Можно ли полагать, что вышедшее 30 марта официальное приложение Белого дома (The White House) США гарантирует безопасность и конфиденциальность?
Эта мысль кажется естественной, пока один разработчик не разобрал APK и не обнаружил в нём несколько тревожных функций. Приложение gov.whitehouse.app, доступное в Google Play, позиционирует себя как «единственный источник новостей от администрации США», но под поверхностью скрывается набор механизмов, которые ставят под вопрос его соответствие базовым принципам приватности.
Приложение построено на React Native в связке с Expo SDK 54 и движком Hermes. В качестве бэкенда используется WordPress, от которого контент поступает через REST‑API /wp-json/whitehouse/v1/*. Такой подход позволяет быстро обновлять новости, но одновременно открывает двери для внедрения сторонних скриптов и сервисов.
Ниже перечислены доступные эндпоинты и их назначение:
| Эндпоинт | Назначение |
|---|---|
| /wp-json/whitehouse/v1/home | Главный экран |
| /wp-json/whitehouse/v1/news/articles | Новостные статьи |
| /wp-json/whitehouse/v1/wire | Лента «The Wire» |
| /wp-json/whitehouse/v1/live | Прямые трансляции |
| /wp-json/whitehouse/v1/galleries | Фото‑галереи |
| /wp-json/whitehouse/v1/issues | Политические темы |
| /wp-json/whitehouse/v1/priorities | Приоритеты администрации |
| /wp-json/whitehouse/v1/achievements | Достижения |
| /wp-json/whitehouse/v1/affordability | Цены на лекарства |
| /wp-json/whitehouse/v1/media-bias | Раздел «Media Bias» |
| /wp-json/whitehouse/v1/social/x | Поток из X (Twitter) |
В самом пакете найдены строки с явно политическим подтекстом («THE TRUMP EFFECT», «Greatest President Ever!», «Visit TrumpRx.gov»), а также ссылка на форму подачи сообщений в ICE. Таким образом, приложение представляет собой портал новостей, трансляций, галерей и рекламных материалов, полностью управляемый WordPress‑бэкендом.
Техническая архитектура
Среди основных компонентов – WebView, обогащённый JavaScript‑инжектором, OneSignal для push‑уведомлений и GPS‑трекинга, а также несколько внешних библиотек, загружающих ресурсы с GitHub Pages и CDN‑провайдеров. В конфигурации Expo явно указан владелец «forty‑five‑press», что указывает на медиа‑команду, а не на официальное правительственное подразделение.
Инжектор скрывает cookie‑баннеры, GDPR‑диалоги, paywall‑экраны и любые элементы, связанные с авторизацией. Он внедряется через injectedJavaScript в каждый открытый сайт, создаёт CSS‑правило display:none !important и использует MutationObserver для динамического подавления новых элементов. Таким образом приложение обходит требования GDPR и блокирует монетизацию сторонних ресурсов.
GPS‑трекинг реализован через OneSignal. Интервалы опроса фиксированы: 270 000 мс (≈4,5 мин) в активном режиме и 570 000 мс (≈9,5 мин) в фоне. Координаты собираются через Google Fused Location API, упаковываются в объект с меткой времени и отправляются на серверы OneSignal, где могут быть использованы для профилирования.
Для воспроизведения YouTube‑контента приложение использует библиотеку react-native-youtube-iframe, которая загружает HTML‑страницу с GitHub Pages пользователя lonelycpp. Компрометация этого аккаунта открывает возможность выполнить произвольный код в WebView, что представляет типичную атаку через цепочку поставок.
| Функция | White House app | Типичное гос. приложение |
|---|---|---|
| Инжектор paywall‑обхода | Да | Нет |
| GPS‑трекинг в фоне | Да (4,5 мин/9,5 мин) | Нет |
| Загрузка скриптов с GitHub Pages | Да | Нет |
| Certificate pinning | Отсутствует | Часто реализовано |
Большинство государственных приложений пишутся нативно на Java/Kotlin или Swift, что обеспечивает более тесный контроль над безопасностью и меньший размер пакета. В случае Белого дома выбран гибридный стек, что упрощает кроссплатформенную разработку, но влечёт за собой ряд компромиссов.
Пользователям, которым важно сохранять конфиденциальность, рекомендуется избегать встроенного браузера приложения и открывать ссылки в проверенных браузерах. Отключение разрешения «Доступ к местоположению» в настройках Android полностью блокирует сбор координат, а удаление приложения устраняет потенциальный вектор атак через сторонние скрипты.
Взгляд в будущее
Если разработчики не устранят инжектор, GPS‑модуль и внешние зависимости, приложение продолжит вызывать вопросы у специалистов по безопасности и может стать объектом расследований. Ожидается, что в следующих обновлениях будет проведён аудит кода, а также внедрены механизмы сертификат‑пиннинга и удаление лишних компонентов.
Отсутствие базовых мер защиты в официальном приложении, предназначенном для массовой аудитории, ставит под сомнение соблюдение принципов открытости и приватности, ожидаемых от государственных цифровых сервисов.
