พวกเขาค้นพบว่าสมาร์ทโฟน Realme, Xiaomi และ OnePlus รั่วไหลข้อมูลส่วนบุคคล

ความเป็นส่วนตัวของระบบปฏิบัติการ Android ภายใต้แว่นขยาย

ล่าสุดมีกระแสข่าวออกมาว่ากลุ่มของ นักวิจัยจากมหาวิทยาลัยเอดินเบอระได้เผยแพร่ผลการวิจัย de การวิเคราะห์ดำเนินการใน แบรนด์สมาร์ทโฟน Realme, Xiaomi และ OnePlus ส่งไปยังตลาดจีนและตลาดโลกและตรวจพบว่าสิ่งเหล่านี้ พวกเขามีบางอย่างโดยเฉพาะ "การรั่วไหลของข้อมูลส่วนบุคคล"

มีการค้นพบว่า อุปกรณ์ทั้งหมดที่มีเฟิร์มแวร์สำหรับขายในจีนจะส่งข้อมูลเพิ่มเติม ไปยังเซิร์ฟเวอร์สำหรับการเก็บรวบรวมข้อมูลทางไกล เช่น หมายเลขโทรศัพท์ของผู้ใช้ สถิติการใช้งานแอปพลิเคชัน ตลอดจนข้อมูลตำแหน่ง IMSI (หมายเลขสมาชิกส่วนบุคคล) ICCID (หมายเลขซีเรียลของซิมการ์ด) และจุดเชื่อมต่อไร้สายโดยรอบ นอกจากนี้ยังมีรายงานว่าอุปกรณ์ Realme และ OnePlus สามารถสตรีมประวัติการโทรและ SMS ได้

ปัจจุบันจีนเป็นประเทศที่มีผู้ใช้สมาร์ทโฟน Android เป็นจำนวนมากที่สุด เราใช้เทคนิคการวิเคราะห์รหัสแบบคงที่และแบบไดนามิกร่วมกันเพื่อศึกษาข้อมูลที่ส่งโดยแอประบบที่ติดตั้งไว้ล่วงหน้าบนสมาร์ทโฟน Android จากผู้จำหน่ายยอดนิยมสามรายในประเทศจีน

เราพบว่าผู้จำหน่ายระบบที่ติดตั้งไว้ล่วงหน้าและแอปของบุคคลที่สามจำนวนมากจนน่าตกใจมีสิทธิ์ที่เป็นอันตราย

เป็นมูลค่าการกล่าวขวัญว่า ในเฟิร์มแวร์สำหรับตลาดโลก กิจกรรมดังกล่าวจะไม่ถูกสังเกตด้วยข้อยกเว้นบางประการตัวอย่างเช่น อุปกรณ์ Realme ส่ง MCC (รหัสประเทศ) และ MNC (รหัสเครือข่ายมือถือ) และอุปกรณ์ Xiaomi Redmi ส่งข้อมูลเกี่ยวกับ Wi-Fi ที่เชื่อมต่อ, IMSI และสถิติการใช้งาน

ไม่ว่าจะเป็นเฟิร์มแวร์ประเภทใดก็ตาม อุปกรณ์ทั้งหมดจะส่งตัวระบุ IMEI รายการแอปพลิเคชันที่ติดตั้ง เวอร์ชันของระบบปฏิบัติการและพารามิเตอร์ฮาร์ดแวร์. ข้อมูลถูกส่งโดยแอปพลิเคชันระบบที่ติดตั้งโดยผู้ผลิตโดยไม่ได้รับความยินยอมจากผู้ใช้ ไม่มีการแจ้งการจัดส่ง และโดยไม่คำนึงถึงการตั้งค่าความเป็นส่วนตัวและการวัดและส่งข้อมูลทางไกลในการจัดส่ง

