מומחה אבטחה מדבר על סמארטפונים של Xiaomi: "זוהי דלת אחורית עם פונקציות טלפון"

רויטרס פרסמה מאמר אזהרה לפיו הענקית הסינית Xiaomi מתעדת את הנתונים האישיים של מיליוני אנשים על הפעילויות המקוונות שלהם, כמו גם על השימוש במכשיר שלהם. "זו דלת אחורית לפונקציונליות של טלפון", אמר גבי סירליג, בחצי בצחוק, על הטלפון החכם החדש שלו Xiaomi.

חוקר אבטחת סייבר ותיק זה שוחח עם פורבס לאחר שגילה שהסמארטפון Redmi Note 8 שלו ריגל אחרי כל מה שהוא עשה. נתונים אלה נשלחו לאחר מכן לשרתים מרוחקים המתארחים על ידי ענקית הטכנולוגיה הסינית עליבאבא, שככל הנראה נשכרו על ידי שיאומי.

מר קירליג גילה כי עוקבים אחר כמות מדאיגה של מידע על התנהגותו בעוד סוגים שונים של נתונים נאספים בו זמנית מהמכשיר - המומחה נחרד מכך שפרטי זהותו וחייו הפרטיים היו ידועים במלואם לחברה הסינית.

כשגלש באתרים בדפדפן Xiaomi המוגדר כברירת מחדל במכשיר, האחרון תיעד את כל האתרים שבהם ביקר, כולל שאילתות ממנועי חיפוש, בין אם זה גוגל או DuckDuckGo ממוקד הפרטיות, וכל הפריטים שנצפו בפיד החדשות של מעטפת Xiaomi היו גם מוקלט. יתרה מכך, כל המעקב הזה עבד גם כאשר נעשה שימוש במצב "גלישה בסתר".

המכשיר תיעד אילו תיקיות נפתחו, אילו מסכים הוחלפו, גם כאשר מדובר בשורת הסטטוס ובעמוד הגדרות המכשיר. כל הנתונים נשלחו באצווה לשרתים מרוחקים בסינגפור וברוסיה, למרות שדומיינים של השרתים נרשמו בבייג'ינג.

לבקשת פורבס, חוקר אבטחת סייבר אחר, אנדרו טירני, ערך חקירה משלו. הוא גם גילה שהדפדפנים שסיפקה Xiaomi ב-Google Play - Mi Browser Pro ו-Mint Browser - אוספים את אותם נתונים. לפי הסטטיסטיקה של Google Play, יחד הם הותקנו יותר מ-15 מיליון פעמים, כלומר מיליוני מכשירים עלולים להיות מושפעים.

הבעיות, לדברי מר קירליג, חלות על מספר גדול בהרבה של דגמים. הוא הוריד קושחה לטלפונים אחרים של Xiaomi, כולל ה-Xiaomi Mi 10, Xiaomi Redmi K20 ו-Xiaomi Mi MIX 3, לפני שאישר שהם משתמשים בדפדפן זהה וכנראה סובלים מאותן בעיות פרטיות.

נראה שיש גם קשיים עם האופן שבו Xiaomi מעבירה נתונים לשרתים שלה. למרות שהחברה הסינית טוענת שהנתונים מוצפנים, גבי קירליג גילה שהוא יכול לראות במהירות מה הורד מהמכשיר שלו מכיוון שההצפנה משתמשת באלגוריתם base64 הפשוט ביותר. זה לקח רק כמה שניות להמיר את מנות הנתונים לפיסות מידע קריאות. הוא גם הזהיר: "הדאגה העיקרית שלי בנוגע לפרטיות היא שהנתונים הנשלחים לשרתים מרוחקים מקושרים בקלות רבה למשתמש ספציפי".

בתגובה לממצאי המומחים האמורים, דובר Xiaomi אמר כי טענות המחקר אינן נכונות, והפרטיות והאבטחה הן בעלות חשיבות עליונה, והחברה מקפידה על חוקים ותקנות מקומיים בכל הנוגע לבעיות פרטיות המשתמשים ועומדת בהתאמה מלאה. . אך הדובר אישר כי נאספים נתוני גלישה, ואמר כי המידע אנונימי ואינו קשור לאף אדם, והמשתמשים מסכימים למעקב כזה.

אבל כפי שמציינים גבי קירליג ואנדרו טירני, לא רק מידע על אתרים שביקרו בהם או חיפושים באינטרנט נשלח לשרת: שיאומי גם אספה נתונים על הטלפון, כולל מספרים ייחודיים לזיהוי מכשיר וגרסה ספציפית של אנדרואיד. ניתן לתאם בקלות מטא נתונים כאלה עם האדם האמיתי מאחורי המסך אם תרצה בכך.

דובר Xiaomi דחה גם את הטענות לפיהן נתוני גלישה מוקלטים במצב גלישה בסתר. עם זאת, חוקרי אבטחה גילו בבדיקות העצמאיות שלהם שההתנהגות המקוונת שלהם שולחת הודעות לשרתים מרוחקים ללא קשר לאיזה מצב הדפדפן פועל, ומספקת גם תמונות וגם סרטונים כראיה.

כאשר עיתונאי פורבס סיפקו ל-Xiaomi סרטון המראה כיצד חיפושי גוגל וביקורים באתר נשלחים לשרתים מרוחקים אפילו במצב גלישה בסתר, דובר החברה המשיך להכחיש שהמידע מוקלט: "הסרטון הזה מדגים את איסוף נתוני הגלישה האנונימיים, אשר היא אחת ההחלטות הנפוצות ביותר של חברות אינטרנט כדי לשפר את חווית הגלישה הכוללת על ידי ניתוח מידע שאינו ניתן לזיהוי אישי".

עם זאת, מומחי אבטחה מאמינים כי ההתנהגות של דפדפן Xiaomi היא הרבה יותר אגרסיבית מדפדפנים פופולריים אחרים כמו גוגל כרום או אפל ספארי: האחרונים אינם מתעדים את התנהגות הדפדפן, כולל כתובות אתרים, ללא הסכמה מפורשת של המשתמש ובמצב גלישה פרטית.

בנוסף, במחקר שלו, מר קירליג גילה כי נגן המוזיקה המותקן מראש בסמארטפונים של Xiaomi אוסף מידע על הרגלי האזנה: אילו שירים מושמעים ומתי.

גבי קירליג גם חושד ש-Xiaomi עוקב אחר השימוש בתוכנה מכיוון שבכל פעם שהוא פותח אפליקציות, כמות קטנה של מידע נשלחת לשרת מרוחק. חוקר אנונימי אחר שצוטט על ידי פורבס אמר שהוא גם תיעד כיצד הטלפונים של החברה הסינית אספו נתונים דומים. שיאומי לא הגיבה לעניין זה.

הנתונים מדווחים שנשלחו לחברת האנליטיקה הסינית Sensors Analytics (הידועה גם בשם Sensors Data), אשר נוסדה בשנת 2015 ועוסקת בניתוח מעמיק של התנהגות משתמשים ומתן שירותי ייעוץ מקצועיים. הכלים שלה עוזרים ללקוחות לחקור נתונים נסתרים על ידי בחינת דפוסי התנהגות מרכזיים. דובר של Xiaomi אישר את הקשר עם הסטארט-אפ: "למרות ש-Sensors Analytics מספקת פתרון לניתוח נתונים עבור Xiaomi, הנתונים האנונימיים שנאספים מאוחסנים בשרתים של Xiaomi עצמה ולא ישותף עם Sensors Analytics או כל חברות צד שלישי אחרות".

מקור: 3dnews.ru