უსაფრთხოების სპეციალისტი Xiaomi სმარტფონებზე საუბრობს: „ეს არის უკანა კარი ტელეფონის ფუნქციებით“

„როიტერმა“ გამოაქვეყნა გამაფრთხილებელი სტატია ჩინური გიგანტის, Xiaomi-ს, მიერ მილიონობით ადამიანის პერსონალური მონაცემების შეგროვების შესახებ მათი ონლაინ აქტივობებისა და მოწყობილობების გამოყენების შესახებ. „ეს არის ტელეფონის ფუნქციონალურობის მქონე უკანა კარი“, - ნახევრად ხუმრობით თქვა გაბი ცირლიგმა თავის ახალ Xiaomi სმარტფონზე.

ვეტერანმა კიბერუსაფრთხოების მკვლევარმა Forbes-ს მას შემდეგ ესაუბრა, რაც აღმოაჩინა, რომ მისი Redmi Note 8 სმარტფონი მის ყველა ქმედებას აკონტროლებდა. ეს მონაცემები შემდეგ იგზავნებოდა დისტანციურ სერვერებზე, რომლებიც მასპინძლობდა მისი თანამემამულე ჩინური ტექნოლოგიური გიგანტი Alibaba, რომელსაც Xiaomi, სავარაუდოდ, ქირაობს.

ბატონმა ცირლიგმა აღმოაჩინა, რომ მისი ქცევის შესახებ საგანგაშო რაოდენობის ინფორმაციის მონიტორინგი ხდებოდა, ამავდროულად კი მოწყობილობიდან სხვადასხვა ტიპის მონაცემები გროვდებოდა, რამაც სპეციალისტი შეაშინა, რომ მისი ვინაობისა და პირადი ცხოვრების დეტალები ჩინური კომპანიისთვის სრულად ცნობილი იყო.

როდესაც ის მოწყობილობაზე ნაგულისხმევად დაინსტალირებული Xiaomi ბრაუზერით ათვალიერებდა ინტერნეტს, ეს უკანასკნელი იწერდა ყველა მონახულებულ ვებსაიტს, მათ შორის Google-ის ან კონფიდენციალურობაზე ორიენტირებული DuckDuckGo-ს საძიებო მოთხოვნებს და Xiaomi-ს გარსის სიახლეების არხში ნანახ ყველა ელემენტს. და ეს მთელი თვალთვალი მუშაობდა „ინკოგნიტო“ რეჟიმის გამოყენების დროსაც კი.

მოწყობილობა იწერდა, თუ რომელი საქაღალდეები იყო გახსნილი და რომელი ეკრანები იყო გადართული, თუნდაც ეს სტატუსის ზოლი და მოწყობილობის პარამეტრების გვერდი ყოფილიყო. ყველა მონაცემი ჯგუფურად იგზავნებოდა სინგაპურსა და რუსეთში მდებარე დისტანციურ სერვერებზე, თუმცა ვებ დომენები სერვერები პეკინში დარეგისტრირდნენ.

Forbes-ის თხოვნით, კიბერუსაფრთხოების კიდევ ერთმა მკვლევარმა ენდრიუ ტირნიმ ჩაატარა საკუთარი გამოძიება. მან ასევე დაადგინა, რომ Xiaomi-ს მიერ Google Play-სთვის მოწოდებული ბრაუზერები — Mi Browser Pro და Mint Browser — ერთსა და იმავე მონაცემებს აგროვებენ. Google Play-ის სტატისტიკის მიხედვით, ისინი ერთად 15 მილიონზე მეტჯერ დაინსტალირდა, რაც იმას ნიშნავს, რომ შესაძლოა მილიონობით მოწყობილობაზე დაზარალდეს.

ბატონი კირლიგის აზრით, პრობლემები კიდევ ბევრ მოდელს ეხება. მან ჩამოტვირთა firmware Xiaomi-ს სხვა ტელეფონებისთვის, მათ შორის Xiaomi Mi 10-ისთვის, Xiaomi Redmi K20-ისთვის და Xiaomi Mi MIX 3-ისთვის, და დაადასტურა, რომ ისინი ერთსა და იმავე ბრაუზერს იყენებენ და, სავარაუდოდ, იგივე კონფიდენციალურობის პრობლემები აქვთ.

ასევე, როგორც ჩანს, პრობლემაა იმასთან დაკავშირებით, თუ როგორ გადასცემს Xiaomi მონაცემებს თავის სერვერებზე. მიუხედავად იმისა, რომ ჩინური კომპანია აცხადებს, რომ მონაცემები დაშიფრულია, გაბი ცირლიგმა აღმოაჩინა, რომ მას შეეძლო სწრაფად დაენახა, თუ რა იყო გადმოწერილი მისი მოწყობილობიდან, რადგან დაშიფვრა იყენებს მარტივ base64 ალგორითმს. მონაცემთა პაკეტების წაკითხვად ინფორმაციის ნაწილებად გადაქცევას მხოლოდ რამდენიმე წამი დასჭირდა. მან ასევე გააფრთხილა: „კონფიდენციალურობასთან დაკავშირებით ჩემი მთავარი შეშფოთება ის არის, რომ დისტანციურ სერვერებზე გაგზავნილი მონაცემების კვალდაკვალ ძალიან ადვილად შეიძლება დაბრუნდეს კონკრეტულ მომხმარებელზე“.

