Google объявила об уязвимости в Fortnite на Android. Глава Epic на это обиделся

Fortnite на Android распространяется в обход Google Play: пользователи скачивают приложение через официальный сайт Epic Games. Соответственно, игра лишается некоторой дополнительной безопасности, которую обеспечивает сервис Google. Возможно, именно поэтому в Fortnite для Android проникла ошибка, которая могла бы серьёзно навредить любителям королевской битвы.

Как рассказывает портал Android Central, Fortnite на Android устроена следующим образом: с сайта Epic пользователи качают не игру, а установщик. И уже через него загружаются основные данные.

Google обнаружила эксплойт, который позволяет перехватить запросы на загрузку в установщике Fortnite и вместо игры закачать в смартфон пользователя что угодно. Google выложила в открытый доступ описание того, как воспроизвести уязвимость.

Epic устранила брешь и опубликовала новую версию Fortnite уже через день после того, как Google описала эксплойт. Заминка в том, что в правилах Google есть такой пункт: если корпорация находит уязвимость в приложении, она незамедлительно сообщает об этом производителю и даёт ему 90 дней на исправление. Лишь после этого срока Google позволяет себе публично описать обнаруженный эксплойт.


Очевидно, если эксплойт попадает в широкий доступ, значительно увеличивается шанс, что хакеры возьмут дыру на вооружение и как-нибудь испортят жизнь рядовых пользователей. Но в случае с Fortnite ищейки из Google почему-то пренебрегли собственной политикой: как пишет BBC, корпорация выложила эксплойт всего через неделю после того, как сообщила о нём в Epic.

Глава Epic Тим Суини (Tim Sweeney) называет поступок Google безответственным. Мол, создатели Fortnite ценят, что Google сообщает об уязвимостях в чужих приложениях. Epic в срочном порядке бросилась латать брешь и просила не разглашать детали, пока исправление не установит большое количество пользователей (по данным BBC, Epic просила полные 90 дней). Однако Google отказала по неназванным причинам.

Как считает Суини, таким образом Google создала ненужный риск для пользователей Android и погналась за дешёвым пиаром — дескать, смотрите, что бывает, если приложение распространяется не через Google Play. Официальных комментариев от Google на момент написания новости не поступало.

We asked Google to hold the disclosure until the update was more widely installed. They refused, creating an unnecessary risk for Android users in order to score cheap PR points.— Tim Sweeney (@TimSweeneyEpic) August 25, 2018

[читать новость и комментировать]