Več raziskav natančno pokaže, kaj Carrier IQ lahko in česa ne zmore

Android heker in poklicni svetovalec za varnost Dan Rosenberg (morda ga poznate kot djrbliss iz Interneta) je zaključil lastno študijo o Carrier IQ in našel nekaj zanimivih rezultatov. Zdi se, da so bila vsa poročila o zapisovanju pritiskov na tipke in vohunjenju za sporočili SMS kriva za napačno stran, saj njegove raziskave kažejo, da lahko Carrier IQ, kot je napisan, zajame le podatke, ki jih mu operater pošlje (znan kot metrični podatki), in še vedno se mora še vedno posvetovati s profilom (predstavljajte ga kot stran z nastavitvami za katero koli aplikacijo), ki ga je operater napisal CIQ posebej za njihovo namestitev. Po njegovih besedah:

Dragi internet,

CarrierIQ počne veliko slabih stvari. To je potencialno tveganje za zasebnost uporabnikov in uporabniki bi morali imeti možnost, da se od njega odpovedo.

Toda ljudje se morajo zavedati, da obstaja velika razlika med snemanjem dogodkov, kot so pritiski tipk in URL-ji HTTPS, do razhroščevanja medpomnilnik (kar je samo po sebi precej slabo) in dejansko zbiranje, shranjevanje in posredovanje teh podatkov nosilcem (kar pa ne zgodilo). Po samem inženirskem inženiringu CarrierIQ nisem videl nobenega dokaza, da zbirajo kaj več od tistega, kar so javno zatrjevali: anonimizirani metrični podatki. Velika razlika je med "poglej, nekaj stori, ko pritisnem tipko" in "pošilja vse pritiske na tipko prevozniku!". Glede na to, kar sem videl, v CarrierIQ ni kode, ki bi dejansko beležila pritiske tipk za namene zbiranja podatkov. Dejstvo, da v teh dogodkih obstajajo kljuke, kaže na to, da bi lahko prihodnje različice to vrsto zlorabljale funkcionalnost, CIQ pa bi moral biti odgovoren in pod strogim nadzorom, da bo tovrstno poseganje v zasebnost lahko ne pojavijo. Toda ves nedavni hrup glede tega je večinoma neutemeljen.

instagram viewer

Razlogov za vznemirjanje glede CIQ je veliko, vendar ne sklepajte na podlagi nepopolnih dokazov.

S spoštovanjem,
Dan Rosenberg

Kaj pa vse stvari, ki jih vidimo Video Trevorja Eckharta o EVO v akciji? Očitno je tam, kaj je torej z vsem tem? Nismo raziskovalci varnosti, profesionalni ali kako drugače, smo pa piflarji, ki vsak dan beremo o podvigih in varnosti. Najboljše, kar lahko ugotovimo, je, da je HTC te dogodke izpostavil dnevniku, medtem ko jih je kot anonimne metrične podatke poslal aplikaciji Carrier IQ. Še vedno ni dokazov in nikoli ni bilo, da se kateri koli od teh podatkov pošlje kamor koli.

Največja stvar, ki jo je treba odvzeti tej novici, je, da je Carrier IQ sicer strašljiv in mnogi od nas jih imajo za zlobne, zagotoviti storitev za zbiranje podatkov, ki jih dajo na voljo prevozniki in proizvajalci originalne opreme. To je treba narediti bolj pregledno, ker nikoli ne bo izginilo - če vam ni všeč, ne uporabljajte našega V vaši mreži nihče ne drži pištole, verjetno so nosilci na tej temi in na nek način tudi držijo prav. Naša odločitev je, da ne bomo porabili denarja z njimi, in nebesa vedo Razumem, kako nepriljubljena je ta ideja iz prve roke. Toda stvari so vedno bolj podobne, kot bi jih morali deliti prevozniki in proizvajalci krivda tukaj in celotna ta zmeda je nad enostavnim načinom zbiranja podatkov, ki so jih že imeli zbiranje.

Ko končamo tukaj, lahko začnemo preučevati, kako podjetja, ki so hitela naprej in vzklikala: "Carrier IQ na svojih telefonih ne uporabljamo", zbirajo enake podatke z nečim drugim, kot je Carrier IQ, zato smo lahko prepričani, da se spremembe spreminjajo v primerjavi s križanjem majhnega podjetja v Siliciju Dolina.

Vir: Vulnfactory; Pastebin