A HTC az FTC-vel állapodik meg a Carrier IQ, a HTC Logger nem biztonságos megvalósításával kapcsolatban

HTC America az FTC-vel (Szövetségi Kereskedelmi Bizottság) egyeztetett azon aggodalmak miatt, hogy a vállalat az ügyfelek millióinak személyes adatait veszélyezteti az eszközén lévő szoftverek nem biztonságos megvalósításával. Az FTC megállapította, hogy a HTC nem alkalmazott ésszerű gondosságot a legjobb kódolási és biztonsági gyakorlatok megvalósításában, amikor eszközei számára szoftvert készített, mondván:

"[A HTC] nem biztosított megfelelő mérnöki képzést mérnökeinek, nem vizsgálta felül vagy tesztelte a mobileszközökön lévő szoftvert potenciális biztonsági rések szempontjából, nem követte a jól ismert és általánosan elfogadott biztonságos kódolási gyakorlatokat, és nem hozta létre a sérülékenységi jelentések harmadik felektől történő fogadásának és kezelésének folyamatát. "

Ezek meglehetősen erős szavak a vállalat számára, de ahol valóban hazaér, ott a fogyasztóknak szánt problémák, amelyeket a felügyelet hiánya okozott. Az FTC elmagyarázza, hogy a HTC megvalósítása Carrier IQ az eszközein található HTC Logger pedig sebezhetővé tette az ügyféladatokat a támadásokkal szemben, olyan hibák mellett, amelyek miatt harmadik felek megkerülhetik az Android beépített engedélyezési rendszerét.

Az FTC panaszának második része az, hogy megállapítja, hogy a HTC megtévesztő volt, amikor erről tájékoztatta a fogyasztókat a biztonsági kockázatok a szoftver implementációinak, kijelentve, hogy az eszköz felhasználói kézikönyvei és a "Tell HTC" alkalmazás kezelőfelülete félrevezető volt. A megvalósítás mindkét kérdése állítólag aláásta az Android normál beleegyezési mechanizmusát, amely biztonságban tartotta volna a felhasználó adatait.

Tehát mit jelent ez a HTC számára? Az FTC előírja, hogy a vállalat fejlesszen ki és bocsásson ki szoftveres javításokat az eszközei számára érintették ezeket a sebezhetőségeket, és a HTC azt mondta, hogy már kiadott néhány javítást erről pont. Ezenkívül a HTC-nek a következő 20 évben kétévente alá kell vetnie magát "független biztonsági értékeléseknek". A HTC-nek ezenkívül tilos félrevezető nyilatkozatokat tenni eszközei és felhasználói adatai biztonságáról.

Ez elég nagy megállapítás az FTC-től, de nem feltétlenül ritka. Habár nem biztos, hogy széleskörűen használták ki ezeket a biztonsági réseket, fontos, hogy a HTC változtatni fog a biztonság elősegítésében. Bár jobban szerettük volna, ha a HTC elsősorban a legjobb gyakorlatokat alkalmazza, nem pedig az FTC vizsgálatára.

Forrás: FTC