Daha fazla araştırma, Carrier IQ'nun tam olarak neler yapıp yapamayacağını gösteriyor

Android hacker ve profesyonel güvenlik danışmanı Dan Rosenberg (onu şu şekilde tanıyor olabilirsiniz Djrbliss from the Internets) Carrier IQ ile ilgili kendi çalışmasını tamamladı ve bazı ilginç sonuçlar buldu. Araştırması, Carrier IQ'nun yazıldığı şekliyle, yalnızca, taşıyıcı ona gönderir (ölçümler olarak bilinir) ve o zaman bile, bir taşıyıcının kurulumları için özel olarak CIQ yazmış olduğu bir profile başvurması gerekir (bunu herhangi bir uygulama için bir ayarlar sayfası olarak düşünün). Kendi sözleriyle:

Sevgili İnternet,

CarrierIQ pek çok kötü şey yapar. Bu, kullanıcı gizliliği için potansiyel bir risktir ve kullanıcılara bundan vazgeçme olanağı verilmelidir.

Ancak insanların, tuş vuruşları ve HTTPS URL'leri gibi olayları bir hata ayıklamaya kaydetmek arasında büyük bir fark olduğunu anlamaları gerekir. arabellek (kendi başına oldukça kötüdür) ve aslında bu verileri toplar, depolar ve taşıyıcılara iletir ( olmak). CarrierIQ'ya tersine mühendislik uyguladıktan sonra, kamuya açık olarak iddia ettiklerinden daha fazlasını topladıklarına dair hiçbir kanıt görmedim: anonimleştirilmiş metrik verileri. "Bak, bir tuşa bastığımda bir şey yapıyor" ile "tüm tuş vuruşlarımı operatöre gönderiyor!" Arasında büyük bir fark var. Gördüklerime göre, CarrierIQ'da veri toplama amacıyla tuş vuruşlarını kaydeden bir kod yok. Elbette, bu olaylarda kancaların olması, gelecekteki sürümlerin bu türden kötüye kullanılabileceğini düşündürmektedir. işlevsellik ve CIQ sorumlu tutulmalı ve bu tür gizlilik ihlallerinin gerçekleşmesi için yakın inceleme altında olmalıdır. olmaz. Ancak bu konudaki tüm son sesler çoğunlukla temelsizdir.

instagram viewer

CIQ konusunda üzülmek için pek çok neden vardır, ancak lütfen eksik kanıtlara dayalı sonuçlara atlamayın.

Saygılarımızla,
Dan Rosenberg

Peki ya gördüğümüz tüm şeyler Trevor Eckhart'ın EVO'nun iş başında videosu? Belli ki orada, peki bütün bunlara ne oluyor? Profesyonel veya başka bir güvenlik araştırmacısı değiliz, ancak her gün istismarlar ve güvenlik hakkında okuyan inekleriz. Tahmin edebileceğimiz en iyi şey, HTC'nin, Carrier IQ uygulamasına anonim ölçüm verileri olarak gönderirken bu olayları günlüğe maruz bırakmasıdır. Hala bu verilerin herhangi bir yere gönderildiğine dair hiçbir kanıt yok ve asla da olmadı.

Bu haberden çıkarılacak en büyük şey, Carrier IQ korkutucu olsa da ve çoğumuz onları kötü olarak görürken, sadece onlar taşıyıcıların ve OEM'lerin kullanıma sunduğu verileri toplamak için bir hizmet sağlamak. Bunun daha şeffaf hale getirilmesi gerekiyor, çünkü asla kaybolmayacak - eğer beğenmezseniz, ağ, kimse kafanıza silah tutmuyor, muhtemelen taşıyıcıların konuyla ilgili duruşu ve bir şekilde sağ. Bu konudaki seçimimiz paramızı onlarla harcamamaktır ve cennet bilir Bu fikrin ne kadar popüler olmadığını ilk elden anlıyorum. Ancak işler gittikçe daha çok taşıyıcıların ve üreticilerin iyi bir Buradaki suç ve tüm bu karmaşa, halihazırda sahip oldukları verileri toplamanın kolay bir yoludur. toplama.

Buradaki işimiz bittiğinde, "Telefonlarımızda Carrier IQ kullanmıyoruz" diyerek ileriye koşan şirketlerin nasıl topladıklarına bakmaya başlayabiliriz. Carrier IQ dışında bir şeyle aynı veriler, bu nedenle, Silikon'daki küçük bir şirketi çarmıha germek yerine yönetim kurulunda değişiklik yapıldığından emin olabiliriz. Valley.

Kaynak: Vulnfactory; Pastebin