Ata zbuluan se telefonat inteligjentë Realme, Xiaomi dhe OnePlus zbuluan të dhëna personale

Privatësia e sistemit operativ Android nën xham zmadhues

Së fundmi u përhap lajmi se një grup i Hulumtuesit nga Universiteti i Edinburgut publikuan rezultatin de një analizë e kryer në markat e smartfonëve Realme, Xiaomi dhe OnePlus furnizuar në tregjet kineze dhe botërore dhe në të cilat ata zbuluan se këto ata kishin diçka në veçanti, "rrjedhje të të dhënave personale".

Beenshtë zbuluar se të gjitha pajisjet me firmware për shitje në Kinë dërgojnë informacion shtesë te serverët për grumbullimin e telemetrisë, si numri i telefonit të përdoruesit, statistikat e përdorimit të aplikacionit, si dhe të dhënat e vendndodhjes, IMSI (Numri Individual i Abonentit), ICCID (Numri Serial i Kartës SIM) dhe pikat përreth pikave të aksesit me valë. Gjithashtu, pajisjet Realme dhe OnePlus janë raportuar të transmetojnë historikun e thirrjeve dhe SMS-ve.

Kina është aktualisht vendi me numrin më të madh të përdoruesve të smartfonëve Android. Ne përdorim një kombinim të teknikave të analizës së kodit statik dhe dinamik për të studiuar të dhënat e transmetuara nga aplikacionet e sistemit të para-instaluara në telefonat inteligjentë Android nga tre nga shitësit më të njohur në Kinë.

Ne zbuluam se një numër alarmant i shitësve të sistemit të para-instaluar dhe aplikacioneve të palëve të treta kanë privilegje të rrezikshme.

Vlen të përmendet se në firmware për tregun global, një aktivitet i tillë nuk vërehet me disa përjashtimePër shembull, pajisjet Realme dërgojnë MCC (kodi i vendit) dhe MNC (kodi i rrjetit celular), dhe pajisjet Xiaomi Redmi dërgojnë të dhëna rreth Wi-Fi të lidhur, IMSI dhe statistikave të përdorimit.

Pavarësisht nga lloji i firmuerit, të gjitha pajisjet dërgojnë një identifikues IMEI, një listë të aplikacioneve të instaluara, versionin e sistemit operativ dhe parametrat e harduerit. Të dhënat dërgohen nga aplikacionet e sistemit të instaluara nga prodhuesi pa pëlqimin e përdoruesit, pa njoftim për dorëzimin dhe pavarësisht nga cilësimet e privatësisë dhe telemetria e dorëzimit.

Nëpërmjet analizës së trafikut, ne zbuluam se shumë nga këto paketa mund të transmetojnë në shumë domene të palëve të treta informacione të ndjeshme të privatësisë në lidhje me pajisjen e përdoruesit (identifikuesit e vazhdueshëm), vendndodhjen gjeografike (GPS).
koordinatat, identifikuesit e lidhur me rrjetin), profilin e përdoruesit (numri i telefonit, përdorimi i aplikacionit) dhe marrëdhëniet sociale (p.sh. historiku i telefonatave), pa pëlqim apo edhe njoftim.

Kjo paraqet de-anonimizim dhe gjurmim serioz, si dhe rreziqe që përhapen jashtë Kinës kur përdoruesi largohet.
të vendit dhe bën thirrje për zbatim më rigoroz të legjislacionit të miratuar së fundmi për privatësinë e të dhënave.

në një telefon Redmi, të dhënat dërgohen në host tracking.miui.com kur hapni dhe përdorni aplikacionet e para-instaluara të prodhuesit si "Cilësimet", "Shënimet", "Regjistruesi", "Telefon", "Mesazhet" dhe "Kamera", pavarësisht nga pëlqimi i përdoruesit, për të dërguar të dhëna diagnostikuese gjatë konfigurimit fillestar. në pajisje Realme dhe OnePlus, të dhënat dërgohen te hostet log.avlyun.com, aps.oversea.amap.com, aps.testing.amap.com ose aps.amap.com.

Serveri i tunelit merr lidhje nga telefoni dhe i përcjell ato në destinacionet e synuara, përmendet se studiuesit zbatuan një proxy ndërmjetës për të qenë në gjendje të përgjojnë dhe deshifrojnë trafikun HTTP/HTTPS.

Për të izoluar plotësisht kërkesat e iniciuara nga një telefon Huawei në Cloud Messaging që përdoret për të monitoruar makinën virtuale të pritur (VM), u krijua një tunel i quajtur ekzekutimi i serverit proxy tunelizimi. Ata gjithashtu ekzekutuan mitmproxy 8.0.0 me lejet e superpërdoruesit në portin 8080 në VM dhe konfiguruan iptables për të ridrejtuar çdo lidhje TCP të tunelit në locahost:8080.

Në këtë mënyrë, mitmproxy komunikon me telefonin në emër të kërkesave nga pikat fundore të serverit dhe fillon kërkesa të reja në pikat fundore të serverit të destinacionit duke u paraqitur si telefon, duke lejuar mitmproxy të përgjojë çdo kërkesë.

Nga problemet e identifikuara, bie në sy edhe përfshirja në dorëzimin e aplikacioneve shtesë të palëve të treta, të cilave u jepen leje të zgjeruara si parazgjedhje. Në total, krahasuar me bazën e kodit AOSP të Android, secili firmware i konsideruar vjen me më shumë se 30 aplikacione të palëve të treta të para-instaluara nga prodhuesi.

Së fundmi, nëse jeni të interesuar të dini më shumë për këtë, mund të konsultoheni me detajet në lidhjen vijuese.