ამ ექსპერტების დასკვნების საპასუხოდ, Xiaomi-ს წარმომადგენელმა განაცხადა, რომ კვლევის მტკიცებები სიმართლეს არ შეესაბამება და რომ კონფიდენციალურობა და უსაფრთხოება უმთავრესია და რომ კომპანია მკაცრად იცავს და სრულად ასრულებს ადგილობრივ კანონებსა და რეგულაციებს მომხმარებლის კონფიდენციალურობის საკითხებთან დაკავშირებით. თუმცა, წარმომადგენელმა დაადასტურა, რომ დათვალიერების მონაცემები გროვდება და განაცხადა, რომ ინფორმაცია ანონიმურია და არ არის დაკავშირებული არცერთ პირთან და რომ მომხმარებლები თანხმობას აცხადებენ ასეთ თვალყურის დევნებაზე.

თუმცა, როგორც გაბი სირლიგი და ენდრიუ ტირნი აღნიშნავენ, სერვერზე არა მხოლოდ მონახულებული ვებსაიტები ან ინტერნეტში ძიების შედეგები იგზავნებოდა: Xiaomi ასევე აგროვებდა ტელეფონის მონაცემებს, მათ შორის უნიკალურ ნომრებს კონკრეტული მოწყობილობისა და ვერსიის იდენტიფიცირებისთვის. Androidსურვილის შემთხვევაში, ასეთი მეტამონაცემების მარტივად დაკავშირება შესაძლებელია ეკრანის უკან მდგომ რეალურ პიროვნებასთან.

Xiaomi-ს წარმომადგენელმა ასევე უარყო ბრალდება, რომ დათვალიერების მონაცემები ინკოგნიტო რეჟიმში იწერება. თუმცა, უსაფრთხოების მკვლევარებმა დამოუკიდებელი ტესტების შედეგად აღმოაჩინეს, რომ მათი დათვალიერების ქცევა იგზავნება დისტანციურ სერვერებზე იმის მიუხედავად, თუ რა რეჟიმში მუშაობს ბრაუზერი, რასაც მტკიცებულებად წარმოადგინეს როგორც ფოტოები, ასევე ვიდეოები.

როდესაც Forbes-მა Xiaomi-ს მიაწოდა ვიდეო, სადაც ასახულია Google-ში ძიების შედეგები და ვებსაიტებზე ვიზიტების გაგზავნა დისტანციურ სერვერებზე ინკოგნიტო რეჟიმშიც კი, კომპანიის წარმომადგენელმა კვლავ უარყო, რომ ინფორმაცია იწერებოდა: „ეს ვიდეო აჩვენებს ანონიმური დათვალიერების მონაცემების შეგროვებას, რაც ერთ-ერთი ყველაზე გავრცელებული გადაწყვეტაა, რომელსაც ინტერნეტ კომპანიები იყენებენ დათვალიერების საერთო გამოცდილების გასაუმჯობესებლად არაპირადად იდენტიფიცირებადი ინფორმაციის ანალიზით“.

თუმცა, უსაფრთხოების ექსპერტები თვლიან, რომ Xiaomi ბრაუზერის ქცევა გაცილებით აგრესიულია, ვიდრე სხვა პოპულარული ბრაუზერების, როგორიცაა Google Chrome ან Apple Safari: ეს უკანასკნელი არ იწერს ბრაუზერის ქცევას, მათ შორის URL-ებს, მომხმარებლის თანხმობის გარეშე და კონფიდენციალური დათვალიერების რეჟიმში.

გარდა ამისა, ბატონმა კირლიგმა თავისი კვლევის შედეგად აღმოაჩინა, რომ Xiaomi-ს სმარტფონებზე წინასწარ დაინსტალირებული მუსიკალური პლეერი აგროვებს ინფორმაციას მოსმენის ჩვევების შესახებ: რომელი სიმღერები უკრავენ და როდის.

გაბი ცირლიგი ასევე ეჭვობს, რომ Xiaomi აკონტროლებს მისი პროგრამული უზრუნველყოფის გამოყენებას, რადგან ყოველ ჯერზე, როდესაც ის აპლიკაციას ხსნის, ინფორმაციის მცირე რაოდენობა იგზავნება დისტანციურ სერვერზე. Forbes-ის მიერ მოყვანილი კიდევ ერთი ანონიმური მკვლევარი ამბობს, რომ მანაც ჩაიწერა ჩინური კომპანიის ტელეფონები, რომლებიც მსგავს მონაცემებს აგროვებდნენ. Xiaomi-მ ამ საკითხზე კომენტარი არ გააკეთა.

მონაცემები, როგორც ამბობენ, იგზავნება ჩინურ ანალიტიკურ კომპანია Sensors Analytics-ში (ასევე ცნობილი როგორც Sensors Data), რომელიც 2015 წელს დაარსდა და ორიენტირებულია მომხმარებლის ქცევის ღრმა ანალიზსა და პროფესიონალურ საკონსულტაციო მომსახურებაზე. მისი ინსტრუმენტები ეხმარება კლიენტებს ფარული მონაცემების აღმოჩენაში ძირითადი ქცევითი ნიმუშების შესწავლით. Xiaomi-ს წარმომადგენელმა დაადასტურა კავშირი სტარტაპთან: „მიუხედავად იმისა, რომ Sensors Analytics Xiaomi-სთვის მონაცემთა ანალიზის გადაწყვეტას უზრუნველყოფს, შეგროვებული ანონიმური მონაცემები დამოუკიდებლად ინახება“. სერვერები Xiaomi-სთან და არ გაზიარდება Sensors Analytics-თან ან სხვა მესამე მხარის კომპანიებთან.

წყარო: 3dnews.ru