Открили су да су Реалме, Ксиаоми и ОнеПлус паметни телефони процурили личне податке

Приватност Андроид оперативног система под лупом

Недавно је објављена вест да је група истраживачи са Универзитета у Единбургу објавили су резултат de анализа спроведена у брендови паметних телефона Реалме, Ксиаоми и ОнеПлус испоручивали на кинеско и светско тржиште и у којима су детектовали да ови имали су нешто посебно, „цурење личних података“.

Откривено је да сви уређаји са фирмвером за продају у Кини шаљу додатне информације серверима за прикупљање телеметрије, као што су телефонски број корисника, статистика коришћења апликације, као и подаци о локацији, ИМСИ (појединачни број претплатника), ИЦЦИД (серијски број СИМ картице) и тачке које окружују бежичне приступне тачке. Такође, пријављено је да Реалме и ОнеПлус уређаји стримују историју позива и СМС-а.

Кина је тренутно земља са највећим бројем корисника Андроид паметних телефона. Користимо комбинацију статичких и динамичких техника анализе кода за проучавање података које преносе системске апликације унапред инсталиране на Андроид паметним телефонима од три најпопуларнија произвођача у Кини.

Открили смо да алармантан број унапред инсталираних апликација добављача система и апликација трећих страна има опасне привилегије.

Вреди то напоменути у фирмверу за глобално тржиште, таква активност се не примећује са неким изузецимаНа пример, Реалме уређаји шаљу МЦЦ (код земље) и МНЦ (код мобилне мреже), а Ксиаоми Редми уређаји шаљу податке о повезаним Ви-Фи, ИМСИ и статистици коришћења.

Без обзира на врсту фирмвера, сви уређаји шаљу ИМЕИ идентификатор, листу инсталираних апликација, верзију оперативног система и хардверске параметре. Податке шаљу системске апликације које је инсталирао произвођач без сагласности корисника, без обавештења о испоруци и без обзира на подешавања приватности и телеметрију испоруке.

Кроз анализу саобраћаја, открили смо да многи од ових пакета могу да пренесу на многе домене трећих страна осетљиве информације о приватности које се односе на уређај корисника (трајни идентификатори), геолокацију (ГПС
координате, идентификатори у вези са мрежом), кориснички профил (број телефона, употреба апликације) и друштвени односи (нпр. историја позива), без сагласности или чак обавештења.

Ово представља озбиљну де-анонимизацију и праћење, као и ризике који се преливају ван Кине када корисник напусти.
земље, и позива на ригорознију примену недавно усвојеног закона о приватности података.

на телефону Редми, подаци се шаљу на хост трацкинг.миуи.цом када отварате и користите унапред инсталиране апликације произвођача као што су Подешавања, Белешке, Диктафон, Телефон, Поруке и Камера, без обзира на сагласност корисника, за слање дијагностичких података током почетног подешавања. на уређајима Реалме и ОнеПлус, подаци се шаљу хостовима лог.авлиун.цом, апс.оверсеа.амап.цом, апс.тестинг.амап.цом или апс.амап.цом.

Сервер за тунелирање прима везе са телефона и прослеђује их на предвиђена одредишта, помиње се да су истраживачи имплементирали посреднички прокси да би могли да пресретну и дешифрују ХТТП/ХТТПС саобраћај.

Да би се у потпуности изоловали захтеви које је покренуо Хуавеи телефон у Цлоуд Мессагинг-у који се користи за надгледање хостоване виртуелне машине (ВМ), креиран је тунел који се зове покретање прокси сервера за тунелирање. Такође су покренули митмпроки 8.0.0 са дозволама суперкорисника на порту 8080 на ВМ-у и конфигурисали иптаблес да преусмеравају све тунелиране ТЦП везе на лоцахост:8080.

На овај начин, митмпроки комуницира са телефоном у име захтева са крајњих тачака сервера и иницира нове захтеве крајњим тачкама одредишног сервера представљајући се као телефон, дозвољавајући митмпроки-у да пресретне сваки захтев.

Од идентификованих проблема, такође се истиче укључивање у испоруку додатних апликација трећих страна, којима се подразумевано дају проширене дозволе. Укупно, у поређењу са Андроид АОСП кодном базом, сваки разматрани фирмвер долази са више од 30 апликација независних произвођача које је унапред инсталирао произвођач.

Коначно, ако сте заинтересовани да сазнате више о томе, можете се обратити детаљи у следећем линку.