HTC si accontenta di FTC sull'implementazione insicura di Carrier IQ, HTC Logger

HTC America ha risolto con la FTC (Federal Trade Commission) le preoccupazioni che la società metta a rischio milioni di informazioni personali dei clienti con implementazioni non sicure di software sui propri dispositivi. La FTC ha scoperto che HTC non ha prestato una ragionevole attenzione nell'implementazione delle migliori pratiche di codifica e sicurezza durante la creazione di software per i suoi dispositivi, avendo questo da dire:

"[HTC] non è riuscito a fornire al proprio personale tecnico una formazione adeguata sulla sicurezza, non è riuscito a rivedere o testare il software sui suoi dispositivi mobili per potenziali vulnerabilità di sicurezza, non è riuscito a seguire pratiche di codifica sicura ben note e comunemente accettate e non è riuscito a stabilire un processo per la ricezione e la risoluzione dei rapporti di vulnerabilità da terze parti ".

Queste sono alcune parole piuttosto forti per l'azienda, ma ciò che colpisce davvero sono i problemi con i consumatori causati da questa mancanza di supervisione. La FTC spiega che l'implementazione di HTC

di Carrier IQ e HTC Logger sui suoi dispositivi hanno lasciato i dati dei clienti vulnerabili agli attacchi, insieme a errori che avrebbero consentito a terze parti di aggirare il sistema di autorizzazioni integrato di Android.

La seconda parte della lamentela della FTC è che ritiene che HTC sia stato ingannevole nel parlarne ai consumatori i rischi per la sicurezza delle sue implementazioni software, affermando che i manuali utente del dispositivo e l'interfaccia dell'app "Tell HTC" erano fuorvianti. Si dice che entrambi questi problemi nell'implementazione abbiano minato il normale meccanismo di consenso di Android che avrebbe mantenuto i dati dell'utente al sicuro.

Quindi cosa significa questo per HTC? La FTC richiede che la società sviluppi e rilasci patch software per i suoi dispositivi affetto da queste vulnerabilità, e HTC ha detto di aver già rilasciato alcune patch in merito punto. Inoltre, HTC dovrà sottoporsi a "valutazioni di sicurezza indipendenti" ogni 2 anni per i prossimi 20 anni. A HTC sarà inoltre vietato fare dichiarazioni fuorvianti sulla sicurezza dei propri dispositivi e dei dati dell'utente in futuro.

Questa è una scoperta piuttosto grande dalla FTC, ma non è necessariamente rara. Anche se potrebbero non essere stati exploit diffusi che stavano sfruttando queste falle di sicurezza, è importante che HTC apporti modifiche per aiutare la sicurezza in futuro. Anche se avremmo preferito che HTC stesse implementando le migliori pratiche in primo luogo, piuttosto che arrivare a un'indagine da parte della FTC.

Fonte: FTC