Voila – aus einer Spaß-App kann Ernst werden

Voila-Fotos mit Installations-ID des Smartphones verbunden und somit nicht anonymisiert

[datensicherheit.de, 30.06.2021] Check Points Sicherheitsforscher haben sich nach eigenen Angaben wegen aufflammender Diskussionen um den Datenschutz die „Voila“-App flüchtig angeschaut und ziehen ein positives Fazit – allerdings mit einem „großen Wermutstropfen“: Fotos werden demnach nämlich mit der Installations-ID des Smartphones verbunden und sind somit nicht anonymisiert.

Foto: Check Point

Yaniv Balmas: Nutzer sollten sich des Voila-Risikos bewusst sein

Voila erstellt aus dem Nutzer-Foto einen Zeichentrick-Avatar

„Die Anwendung ,Voila‘ ist in der Lage, aus dem Foto eines Nutzers einen Zeichentrick-Avatar zu erstellen. Dieser Cartoon mag oft lustig oder süß aussehen und der Vorgang vielen Menschen Spaß machen, doch aus er Freude kann schnell Leid werden, falls die App inkorrekt mit den Nutzerdaten und deren Absicherung umgeht“, berichtet Yaniv Balmas, „Head of Cyber Research“ bei der Check Point Software Technologies GmbH. Es gebe bereits Diskussionen über den Datenschutz bezüglich dieses Programms.
Balmas führt aus: „Wir haben uns die Anwendung kurz angeschaut und folgende Bedenken sind zu äußern: ,Voila‘ sendet die Porträts der Nutzer an seinen Server für die Verarbeitung; diese werden nicht lokal auf dem Telefon bearbeitet, wie wahrscheinlich viele Menschen denken.“ Im Zuge dessen vermerke die App allerdings die besondere und zu­or­den­bare Installation-Identifikation (vdid, ID), welche unter „Android“-Systemen von „Google Play“ erstellt und mit dem Smartphone des Nutzers verbunden werde. Somit seien die Fotos an diese ID gebunden und die Gesichtsbilder der Nutzer damit identifizierbar, würden also nicht anonymisiert übertragen und bearbeitet – „dies steht allerdings ehrlich in den Datenschutzbestimmungen des Unternehmens“.

Hacker könnten Interesse an Voila-Datenbank finden

Geschieht nun aber eine virtuelle Attacke durch irgendeine Art von Hacker-Gruppierung, liege die Gefahr auf der Hand, denn ID und zugehöriges Foto des Gesichts könnten gestohlen und zu verschiedenen Zwecken missbraucht werden. Balmas warnt: „Sie lockt eine große Datenbank von oft hochaufgelösten Porträts mit eindeutiger Identifikation des jeweiligen Menschen.“
Darüber hinaus könnte auch das Unternehmen selbst, oder eine angehängte Firma, diese Informationen für weitere Zwecke ausschlachten, welche den Nutzern kaum recht sein dürften. „Diesem Risiko sollten sich alle Nutzer oder Neulinge der Anwendung bewusst sein.“

Voila-Entwickler haben indes bei der Datensicherheit vieles richtig gemacht

Gut an dieser Anwendung seien diese Merkmale: „Sie wurde von einer registrierten und somit gesetzlich genehmigten LLP-Firma in Großbritannien geschrieben und verlangt nur das Minimum an Zugriffsrechten und Berechtigungen auf dem Smartphone, welche für die Funktionen notwendig sind.“ Diese App stelle sicher, dass auf dem Bild nur ein Gesicht zu sehen sei, sonst nichts, und schicke erst nach einer Bestätigung die Bilder an den Server.
Die Kommunikation mit dem Server werde durch HTTPS verschlüsselt und sei somit ab Werk geschützt. „Voila“ nutze außerdem bekannte Open-Source-Bibliotheken für die Programmzeilen – soweit möglich. „Somit lässt sich nach unserer kleinen Untersuchung zusammenfassen, dass die Entwickler der Anwendung vieles richtig gemacht haben, um die Privatsphäre und Daten der Nutzer zu schützen. Allerdings bleibt ein großer Wermutstropfen bezüglich der Verknüpfung von Fotos mit der ID, wodurch Nutzer enttarnt werden können“, kommentiert Balmas.

Weitere Informationen zum Thema:

cnet, Jessica Dolcourt, 23.06.2021
Voila AI artist, the app that turns you into a Pixar-worthy cartoon avatar, is taking over social media