Reuters'i väljaanne avaldas hoiatava artikli, milles öeldakse, et Hiina hiiglane Xiaomi kogub miljonite inimeste isikuandmeid nende võrgutegevuste ja seadme kasutamise kohta. "See on tagauks telefoni funktsioonidega," ütles Gabi Cirlig poolnaljatades oma uue Xiaomi nutitelefoni kohta.
See kogenud küberturbe uurija rääkis Forbesi ajakirjanikega pärast seda, kui avastas, et tema Redmi Note 8 nutitelefon jälgib kõike, mida ta teeb. Need andmed saadeti seejärel kaugserveritesse, mis asuvad teise Hiina tehnoloogiahiiglase Alibaba serverites, mille ilmselt rendib Xiaomi.
Härra Cirlig avastas, et jälgiti häirivaid andmehulkasid tema käitumise kohta, samal ajal kui tema seadme juurest koguti erinevaid andmeid — spetsialist kartis, et tema isiklik ja privaatne elu on täielikult tuntud Hiina ettevõtte poolt.
Kui ta sirvis Xiaomi seadme vaikimisi veebibrauseris veebi, salvestas see kõik külastatud saidid, sealhulgas otsingupäringud, olgu need siis Google või privaatsusele orienteeritud DuckDuckGo, samuti salvestati kõik elemendid, mida vaadati Xiaomi liidese uudistevoos. Ja kogu see jälgimine toimis isegi siis, kui kasutati 'inkognito' režiimi.
Seade salvestas, milliseid kaustu avatakse, millised ekraanid vahetuvad, isegi kui see puudutab olekuriba ja seadme seadete lehte. Kõik andmed saadeti pakina kaugserveritesse Singapuris ja Venemaal, kuigi veebidomeenid serverite olid registreeritud Pekingi poolt.
Forbesi palve põhjal viis teine küberturbe uurija Andrew Tierney läbi oma uurimise. Ta avastas, et Xiaomi Google Play'ga kaasas olevad brauserid — Mi Browser Pro ja Mint Browser — koguvad samu andmeid. Google Play'i statistika kohaselt on need kokku alla laetud rohkem kui 15 miljonit korda, mis tähendab, et miljonid seadmed võivad olla mõjutatud.
Härra Cirligi arvates puudutavad probleemid palju rohkem mudeleid. Ta laadis alla muu Xiaomi telefonide jaoks mõeldud tarkvara, sealhulgas Xiaomi Mi 10, Xiaomi Redmi K20 ja Xiaomi Mi MIX 3, mille järel kinnitas, et nad kasutavad identset brauserit ja tõenäoliselt jagavad samu privaatsusprobleeme.
Paistab, et tekkivad raskused ka Xiaomi andmete edastamisel oma serveritesse. Ehkki Hiina ettevõte väidab, et andmed on krüpteeritud, avastas Gabi Cirlig, et ta saab kiiresti näha, mida tema seadmest üles laaditi, kuna krüpteerimiseks kasutatakse lihtsat algoritmi base64. Andmepakettide loetavate fragmentideks muutmiseks kulus vaid paar sekundit. Ta teatas ka: "Minu peamine mure privaatsuse üle on see, et kaugserveritesse saatmiseks edastatavad andmed on väga lihtsalt seotud konkreetse kasutajaga."
Tuginedes antud ekspertide järeldustele, teatas Xiaomi esindaja, et uurimistulemuste nõuded ei vasta tõele ning et privaatsus ja turvalisus on prioriteediks, kusjuures ettevõte järgib rangelt kõiki kohalikke seadusi ja regulatsioone, mis puudutavad kasutajate isikuandmeid. Kuid esindaja kinnitas samas, et külastusandmeid kogutakse, väites, et teave on anonüümne ja ei ole seotud ühegi isikuga, ning et kasutajad annavad selles osas nõusoleku.
Siiski, nagu märkisid Gabi Cirlig ja Andrew Tierney, saadeti serverisse andmeid mitte ainult külastatud veebilehtede või internetiotsingute kohta: Xiaomi kogub ka telefoni andmeid, sealhulgas unikaalseid numbreid, et identifitseerida konkreetne seade ja Androidi versioon. Selliseid metaandmeid on soovi korral lihtne seostada reaalse inimesega ekraani taga.
Xiaomi esindaja lükkas ka ümber väidete, et külastusandmeid salvestatakse inkognito režiimis. Siiski avastasid turvalisuse spetsialistid oma sõltumatutes testides, et nende veebikäitumine saadetakse kaugserveritesse sõltumata sellest, millises režiimis brauser töötab, esitades tõendiks nii fotosid kui ka videoid.
Kui Forbesi ajakirjanikud esitasid Xiaomi video, kus näidati, kuidas Google'is otsimine ja veebisaitide külastamine edastati kaugserveerijatele isegi inkognito-režiimis, jätkas ettevõtte esindaja teabe salvestamise eitamist: „See video demonstreerib käitumise anonüümseid andmeid kogumist, mis on üks levinumaid lahendusi, mida veebiettevõtted rakendavad brauseri üldise keskkonna parandamiseks teabe analüüsi kaudu, mis ei identifitseeri isikut.“
Kuid turvaspetsialistid usuvad, et Xiaomi brauseri käitumine on tunduvalt agressiivsem kui teistel populaarsetel brauseritel nagu Google Chrome või Apple Safari: viimased ei salvesta brauseri käitumist, sealhulgas URL-e, ilma kasutaja selge nõusolekuta ja privaatse sirvimise režiimis.
Lisaks avastas härra Kirlig oma uuringus, et Xiaomi eelinstalleeritud muusikamängija kogub teavet kuulamisharjumuste kohta: milliseid lugusid mängitakse ja millal.
Gabi Kirlig kahtlustab samuti, et Xiaomi jälgib tarkvara kasutamist, kuna iga kord, kui avatakse rakendused, saadetakse väike teave kaugserveerijale. Teine anonüümne uurija, kellele Forbes viitab, on samuti kinnitanud, et on registreerinud, kuidas Hiina ettevõtte telefonid koguvad sarnaseid andmeid. Xiaomi ei ole selle kohta kommentaare andnud.
Teadaolevalt saadetakse andmed Hiina analüütilisele ettevõttele Sensors Analytics (tuntud ka kui Sensors Data), mis asutati 2015. aastal ja tegeleb kasutajate käitumise süvaanalüüsiga ning professionaalsete konsultatsiooniteenuste pakkumisega. Ettevõtte tööriistad aitavad klientidel avastada varjatud andmeid, uurides käitumismustreid. Xiaomi esindaja kinnitas sidet start-up'iga: „Kuigi Sensors Analytics pakub andmeanalüüsi lahendusi Xiaomi jaoks, säilitatakse kogutud anonüümsed andmed ettevõtte enda serverites. serverites Xiaomi ja neid ei edastata Sensors Analyticsile ega ükskõik millistele teistele kolmandatele osapooltele.“
Allikas: 3dnews.ru
