უსაფრთხოების სპეციალისტი Xiaomi სმარტფონებზე საუბრობს: „ეს არის უკანა კარი ტელეფონის ფუნქციებით“

Reuters-მა გამოაქვეყნა გამაფრთხილებელი სტატია იმის შესახებ, რომ ჩინური გიგანტი Xiaomi იწერს მილიონობით ადამიანის პერსონალურ მონაცემებს მათი ონლაინ აქტივობებისა და მოწყობილობების გამოყენების შესახებ. "ეს არის უკანა კარი ტელეფონის ფუნქციონალურობისთვის", - თქვა გაბი ცირლიგმა ნახევრად ხუმრობით თავისი ახალი Xiaomi სმარტფონის შესახებ.

კიბერუსაფრთხოების ამ გამოცდილი მკვლევარი Forbes-ს ესაუბრა მას შემდეგ, რაც აღმოაჩინა, რომ მისი Redmi Note 8 სმარტფონი თვალთვალს ადევნებდა ყველაფერს, რასაც აკეთებდა. შემდეგ ეს მონაცემები გადაეგზავნა დისტანციურ სერვერებს, რომლებიც მასპინძლობს თანამემამულე ჩინურ ტექნიკურ გიგანტ Alibaba-ს, რომლებიც სავარაუდოდ იქირავებდა Xiaomi-ს.

ბატონმა კირლიგმა აღმოაჩინა, რომ მისი ქცევის შესახებ ინფორმაციის საგანგაშო რაოდენობას ადევნებდნენ თვალყურს მაშინ, როდესაც მოწყობილობიდან ერთდროულად გროვდებოდა სხვადასხვა ტიპის მონაცემები - სპეციალისტი შეშინებული იყო, რომ მისი ვინაობისა და პირადი ცხოვრების დეტალები სრულად იყო ცნობილი ჩინური კომპანიისთვის.

როდესაც ის ათვალიერებდა ვებსაიტებს მოწყობილობის ნაგულისხმევ Xiaomi ბრაუზერში, ამ უკანასკნელმა ჩაწერა ყველა მონახულებული საიტი, მათ შორის საძიებო სისტემების შეკითხვები, იქნება ეს Google ან კონფიდენციალურობაზე ორიენტირებული DuckDuckGo, და Xiaomi shell-ის ახალი ამბების არხში ნანახი ყველა ელემენტი იყო ასევე ჩაიწერა. უფრო მეტიც, მთელი ეს მეთვალყურეობა მუშაობდა მაშინაც კი, როდესაც გამოიყენებოდა "ინკოგნიტო" რეჟიმი.

მოწყობილობამ ჩაიწერა, რომელი საქაღალდეები გაიხსნა, რომელი ეკრანები იყო გადართული, მაშინაც კი, როდესაც საქმე ეხებოდა სტატუსის ზოლს და მოწყობილობის პარამეტრების გვერდს. ყველა მონაცემი ჯგუფურად იგზავნებოდა დისტანციურ სერვერებზე სინგაპურსა და რუსეთში, თუმცა სერვერების ვებ დომენები რეგისტრირებული იყო პეკინში.

Forbes-ის თხოვნით, კიბერუსაფრთხოების კიდევ ერთმა მკვლევარმა, ენდრიუ ტიერნიმ ჩაატარა საკუთარი გამოძიება. მან ასევე აღმოაჩინა, რომ Google Play-ზე Xiaomi-ს მიერ მოწოდებული ბრაუზერები - Mi Browser Pro და Mint Browser - აგროვებენ ერთსა და იმავე მონაცემებს. Google Play სტატისტიკის მიხედვით, ისინი ერთად დაინსტალირებულია 15 მილიონზე მეტჯერ, რაც ნიშნავს, რომ მილიონობით მოწყობილობა შეიძლება დაზარალდეს.

პრობლემები, ბატონი კირლიგის თქმით, ბევრად უფრო დიდ მოდელებს ეხება. მან ჩამოტვირთა firmware სხვა Xiaomi ტელეფონებისთვის, მათ შორის Xiaomi Mi 10, Xiaomi Redmi K20 და Xiaomi Mi MIX 3, სანამ დაადასტურებდა, რომ ისინი იყენებენ იდენტურ ბრაუზერს და სავარაუდოდ განიცდიან იგივე კონფიდენციალურობის პრობლემებს.

ასევე, როგორც ჩანს, არის სირთულეები Xiaomi მონაცემთა სერვერებზე გადაცემის გზაზე. მიუხედავად იმისა, რომ ჩინური კომპანია ამტკიცებს, რომ მონაცემები დაშიფრულია, გაბი კირლიგმა აღმოაჩინა, რომ მას შეეძლო სწრაფად დაენახა ის, რაც გადმოწერილი იყო მისი მოწყობილობიდან, რადგან დაშიფვრა იყენებს უმარტივეს base64 ალგორითმს. მხოლოდ რამდენიმე წამი დასჭირდა მონაცემთა პაკეტების წასაკითხად ინფორმაციის გადაქცევას. მან ასევე გააფრთხილა: ”ჩემი მთავარი საზრუნავი კონფიდენციალურობასთან დაკავშირებით არის ის, რომ დისტანციურ სერვერებზე გაგზავნილი მონაცემები ძალიან ადვილად ასოცირდება კონკრეტულ მომხმარებელთან.”

