Firebase后端配置错误导致大量应用程序敏感数据泄露

　　移动安全公司Appthority本周发布报告称，由于Firebase数据库配置错误，导致数以千计的iOSAndroid应用程序泄露了超过113GB的数据。Firebase是Google提供的ldquo；后端即服务rdquo；产品，其中包含了大量发服务，旨在方便移动开发人员创建基于这些服务的移动或Web应用。
　　Firebase深受顶级Android开发者的欢迎，因为它提供了云消息传递、推送通知、数据库、分析、广告、以及其它更多后端和API。开发者们可以轻松嵌入自己的项目，并受益于Google的大规模高性能应用系统。
　　然而Appthority在扫描了270万款移动app后发现，其中存在着大量的问题。
　　从2018年1月开始，Appthority的研究人员开始对使用Firebase系统的移动应用程序进行扫描，以存储用户数据和分析app对Firebase域请求的通信模式。
　　研究人员特别搜索了连接到基于Firebse的JSONURL的应用。然而在直接访问时，却发现其允许任何未经授权的第三方查看所有应用的数据。
　　研究人员扫描了超过270万个iOSAndroid应用程序后，发现了28502个移动app在使用Firebase后端连接并存储数据（含27227个Android1275款iOS应用）。
　　其中的3046款app（2446个Android600款iOS应用），将数据保存在了2271个错误配置的Firebase数据库中，从而允许任何人查看其中的内容。
　　数据库一共暴露了1亿多条用户数据记录，泄露信息总量达到了113GB以上，其中包括：260万个明文密码和用户ID；
　　超400万受保护的健康信息（PHI）记录含聊天消息与处方细节；
　　2500万GPS地理位置记录；
　　5万财务信息含银行、支付与比特币交易记录；
　　450万Facebook、LinkedIn、Firebase等企业数据存储用户口令。
　　Appthority指出，仅在GooglePlay商店，Android版本的app就已经被下载了超过6。2亿次，表明一些非常受欢迎的app都在这些漏洞后端上运行。
　　万幸的是，在发布报告之前，Appthority已提前向Google知会这一问题，并且提供了受影响的app和Firebase数据库服务器列表。
　　实际上，这并不是Appthority首次发现应用程序后端服务器暴露关键用户数据：
　　去年，该公司在发布的《HospitalGown》报告中透露，有超过1000款应用程序通过MongoDB、Redis、CouchDB、Elasticsearch和MySQL后端服务器，暴露了超过43TB的用户数据。
　　同样在去年，Appthority研究人员发现，数十名开发者已经在围绕Twilio服务构建的数百个app中留下了API凭证，暴露了客户的私人通话记录和短信。