Плагины StarDict в Debian 13 отправляют данные пользователей на китайские серверы

Релиз Debian 13, также известного как Trixie, запланирован на ближайшие дни. Разработчики уверяют, что все известные ошибки устранены, и система готова к использованию. Однако недавние обсуждения выявили серьезную проблему, связанную с конфиденциальностью данных в одном из приложений, включенных в финальную сборку операционной системы.

Проблема с приложением StarDict

Приложение StarDict, предназначенное для поиска определений, переводов и пояснений слов с использованием различных словарей, вызывает обеспокоенность у экспертов. Данное приложение с графическим интерфейсом на основе GTK отправляет запросы на онлайн-серверы для получения данных. Однако при использовании определенных плагинов StarDict автоматически передает выделенный пользователем текст из любых приложений, работающих на X11, на удаленные серверы без согласия или уведомления.

Vincent Lefevre, сотрудник Национального института исследований в области цифровых наук и технологий Франции, обратил внимание на этот недостаток. В своем сообщении на почтовой рассылке Debian он отметил:

Осторожно с StarDict! По умолчанию, когда приложение запущено, оно отправляет любой текст, выделенный пользователем в других приложениях, на китайские серверы!

Как работает передача данных

StarDict автоматически устанавливает пакет плагинов (stardict-plugin) через механизм рекомендаций Debian. Этот пакет включает функции сетевого поиска, которые активируются при выделении текста в системе X11. Выделенный текст отправляется в незашифрованном виде по протоколу HTTP на сторонние серверы, такие как dict.youdao.com и dict.cn.

Например, при выделении слова «relation» в любом приложении, работающем на X11, StarDict выполняет запросы:

GET HTTP://dict.youdao.com/fsearch?q=relation HTTP/1.0
User-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)
Accept: */*
Host: dict.youdao.com
Connection: close

GET HTTP://dict.cn/ws.php?utf8=true&q=relation HTTP/1.0
User-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)

Эти запросы отправляются в открытом виде, что делает данные уязвимыми для перехвата на локальной сети или через скомпрометированный маршрутизатор. Это означает, что конфиденциальная информация, такая как номера кредитных карт, имена пользователей или пароли, может быть отправлена на серверы в Китае без ведома пользователя.

Реакция разработчиков Debian

Один из разработчиков Debian прокомментировал ситуацию, назвав это поведение «функцией»:

Да, это функция: приложение выполняет поиск выделенного текста в локальных и онлайн-словарях, по умолчанию используя англо-китайские словари. Это можно отключить в настройках, активировав опцию «Сканировать только при нажатии модификатора» в разделе «Сканирование выделения» или отключив сетевые плагины (dict.cn и youdao.com). Если вы используете Wayland, приложение по умолчанию изолировано, поэтому не может получать выделенный текст из других приложений.

Lefevre справедливо возразил:

Такая функция не должна быть включена по умолчанию.

Проблема усугубляется тем, что плагин stardict-plugin устанавливается автоматически вместе с графическим интерфейсом GTK, который включен в Debian 13 по умолчанию. Таким образом, даже пользователи, не устанавливавшие плагин вручную, сталкиваются с этим поведением.

История вопроса

Интересно, что несколько лет назад аналогичная проблема с StarDict была зарегистрирована как уязвимость CVE-2009-2260 в Debian. Тогда она считалась серьезным недостатком, но в новой версии Trixie это поведение классифицируется как «функция». Это вызывает вопросы к процессу проверки и принятия решений в проекте Debian, известном своим вниманием к открытости, надежности и конфиденциальности пользователей.

Решение проблемы

Проблема затрагивает только пользователей, работающих в сессии X11. В Wayland, благодаря изолированной архитектуре, StarDict не может получать доступ к выделенному тексту из других приложений. Это делает Wayland более безопасным выбором для пользователей Debian 13, заботящихся о конфиденциальности.

Рекомендации для пользователей

С учетом приближающегося релиза Debian 13 рекомендуется избегать использования StarDict, особенно в сессиях X11. Несмотря на то, что приложение не пользуется широкой популярностью, его присутствие в стандартной сборке системы может представлять риск. Пользователям, которым необходимы функции словаря, стоит рассмотреть альтернативные приложения или отключить сетевые плагины StarDict в настройках. Переход на Wayland также может стать эффективным способом защиты данных.