აღნიშნული ექსპერტების დასკვნების საპასუხოდ, Xiaomi-ს სპიკერმა თქვა, რომ კვლევის პრეტენზიები არ შეესაბამება სიმართლეს და კონფიდენციალურობასა და უსაფრთხოებას უდიდესი მნიშვნელობა აქვს და კომპანია მკაცრად იცავს და სრულად შეესაბამება ადგილობრივ კანონებსა და რეგულაციებს მომხმარებლის კონფიდენციალურობის საკითხებთან დაკავშირებით. . მაგრამ სპიკერმა დაადასტურა, რომ დათვალიერების მონაცემები გროვდება და თქვა, რომ ინფორმაცია ანონიმურია და არ არის დაკავშირებული რომელიმე ინდივიდთან და მომხმარებლები თანხმდებიან ასეთ თვალყურის დევნებაზე.

მაგრამ, როგორც გაბი კირლიგი და ენდრიუ ტიერნი აღნიშნავენ, სერვერზე არ იყო მხოლოდ მონახულებული ვებსაიტების ან ინტერნეტ ძიებების შესახებ ინფორმაცია: Xiaomi-მა ასევე შეაგროვა მონაცემები ტელეფონის შესახებ, უნიკალური ნომრების ჩათვლით Android-ის კონკრეტული მოწყობილობისა და ვერსიის იდენტიფიცირებისთვის. სურვილის შემთხვევაში, ასეთი მეტამონაცემების ადვილად კორელაცია შესაძლებელია ეკრანის მიღმა რეალურ ადამიანთან.

Xiaomi-ს სპიკერმა ასევე უარყო პრეტენზია, რომ დათვალიერების მონაცემები ინკოგნიტო რეჟიმში იწერება. ამასთან, უსაფრთხოების მკვლევარებმა დამოუკიდებელ ტესტებში დაადგინეს, რომ მათი ონლაინ ქცევა აგზავნის შეტყობინებებს დისტანციურ სერვერებზე, მიუხედავად იმისა, თუ რა რეჟიმში მუშაობს ბრაუზერი, რაც მტკიცებულებად აწვდის ფოტოებსა და ვიდეოებს.

როდესაც Forbes-ის ჟურნალისტებმა Xiaomi-ს მიაწოდეს ვიდეო, რომელშიც ნაჩვენები იყო, თუ როგორ იგზავნებოდა Google-ის ძიებები და ვებსაიტების ვიზიტები დისტანციურ სერვერებზე ინკოგნიტო რეჟიმშიც კი, კომპანიის სპიკერმა განაგრძო უარყო ინფორმაციის ჩაწერა: „ეს ვიდეო ასახავს ანონიმური დათვალიერების მონაცემების შეგროვებას. არის ერთ-ერთი ყველაზე გავრცელებული გადაწყვეტილება, რომელიც მიიღება ინტერნეტ კომპანიების მიერ დათვალიერების საერთო გამოცდილების გასაუმჯობესებლად არაპერსონალური იდენტიფიცირებადი ინფორმაციის გაანალიზებით."

ამასთან, უსაფრთხოების ექსპერტები თვლიან, რომ Xiaomi ბრაუზერის ქცევა ბევრად უფრო აგრესიულია, ვიდრე სხვა პოპულარული ბრაუზერები, როგორიცაა Google Chrome ან Apple Safari: ეს უკანასკნელი არ იწერს ბრაუზერის ქცევას, URL-ების ჩათვლით, მომხმარებლის აშკარა თანხმობის გარეშე და პირადი დათვალიერების რეჟიმში.

გარდა ამისა, მისტერ კირლიგმა თავის კვლევაში აღმოაჩინა, რომ Xiaomi სმარტფონებზე წინასწარ დაინსტალირებული მუსიკალური პლეერი აგროვებს ინფორმაციას მოსმენის ჩვევების შესახებ: რომელი სიმღერები უკრავს და როდის.

გაბი კირლიგი ასევე ეჭვობს, რომ Xiaomi აკონტროლებს პროგრამული უზრუნველყოფის გამოყენებას, რადგან ყოველ ჯერზე, როდესაც ის ხსნის აპებს, მცირე რაოდენობით ინფორმაცია იგზავნება დისტანციურ სერვერზე. Forbes-ის მიერ მოყვანილი სხვა ანონიმური მკვლევარი ამბობს, რომ მან ასევე ჩაწერა, თუ როგორ აგროვებდნენ ჩინური კომპანიის ტელეფონები მსგავს მონაცემებს. Xiaomi-ს ამ საკითხზე კომენტარი არ გაუკეთებია.

მონაცემები იგზავნება ჩინურ ანალიტიკურ კომპანიაში Sensors Analytics (ასევე ცნობილი როგორც Sensors Data), რომელიც დაარსდა 2015 წელს და ეწევა მომხმარებლის ქცევის სიღრმისეულ ანალიზს და პროფესიონალურ საკონსულტაციო სერვისებს. მისი ხელსაწყოები ეხმარება კლიენტებს ფარული მონაცემების შესწავლაში ძირითადი ქცევის შაბლონების შესწავლით. Xiaomi-ს სპიკერმა დაადასტურა კავშირი სტარტაპთან: „მიუხედავად იმისა, რომ Sensors Analytics უზრუნველყოფს მონაცემთა ანალიტიკის გადაწყვეტას Xiaomi-სთვის, შეგროვებული ანონიმური მონაცემები ინახება Xiaomi-ს საკუთარ სერვერებზე და არ იქნება გაზიარებული Sensors Analytics-თან ან სხვა მესამე მხარის კომპანიებთან“.

წყარო: 3dnews.ru