Издание Reuters публикува предупредителна статия относно факта, че китайският гигант Xiaomi записва лични данни на милиони хора за техните онлайн активности, както и за използването на устройството. "Това е бекдор с функционалността на телефона", заяви на шега Габи Кирлиг (Gabi Cirlig) за новия си смартфон Xiaomi.
Този опитен изследовател в областта на киберсигурността говори с журналисти от Forbes след като откри, че смартфонът му Redmi Note 8 следи всичко, което прави. Тези данни след това бяха изпращани на отдалечени сървъри, разположени при друг китайски технологичен гигант, Alibaba, които вероятно наема Xiaomi.
Господин Кирлиг установи, че се събират тревожни количества информация за поведението му, докато едновременно се събираха различни видове данни от устройството — специалистът беше уплашен, че информацията за личността и частния му живот е напълно известна на китайската компания.
Когато той разглеждаше уебсайтове в браузъра на Xiaomi, зададен по подразбиране на устройството, последният записваше всички посетени сайтове, включително и търсенията в търсачките, независимо дали ставаше въпрос за Google или насочената към конфиденциалност DuckDuckGo; също така бяха записвани всички елементи, които се разглеждаха в новинарския поток на интерфейса на Xiaomi. Всичко това следене работеше дори когато беше активиран режимът "инкогнито."
Устройството записваше кои папки се отварят, кои екрани се превключват, дори когато ставаше дума за лентата със състоянието и страницата с настройки на устройството. Всички данни бяха изпращани пакетно на отдалечени сървъри в Сингапур и Русия, въпреки че уеб-домейните сървъри бяха регистрирани в Пекин.
По искане на Forbes, друг изследовател в областта на киберсигурността, Ендрю Тирни (Andrew Tierney), проведе собствено разследване. Той също така откри, че браузърите, предлагани от Xiaomi в Google Play — Mi Browser Pro и Mint Browser — събират едни и същи данни. Според статистиката на Google Play, те са били инсталирани над 15 милиона пъти, следователно може да са засегнати милиони устройства.
Проблемите, както счита господин Кирлиг, се отнасят до значително по-голям брой модели. Той е изтеглил фърмуери за други телефони Xiaomi, включително Xiaomi Mi 10, Xiaomi Redmi K20 и Xiaomi Mi MIX 3, след което потвърди, че те използват идентичен браузър и вероятно имат същите проблеми с конфиденциалността.
Изглежда, че възникват трудности и с начина, по който Xiaomi предава данни на своите сървъри. Въпреки че китайската компания твърди, че данните са криптирани, Габи Кирлиг откри, че може бързо да види какво е било изтеглено от неговото устройство, тъй като за криптиране се използва най-простият алгоритъм base64. Отне само няколко секунди, за да преобразува пакетите данни в четими фрагменти информация. Той също така предупреди: „Основното ми притеснение относно конфиденциалността е, че данните, изпратени на отдалечени сървъри, много лесно могат да бъдат свързани с конкретен потребител“.
В отговор на констатациите на посочените специалисти представител на Xiaomi съобщи, че твърденията за изследванията не отговарят на действителността, а конфиденциалността и безопасността имат приоритетно значение, като компанията строго спазва и напълно се съобразява с местните закони и разпоредби относно въпросите на личните данни на потребителите. Но представителят потвърди, че данните за посещенията се събират, твърдейки, че информацията е анонимна и не е свързана с никакво лице, а потребителите дават съгласие за това проследяване.
Но, както отбелязват Габи Кирлиг и Андрю Тирни, на сървъра бяха изпращани данни не само за посещаваните уебсайтове или търсенето в интернет: Xiaomi също събира данни за телефона, включително уникални номера за идентификация на конкретно устройство и версия на Android. Такива метаданни лесно могат да бъдат свързани с реален човек зад екрана, ако се пожелае.
Представител на Xiaomi също отхвърли твърденията, че данните за посещенията се записват в режим на инкогнито. Въпреки това специалистите по сигурност в своите независими тестове откриха, че поведението им в интернет се изпраща на отдалечени сървъри, независимо от режима, в който работи браузърът, предоставяйки както снимки, така и видео в качеството на доказателство.
Когато журналисите на Forbes предоставиха на Xiaomi видео, в което се показва как търсенето в Google и посещаването на сайтове се изпраща на отдалечени сървъри дори в режим инкогнито, представител на компанията продължи да отрича, че информацията се записва: «Това видео демонстрира събиране на анонимни данни за прегледите, което е едно от най-разпространените решения, прилагани от интернет компаниите за подобряване на общата среда в браузъра чрез анализ на информация, която не идентифицира личността».
Въпреки това специалистите по сигурност смятат, че поведението на браузъра на Xiaomi е значително по-агресивно от това на други популярни браузъри като Google Chrome или Apple Safari: последните не записват поведението на браузъра, включително URL адресите, без явно съгласие на потребителя и в режим на частно browsing.
Освен това, в своето изследване г-н Кирлиг установи, че предварително инсталираният на смартфоните на Xiaomi музикален плейър събира информация за навиците на слушане: какви песни се възпроизвеждат и кога.
Габи Кирлиг също подозира, че Xiaomi следи използването на софтуер, тъй като всеки път, когато отваря приложения, малка информация се изпраща на отдалечен сървър. Друг анонимен изследовател, на когото се позовава Forbes, заяви, че е записвал как телефоните на китайската компания събират подобни данни. Xiaomi не е направила коментари по този въпрос.
Съобщава се, че данните се изпращат на китайската аналитична компания Sensors Analytics (известна също като Sensors Data), която е основана през 2015 година и се занимава с дълбочинен анализ на поведението на потребителите и предоставяне на професионални консултантски услуги. Нейните инструменти помагат на клиентите да изследват скрити данни чрез изучаване на ключови модели на поведение. Представител на Xiaomi потвърди връзката със стартъпa: «Въпреки че Sensors Analytics предоставя решение за анализ на данни за Xiaomi, събраните анонимни данни се съхраняват на собствените сървъри сървъри на Xiaomi и няма да бъдат предадени на Sensors Analytics или на други трети компании».
Източник: 3dnews.ru
