Изданието Reuters публикува статия-предупреждение относно това, че китайският гигант Xiaomi записва личните данни на милиони хора за техните онлайн активности, както и за използването на устройството. „Това е бекдор с функционалността на телефона“ — заяви на полушега Габи Кирлиг (Gabi Cirlig) относно новия си смартфон Xiaomi.
Този опитен изследовател в областта на киберсигурността говори с журналисти от Forbes след като откри, че неговият смартфон Redmi Note 8 следи всичко, което прави. Тези данни след това се изпращали на отдалечени сървъри, разположени при друг китайски технологичен гигант, Alibaba, които вероятно наемат Xiaomi.
Господин Кирлиг откри, че следените обеми на информация относно неговото поведение са значителни, докато едновременно се събирали различни видове данни от устройството — специалистът е бил уплашен от това, че информацията за неговата идентичност и личен живот е напълно известна на китайската компания.
Когато преглеждал уебсайтове в браузъра Xiaomi, инсталиран по подразбиране на устройството, последният записвал всички посещавани сайтове, включително заявки от търсачките, било то Google или насочената към конфиденциалност DuckDuckGo, записвали се и всички елементи, които се преглеждали в новинарската лента на интерфейса на Xiaomi. И всичко това следене е работело дори когато се е използвал режим „инкогнито“.
Устройството записвало кои папки се отварят, кои екрани се превключват, дори и когато става дума за лентата за статус и страницата с настройки на апарата. Всички данни се изпращали пакетно на отдалечени сървъри в Сингапур и Русия, въпреки че уеб-домените сървъри били регистрирани в Пекин.
По искане на Forbes, друг изследовател в областта на киберсигурността, Ендрю Тирни (Andrew Tierney), проведе собствено разследване. Той също така откри, че браузърите, предлагани от Xiaomi в Google Play — Mi Browser Pro и Mint Browser — събират същите данни. Според статистиката на Google Play, те са били инсталирани над 15 милиона пъти, което означава, че милиони устройства могат да бъдат засегнати.
Проблемите, според г-н Кирлиг, касаят много повече модели. Той изтегли фърмуери за други телефони Xiaomi, включително Xiaomi Mi 10, Xiaomi Redmi K20 и Xiaomi Mi MIX 3, след което потвърди, че те използват идентичен браузър и вероятно имат същите проблеми с конфиденциалността.
Изглежда, че възникват трудности и с начина, по който Xiaomi предава данни на своите сървъри. Въпреки че китайската компания твърди, че данните са криптирани, Габи Кирлиг установи, че може бързо да види какво е било изтеглено от устройството му, тъй като за криптиране се използва прост алгоритъм base64. Отне само няколко секунди, за да преобразува пакетите данни в четими фрагменти информация. Той също предупреди: „Моето основно притеснение относно конфиденциалността е, че данните, изпращани на отдалечени сървъри, много лесно могат да бъдат свързани с конкретен потребител.”
В отговор на изводите на посочените специалисти, представител на Xiaomi заяви, че твърденията за изследванията не отговарят на истината, а конфиденциалността и сигурността имат първостепенно значение, като компанията строго спазва и напълно отговаря на местните закони и разпоредби относно въпросите на личните данни на потребителите. Но представителят потвърди, че данните за преглежданията се събират, твърдейки, че информацията е анонимна и не е свързана с конкретна личност, а потребителите дават съгласие за такова проследяване.
Но, както отбелязват Габи Кирлиг и Ендрю Тирни, на сървъра се изпращаха данни не само за посещаваните уебсайтове или търсенето в Интернет: Xiaomi също събира данни за телефона, включително уникални номера за идентифициране на конкретно устройство и версия на Android. Тези метаданни могат лесно да бъдат свързани с реален човек зад екрана.
Представител на Xiaomi също отхвърли твърденията, че данните за преглежданията се записват в режим инкогнито. Въпреки това специалисти по сигурността в своите независими тестове установиха, че тяхното поведение в мрежата се изпраща на отдалечени сървъри независимо от режима, в който работи браузърът, предоставяйки както снимки, така и видео в качеството на доказателство.
Когато журналистите на Forbes представиха на Xiaomi видео, в което се показва как търсенето в Google и посещението на сайтове се изпращат на отдалечени сървъри дори в режим инкогнито, представител на компанията продължи да отрича, че информацията се записва: „Това видео демонстрира събирането на анонимни данни за разглеждането, което е едно от най-разпространените решения, прилагани от интернет компаниите за подобряване на общата среда в браузъра чрез анализ на информация, която не идентифицира самоличността.“
Въпреки това специалистите по сигурност смятат, че поведението на браузъра на Xiaomi е много по-агресивно в сравнение с други популярни браузъри като Google Chrome или Apple Safari: последните не записват поведението на браузъра, включително URL адресите, без явно съгласие на потребителя и в режим на частно сърфиране.
Освен това, в своето изследване г-н Кирлиг установи, че предварително инсталираният музикален плеър на смартфоните на Xiaomi събира информация за навиците на слушане: кои песни се възпроизвеждат и кога.
Габи Кирлиг също подозира, че Xiaomi наблюдава използването на софтуера, тъй като всеки път, когато той отваря приложения, малка информация се изпраща на отдалечен сървър. Друг анонимен изследовател, на когото се позовава Forbes, заяви, че също е регистрирал как телефоните на китайската компания събират подобни данни. Xiaomi не коментира този въпрос.
Съобщава се, че данните се изпращат на китайската аналитична компания Sensors Analytics (също известна като Sensors Data), която е основана през 2015 година и се занимава с дълбочинния анализ на поведението на потребителите и предоставянето на професионални консултантски услуги. Нейните инструменти помагат на клиентите да изследват скритите данни чрез изучаване на ключови модели на поведение. Представител на Xiaomi потвърди връзката с стартапа: „Въпреки че Sensors Analytics предоставя решение за анализ на данни за Xiaomi, събраните анонимни данни се съхраняват на собствените сървъри сървъри на Xiaomi и няма да бъдат предавани на Sensors Analytics или на каквито и да било други трети компании.“
Източник: 3dnews.ru
