قرار گرفته که به همین جهت امکان حذف سایر بخشهای بلااستفاده وجود دارد.
   
• نسخه ای که مورد بررسی قرار گرفته هیچ قابلیت مربوط به شبکه اجتماعی یا پیام رسان همچون تلگرام را ارائه نمی دهد.
   
• استفاده از برنامه های متن باز با لایسنس GPL و عدم توجه به نکات حقوقی و عدم رعایت حق نشر آن برنامه ها در روبیکا نیز همچون بسیاری از برنامه های داخلی وجود دارد. متاسفانه این موضوع در بسیاری از اپلیکیشن های ایرانی وجود دارد و در این محصول نیز مورد توجه واقع نشده است. 
   
• در مورد بکارگیری مجوز (certificate) امضای دیجیتال با استفاده از نام شرکت گوگل باید گفت که این مجوز به صورت پیش فرض در محیط توسعه اندروید به نام شرکت گوگل (سازنده اندروید) ثبت شده است. توسعه دهنده باید پیش از انتشار عمومی برنامه خود آن را تغییر می داد که این کار انجام نشده است.
   
• مسائلی در مورد لوگوی اپلیکیشن روبیکا نیز مطرح شده بود که اظهارنظر در این مورد در حوزه فعالیت های ماهر نمی باشد.

با این اظهار نظر کارشناسی مرکز ماهر مشخص شد که همه شایعاتی که در مورد امنیت روبیکا و جاسوسی این برنامه در شبکه های اجتماعی مطرح شده بود کذب بوده و تنها جنبه تخرب داشته است. البته این رفتار در مورد برنامه های موبایل اولین بار نیست که اتفاق می افتد و پیش از این نیز اپلیکیشن های مختلفی درگیر چنین شایعاتی شده بودند.