O LinkedIn lançou um novo app chamado de Intro. Eles dizem que o app consegue “fazer o impossível”, mas para quem trabalha com segurança (como eu), isso tem um nome bem conhecido: email hijacking (ou um famoso ataque man-in-the-middle).
Por que? O app reconfigura o seu iDevice (iPhone, iPad e iPod Touch) para que TODOS os seus emails passem pelos servidores do LinkedIn. Ou seja, após instalar o app, TODOS os seus mails (enviados e recebidos) serão transmitidos via IMAP e SMTP pelos servidores do LinkedIn, onde eles irão analisar e indexar os seus email para fazerem o que acharem melhor com essas informações (algo semelhante, senão pior do que o Google já faz).
Vejam abaixo alguns pontos importantes para vocês NÃO instalarem o App:
- O LinkedIn estará alterando o conteúdo do seus emails, pois isso será necessário para incluir os perfis do LinkedIn. Isso sem contar na possibilidade de hackers utilizarem essa brecha de segurança para criar novos ataques.
- Quebra da segurança do serviço de email, pois o App estará adicionando informações ao email, quebrando a verificação de assinaturas do email original. Isso sem contar que emails criptografados deverão ser abertos para adicionar esse conteúdo, quebrando a criptografia e consequentemente a confidencialidade e integridade do email.
- O LinkedIn estará armazenando as suas informações, apesar da empresa falar que se trata apenas de meta-dados. Obviamente o LinkedIn não diz quais informações são armazenadas.
- A única forma do app funcionar é alterando o perfil de segurança do dispositivo. Essa é a única maneira de conseguir rotear todos os emails através dos servidores da empresa. O problema é que esses perfis podem fazer praticamente TUDO no seu aparelho, e não somente redirecionar emails (quem trabalhar com desenvolvimento de apps sabe muito bem disso).
- Se você utiliza o seu celular com email da empresa, provavelmente você estará violando as políticas de segurança da sua empresa, e você poderá ser perder o seu emprego por isso.
O grande problema está no fato que o LinkedIn simplesmente NÃO fala exatamente quais informações são armazenadas, como e o que será feito com elas. Todas as informações que eles passam sobre o aplicativo são vagas e ambíguas. Adicionalmente, será que o LinkedIn está forçando o tráfego através de conexões seguras (SSL/TLS)? Você consegue escolher quais contas de email serão roteadas? Existem dezenas de considerações a serem feitas.
Sugestão: NÃO instale o app nos seus dispositivos.
