További kutatások megmutatják, hogy a Carrier IQ pontosan mit tud és mit nem

Android hacker és professzionális biztonsági tanácsadó Dan Rosenberg (lehet, hogy ismeri djrbliss az Internetről) befejezte saját tanulmányát a Carrier IQ-ról, és érdekes eredményeket talált. Úgy tűnik, hogy mindazok a jelentések, amelyek a billentyűleütések naplózásáról és az SMS-üzenetek kémleléséről szóltak, hibás feleket hibáztattak, mivel kutatásai azt mutatják, hogy a Carrier IQ írásban csak azokat az adatokat képes rögzíteni, amelyeket a szolgáltató küld neki (metrikák néven ismert), és akkor is meg kell vizsgálnia egy profilt (gondoljon rá, mint bármely alkalmazás beállítási oldalára), amelyet a szolgáltató CIQ-val írt kifejezetten a telepítésükhöz. Saját szavaival:

Kedves Internet,

A CarrierIQ sok rosszat csinál. Ez potenciális kockázatot jelent a felhasználók magánéletére nézve, és a felhasználók számára lehetővé kell tenni, hogy lemondjanak erről.

De az embereknek fel kell ismerniük, hogy nagy különbség van az események, például a billentyűleütések és a HTTPS URL-ek rögzítése és a hibakeresés között puffer (ami önmagában elég rossz), és valójában ezeket az adatokat gyűjti, tárolja és továbbítja a hordozóknak (ami nem történik). Magam a CarrierIQ fordított mérnöki munkája után nem láttam bizonyítékot arra, hogy bármi mást gyűjtenének, mint amit nyilvánosan állítottak: névtelen metrikák adatait. Nagy különbség van a "nézd, csinál valamit, amikor megnyomok egy gombot" és "az összes billentyűleütésemet a hordozóra küldi!" Között. A látottak alapján a CarrierIQ-ban nincs olyan kód, amely adatgyűjtés céljából valóban rögzítené a billentyűleütéseket. Természetesen az a tény, hogy horgok vannak ezekben az eseményekben, arra utal, hogy a jövőbeli verziók visszaélhetnek az ilyen típusú programokkal a CIQ-t felelősségre kell vonni, és szoros ellenőrzés alatt kell tartani, hogy ez a fajta adatvédelmi beavatkozás megtörténjen nem fordulnak elő. De a közelmúltban zajló zaj többnyire megalapozatlan.

instagram viewer

Rengeteg oka van annak, hogy idegesítsük a CIQ-t, de kérjük, ne folytasson következtetéseket hiányos bizonyítékok alapján.

Üdvözlettel,
Dan Rosenberg

Szóval mi van az összes cuccsal, amin látunk Trevor Eckhart videója az EVO működéséről? Nyilvánvalóan ott van, akkor mi van ezzel? Nem vagyunk biztonsági kutatók, sem szakmai, sem egyéb szakemberek, de furcsállók vagyunk, akik nap mint nap olvasnak a kihasználásokról és a biztonságról. A legjobb, amit kitalálhatunk, hogy a HTC kitette ezeket az eseményeket a naplóba, miközben névtelen metrikus adatokként elküldte a Carrier IQ alkalmazásnak. Még mindig nincs és soha nem volt bizonyíték arra, hogy bármelyik adatot bárhová elküldenék.

A legnagyobb dolog, amit el kell venni ebből a hírből, hogy bár a Carrier IQ félelmetes, és sokan közülünk gonosznak tartjuk őket, csak szolgáltatást nyújt a fuvarozók és az OEM-ek által elérhető adatok gyűjtésére. Ezt átláthatóbbá kell tenni, mert soha nem fog elmúlni - ha nem tetszik, ne használja a mi hálózaton, senki sem tart fegyvert a fejénél, valószínűleg a hordozók tartják magukat a témában, és bizonyos módon jobb. A választásunk az, hogy ne költsük velük a pénzünket, és az ég tudja Megértem, mennyire népszerűtlen ez az ötlet első kézből. De a dolgok egyre inkább úgy néznek ki, hogy a fuvarozóknak és a gyártóknak jó sok mindent meg kell osztaniuk a hibás itt, és ennek az egész rendetlenségnek egyszerű módja van a már korábban is gyűjtött adatok gyűjtésének gyűjtő.

Ha itt végzünk, elkezdhetjük nézegetni, hogyan gyűjtik a „Mi nem használjuk a Carrier IQ-t a telefonunkon” kiabálással rendelkező cégek ugyanazokat az adatokat a Carrier IQ-tól eltérõvel, így biztosak lehetünk abban, hogy a változtatásokat átfogóan hajtják végre, szemben a szilíciai kisvállalkozás megfeszítésével Völgy.

Forrás: Vulnfactory; Pastebin