Mer forskning visar exakt vad Carrier IQ kan och inte kan göra

Android-hackare och professionell säkerhetskonsult Dan Rosenberg (du kanske känner honom som djrbliss från Internets) har slutfört sin egen studie om Carrier IQ och hittat några intressanta resultat. Alla dessa rapporter om loggning av tangenttryckningar och spionering av SMS-meddelanden verkar ha blivit anklagade för fel part, eftersom hans forskning visar att Carrier IQ som skrivet bara kan fånga de data som transportören skickar till den (känd som mätvärden) och måste ändå fortfarande konsultera en profil (tänk på den som en inställningssida för alla appar) som en operatör har fått CIQ att skriva specifikt för sin installation. Med sina egna ord:

Kära Internet,

CarrierIQ gör många dåliga saker. Det är en potentiell risk för användarnas integritet, och användarna bör ges möjlighet att välja bort det.

Men folk måste inse att det finns en stor skillnad mellan att spela in händelser som tangenttryckningar och HTTPS-URL: er till en felsökning buffert (vilket är ganska dåligt i sig), och faktiskt samlar in, lagrar och överför dessa data till bärare (vilket inte gör det hända). Efter att ha gjort omvänd CarrierIQ har jag inte sett några bevis för att de samlar in mer än vad de offentligt har hävdat: anonymiserade mätdata. Det är en stor skillnad mellan "titta, det gör något när jag trycker på en knapp" och "det skickar alla mina tangenttryckningar till transportören!". Baserat på vad jag har sett finns det ingen kod i CarrierIQ som faktiskt registrerar tangenttryckningar för datainsamlingsändamål. Naturligtvis tyder det faktum att det finns krokar i dessa händelser att framtida versioner kan missbruka denna typ av funktionalitet och CIQ bör hållas ansvariga och vara under noggrann granskning så att denna typ av integritetsintrång gör det inte förekommer. Men allt det senaste bullret på detta är oftast ogrundat.

instagram viewer

Det finns många anledningar att vara upprörd över CIQ, men snälla dra inte till slutsatser baserat på ofullständiga bevis.

Hälsningar,
Dan Rosenberg

Så vad sägs om alla saker vi ser på Trevor Eckharts video av EVO i aktion? Det är uppenbarligen där, så vad händer med allt det? Vi är inte säkerhetsforskare, professionella eller på annat sätt, men vi är nördar som läser om exploatering och säkerhet varje dag. Det bästa vi kan räkna med är att HTC har exponerat dessa händelser för loggen samtidigt som den skickade den som anonyma metriska data till Carrier IQ-appen. Det finns fortfarande inga bevis, och det har aldrig varit, att någon av dessa uppgifter skickas någonstans.

Det största man kan ta bort från den här nyheten är att även om Carrier IQ är läskigt, och många av oss anser dem onda, de bara tillhandahålla en tjänst för att samla in data som transportörer och OEM: s gör tillgängliga. Detta måste göras mer transparent, för det kommer aldrig att försvinna - om du inte gillar det, använd inte vårt nätverk, ingen håller en pistol mot huvudet är troligtvis bärarna hållning i ämnet, och på ett sätt som de är rätt. Vårt val i frågan är att inte spendera våra pengar med dem, och det vet himlen Jag förstår hur impopulär den idén är från första hand. Men saker ser mer och mer ut som transportörer och tillverkare behöver dela en hel del av skulden här, och hela denna röra är över ett enkelt sätt att samla in data som de redan har varit samlar.

När vi är färdiga här kan vi börja titta på hur företagen som rusade framåt och ropade "Vi använder inte Carrier IQ på våra telefoner" samlar in samma data med något annat än Carrier IQ, så vi kan vara säkra på att förändringar görs över hela linjen mot att korsfästa ett litet företag i Silicon Dal.

Källa: Vulfabrik; Pastebin