Udgaven fra Reuters har offentliggjort en advarselsartikel om, at den kinesiske gigant Xiaomi indsamler personlige data fra millioner af mennesker om deres online aktiviteter samt brugen af enheden. "Det er en bagdør med telefonens funktionalitet," sagde Gabi Cirlig halv-jovialt om sin nye Xiaomi-smartphone.
Denne erfarne forsker inden for cybersikkerhed talte med journalister fra Forbes, efter at han havde opdaget, at hans Redmi Note 8-smartphone overvågede alt, hvad han lavede. Disse data blev derefter sendt til fjernservere hostet af en anden kinesisk teknologigigant, Alibaba, som Xiaomi højst sandsynligt lejer.
Hr. Cirlig opdagede, at der blev samlet skræmmende mængder oplysninger om hans adfærd, mens der samtidig blev indsamlet forskellige typer data fra enheden – han var skræmt over, at oplysninger om hans identitet og privatliv var fuldstændig kendt af det kinesiske selskab.
Når han browser websites i den standard Xiaomi-browser, registrerede den alle besøgte sites, inklusive søgninger fra søgemaskiner, hvad enten det var Google eller den privatlivsorienterede DuckDuckGo, også blev alle elementer, der blev set i Xiaomi's nyhedsfeed, registreret. Desuden fungerede al denne overvågning selv når "inkognito"-tilstand blev brugt.
Enheden registrerede, hvilke mapper der blev åbnet, hvilke skærme der blev skiftet, selv i statuslinjen og på enhedens indstillingsside. Alle data blev sendt i pakker til fjernservere i Singapore og Rusland, selvom webdomænerne servere var registreret i Beijing.
På anmodning fra Forbes udførte en anden cybersikkerhedsforsker, Andrew Tierney, sin egen undersøgelse. Han opdagede også, at de browserprogrammer, Xiaomi tilbyder på Google Play – Mi Browser Pro og Mint Browser – indsamler de samme data. Ifølge Google Play-statistikkerne er de samlet set blevet installeret mere end 15 millioner gange, hvilket betyder, at millioner af enheder kan være berørt.
Problemerne, som hr. Kirlig mener, vedrører et langt større antal modeller. Han har downloadet firmware til andre Xiaomi-telefoner, herunder Xiaomi Mi 10, Xiaomi Redmi K20 og Xiaomi Mi MIX 3, hvorefter han bekræftede, at de bruger en identisk browser og sandsynligvis har de samme privatlivsproblemer.
Det ser også ud til, at der opstår vanskeligheder med, hvordan Xiaomi overfører data til sine servere. Selvom det kinesiske selskab hævder, at dataene er krypteret, opdagede Gabi Kirlig, at han hurtigt kunne se, hvad der var blevet uploadet fra hans enhed, da den enkleste base64-algoritme anvendes til kryptering. Det tog kun et par sekunder at konvertere datapakker til læsbare informationer. Han advarede også: "Mit største bekymring vedrørende privatlivets fred er, at de data, der sendes til fjernservere, nemt kan knyttes til en bestemt bruger."
Som svar på konklusionerne fra de nævnte specialister, sagde en repræsentant for Xiaomi, at påstandene om undersøgelserne ikke er korrekte, og at privatlivets fred og sikkerhed er af allerstørste betydning, idet virksomheden strengt overholder og fuldt ud efterlever lokale love og regulativer vedrørende brugernes persondata. Men repræsentanten bekræftede samtidig, at data om visninger indsamles, idet han hævdede, at oplysningerne er anonyme og ikke knyttet til nogen bestemt person, og at brugerne giver samtykke til sådan sporing.
Men som Gabi Kirlig og Andrew Tierney bemærker, blev der også sendt oplysninger til serveren om ikke bare besøgte websteder eller internetsøgninger: Xiaomi indsamler også data om telefonen, herunder unikke numre til identifikation af en bestemt enhed og versionen af Android. Sådanne metadata kan let knyttes til en levende person bag skærmen, hvis det ønskes.
En repræsentant for Xiaomi afviste også påstandene om, at data om visninger bliver registreret i inkognito-tilstand. Dog opdagede sikkerhedsspecialister i deres uafhængige tests, at deres onlineadfærd bliver sendt til fjernservere uafhængigt af, hvilken tilstand browseren kører i, og de fremlagde både billeder og videoer som bevis.
Da journalister fra Forbes præsenterede Xiaomi en video, der viser, hvordan søgninger på Google og besøg af hjemmesider blev sendt til eksterne servere, selv i inkognito-tilstand, fortsatte virksomhedens repræsentant med at benægte, at informationen bliver registreret: «Denne video viser indsamling af anonyme data om browsere, hvilket er en af de mest almindelige løsninger truffet af internetvirksomheder for at forbedre den generelle oplevelse i browseren ved at analysere information, der ikke identificerer personer».
Imidlertid mener sikkerhedseksperter, at Xiaomi-browserens adfærd er langt mere aggressiv end andre populære browsere som Google Chrome eller Apple Safari: de sidstnævnte registrerer ikke browserens adfærd, inklusive URL-adresser, uden brugerens udtrykkelige samtykke og i privat visning.
Desuden har hr. Kirlig i sin forskning opdaget, at den forudinstallerede musikafspiller på Xiaomi-smartphones indsamler oplysninger om lyttevaner: hvilke sange der spilles, og hvornår.
Gabi Kirlig mistænker også, at Xiaomi overvåger softwarebrugen, da der hver gang han åbner apps, sendes en lille mængde data til en ekstern server. En anden anonym forsker, som Forbes henviser til, har også registreret, hvordan telefoner fra det kinesiske firma indsamler lignende data. Xiaomi har ikke givet nogen kommentar i den forbindelse.
Det rapporteres, at data sendes til det kinesiske analysefirma Sensors Analytics (også kendt som Sensors Data), som blev grundlagt i 2015 og arbejder med dybdegående analyse af brugeradfærd og tilbyder professionelle konsulenttjenester. Deres værktøjer hjælper kunderne med at udforske skjulte data ved at studere nøglemønstre i adfærd. En repræsentant for Xiaomi bekræftede forbindelsen til startupen: «Selvom Sensors Analytics leverer analyseværktøjer til Xiaomi, opbevares de indsamlede anonyme data på Xiaomi's egne servere servere og vil ikke blive videregivet til Sensors Analytics eller andre tredjepartsfirmaer».
Kilde: 3dnews.ru
