Mais pesquisas mostram exatamente o que o Carrier IQ pode e não pode fazer

Hacker Android e consultor de segurança profissional Dan Rosenberg (você pode conhecê-lo como djrbliss da Internet) concluiu seu próprio estudo sobre Carrier IQ e encontrou alguns resultados interessantes. Todos esses relatórios sobre o registro de pressionamentos de tecla e espionagem de mensagens SMS parecem ter sido atribuídos à parte errada, pois sua pesquisa mostra que o Carrier IQ, conforme escrito, só pode capturar os dados a operadora envia para ele (conhecido como métricas) e, mesmo assim, ainda precisa consultar um perfil (pense nisso como uma página de configurações para qualquer aplicativo) que uma operadora fez com que o CIQ escrevesse especificamente para sua instalação. Em suas próprias palavras:

Caro Internet,

CarrierIQ faz muitas coisas ruins. É um risco potencial para a privacidade do usuário, e os usuários devem ter a possibilidade de optar por isso.

Mas as pessoas precisam reconhecer que há uma grande diferença entre registrar eventos como pressionamentos de tecla e URLs HTTPS para uma depuração buffer (o que é muito ruim por si só), e realmente coletar, armazenar e transmitir esses dados para as operadoras (que não acontecer). Depois de fazer a engenharia reversa do CarrierIQ, não vi nenhuma evidência de que eles estejam coletando algo além do que afirmam publicamente: dados de métricas anônimos. Há uma grande diferença entre "olha, ele faz alguma coisa quando pressiono uma tecla" e "está enviando todas as minhas teclas para a operadora!". Com base no que tenho visto, não há código no CarrierIQ que realmente registre pressionamentos de tecla para fins de coleta de dados. Claro, o fato de haver ganchos nesses eventos sugere que versões futuras podem abusar deste tipo de funcionalidade, e CIQ deve ser responsabilizado e estar sob escrutínio de perto para que este tipo de invasão de privacidade não ocorre. Mas todo o barulho recente sobre isso é basicamente infundado.

instagram viewer

Existem muitos motivos para ficar chateado com o CIQ, mas por favor, não tire conclusões precipitadas com base em evidências incompletas.

Saudações,
Dan Rosenberg

E quanto a todas as coisas que vemos em Vídeo de Trevor Eckhart do EVO em ação? Está obviamente lá, então o que há com tudo isso? Não somos pesquisadores de segurança, profissionais ou não, mas somos nerds que leem sobre exploits e segurança todos os dias. O melhor que podemos imaginar é que a HTC expôs esses eventos no log enquanto os enviava como dados métricos anônimos para o aplicativo Carrier IQ. Ainda não há evidências, e nunca houve, de que qualquer um desses dados seja enviado a qualquer lugar.

A maior coisa a tirar dessa notícia é que, embora o Carrier IQ seja assustador, e muitos de nós os consideramos maus, eles apenas fornecer um serviço para coletar dados que as operadoras e OEMs disponibilizam. Isso precisa ser mais transparente, porque nunca irá embora - se você não gosta, não use nosso rede, ninguém está apontando uma arma para sua cabeça é provavelmente a posição dos portadores sobre o assunto, e de certa forma eles estão certo. Nossa escolha nesse assunto é não gastar nosso dinheiro com eles, e Deus sabe Eu entendo o quão impopular essa ideia é em primeira mão. Mas as coisas estão parecendo cada vez mais que as operadoras e os fabricantes precisam compartilhar um bom pedaço de a culpa aqui, e toda essa confusão é sobre uma maneira fácil de coletar dados que já foram coleta.

Quando terminarmos aqui, podemos começar a ver como as empresas que correram gritando "Não usamos Carrier IQ em nossos telefones" estão coletando o mesmos dados com algo diferente do Carrier IQ, para que possamos ter certeza de que as mudanças são feitas em toda a linha em vez de crucificar uma pequena empresa no setor de silício Vale.

Fonte: Vulnfactory; Pastebin