Więcej badań pokazuje dokładnie, co Carrier IQ może, a czego nie może zrobić

Haker Androida i profesjonalny konsultant ds. Bezpieczeństwa Dan Rosenberg (możesz go znać jako djrbliss from the Internets) ukończył własne badanie dotyczące Carrier IQ i znalazł interesujące wyniki. Wszystkie te doniesienia o rejestrowaniu naciśnięć klawiszy i szpiegowaniu wiadomości SMS wydają się być obwiniane niewłaściwą stronę, ponieważ jego badania pokazują, że Carrier IQ, jak napisano, może przechwytywać tylko dane, które przewoźnik wysyła do niego (znane jako metryki), a nawet wtedy nadal musi zapoznać się z profilem (potraktuj go jako stronę ustawień dowolnej aplikacji), który przewoźnik napisał do CIQ specjalnie dla swojej instalacji. Jego własnymi słowami:

Drogi Internecie,

CarrierIQ robi wiele złych rzeczy. Jest to potencjalne zagrożenie dla prywatności użytkownika, a użytkownicy powinni mieć możliwość rezygnacji z niego.

Ale ludzie muszą zrozumieć, że istnieje duża różnica między rejestrowaniem zdarzeń, takich jak naciśnięcia klawiszy i adresy URL HTTPS, do debugowania bufor (który sam w sobie jest dość zły) i faktycznie zbiera, przechowuje i przesyła te dane do nośników (co nie zdarzyć). Po przeprowadzeniu inżynierii wstecznej CarrierIQ nie widziałem żadnych dowodów na to, że zbierają coś więcej niż to, co publicznie twierdzili: zanonimizowane dane metryczne. Jest duża różnica między „spójrz, robi coś, kiedy naciskam klawisz” a „wysyła wszystkie moje naciśnięcia klawiszy do operatora!”. Opierając się na tym, co widziałem, w CarrierIQ nie ma kodu, który faktycznie rejestruje naciśnięcia klawiszy w celu gromadzenia danych. Oczywiście fakt, że w tych wydarzeniach są haki, sugeruje, że przyszłe wersje mogą nadużywać tego typu funkcjonalność, a CIQ powinno być pociągane do odpowiedzialności i podlegać ścisłej kontroli, aby ten rodzaj naruszenia prywatności miał miejsce nie występuje. Ale cały ostatni szum w tej sprawie jest w większości bezpodstawny.

instagram viewer

Istnieje wiele powodów do niepokoju z powodu CIQ, ale proszę nie wyciągać pochopnych wniosków na podstawie niekompletnych dowodów.

Pozdrowienia,
Dan Rosenberg

A co z tym wszystkim, co widzimy Film Trevora Eckharta przedstawiający EVO w akcji? Oczywiście, że tam jest, więc o co w tym wszystkim chodzi? Nie jesteśmy badaczami bezpieczeństwa, profesjonalnymi ani innymi, ale jesteśmy nerdami, którzy codziennie czytają o exploitach i bezpieczeństwie. Najlepsze, co możemy powiedzieć, to to, że HTC ujawnił te zdarzenia w dzienniku, wysyłając go jako anonimowe dane metryczne do aplikacji Carrier IQ. Nadal nie ma dowodów i nigdy nie było, że jakiekolwiek z tych danych są wysyłane gdziekolwiek.

Największą rzeczą, którą można wyciągnąć z tej wiadomości, jest to, że chociaż IQ Carriera jest przerażające i wielu z nas uważa ich za złych, oni tylko świadczyć usługę gromadzenia danych udostępnianych przez przewoźników i producentów OEM. To musi być bardziej przejrzyste, ponieważ nigdy nie zniknie - jeśli ci się nie podoba, nie używaj naszego sieć, nikt nie trzyma pistoletu przy twojej głowie, prawdopodobnie postawa przewoźników w tej sprawie iw pewnym sensie oni są dobrze. Nasz wybór w tej sprawie to nie wydawanie z nimi pieniędzy, a niebo o tym wie Rozumiem, jak niepopularny jest ten pomysł z pierwszej ręki. Ale rzeczy coraz bardziej przypominają przewoźników i producentów, którzy muszą się nimi podzielić winę tutaj, a cały ten bałagan to prosty sposób na zebranie danych, którymi już byli zbieranie.

Kiedy skończymy tutaj, możemy zacząć przyglądać się, jak firmy, które rzuciły się do przodu, krzycząc „Nie używamy Carrier IQ w naszych telefonach”, zbierają te same dane z czymś innym niż Carrier IQ, więc możemy być pewni, że zmiany są dokonywane we wszystkich obszarach w porównaniu z ukrzyżowaniem małej firmy w Silicon Dolina.

Źródło: Vulnfactory; Pastebin