จากการวิเคราะห์การรับส่งข้อมูล เราพบว่าแพ็กเก็ตเหล่านี้จำนวนมากสามารถส่งข้อมูลความเป็นส่วนตัวที่ละเอียดอ่อนที่เกี่ยวข้องกับอุปกรณ์ของผู้ใช้ไปยังโดเมนบุคคลที่สามจำนวนมาก (ตัวระบุถาวร) ตำแหน่งทางภูมิศาสตร์ (GPS
พิกัด ตัวระบุที่เกี่ยวข้องกับเครือข่าย) โปรไฟล์ผู้ใช้ (หมายเลขโทรศัพท์ การใช้งานแอพ) และความสัมพันธ์ทางสังคม (เช่น ประวัติการโทร) โดยไม่ได้รับความยินยอมหรือแม้แต่การแจ้งเตือน

สิ่งนี้ก่อให้เกิดการลบตัวตนและการติดตามอย่างร้ายแรง รวมถึงความเสี่ยงที่จะแพร่กระจายออกไปนอกประเทศจีนเมื่อผู้ใช้ออกไป
ของประเทศและเรียกร้องให้มีการบังคับใช้กฎหมายความเป็นส่วนตัวของข้อมูลที่เพิ่งประกาศใช้อย่างเข้มงวดมากขึ้น

บนโทรศัพท์ Redmi ข้อมูลจะถูกส่งไปยังโฮสต์ tracking.miui.com เมื่อเปิดและใช้แอปพลิเคชันของผู้ผลิตที่ติดตั้งไว้ล่วงหน้า เช่น การตั้งค่า โน้ต เครื่องบันทึก โทรศัพท์ ข้อความ และกล้อง เพื่อส่งข้อมูลการวินิจฉัยระหว่างการตั้งค่าเริ่มต้นโดยไม่คำนึงถึงความยินยอมของผู้ใช้ บนอุปกรณ์ Realme และ OnePlus ข้อมูลจะถูกส่งไปยังโฮสต์ log.avlyun.com, aps.oversea.amap.com, aps.testing.amap.com หรือ aps.amap.com

เซิร์ฟเวอร์ Tunneling รับการเชื่อมต่อจากโทรศัพท์และส่งต่อไปยังปลายทางที่ต้องการ นักวิจัยใช้พร็อกซีตัวกลางเพื่อสกัดกั้นและถอดรหัสทราฟฟิก HTTP/HTTPS

เพื่อแยกคำขอที่เริ่มต้นโดยโทรศัพท์ Huawei ใน Cloud Messaging ที่ใช้ในการตรวจสอบเครื่องเสมือน (VM) ที่โฮสต์อย่างสมบูรณ์ จึงมีการสร้างช่องสัญญาณที่เรียกว่าการเรียกใช้พร็อกซีเซิร์ฟเวอร์ช่องสัญญาณ นอกจากนี้ยังรัน mitmproxy 8.0.0 ด้วยสิทธิ์ superuser บนพอร์ต 8080 บน VM และกำหนดค่า iptables เพื่อเปลี่ยนเส้นทางการเชื่อมต่อ TCP ที่ทันเนลไปยัง locahost:8080

ด้วยวิธีนี้ mitmproxy จะสื่อสารกับโทรศัพท์ในนามของคำขอจากจุดสิ้นสุดของเซิร์ฟเวอร์และเริ่มต้นคำขอใหม่ไปยังจุดสิ้นสุดของเซิร์ฟเวอร์ปลายทางโดยปลอมตัวเป็นโทรศัพท์ ทำให้ mitmproxy สามารถสกัดกั้นแต่ละคำขอได้

จากปัญหาที่ระบุ การรวมในการส่งมอบแอปพลิเคชันบุคคลที่สามเพิ่มเติมซึ่งได้รับสิทธิ์เพิ่มเติมตามค่าเริ่มต้นก็โดดเด่นเช่นกัน โดยรวมแล้ว เมื่อเทียบกับ Android AOSP codebase เฟิร์มแวร์แต่ละตัวที่พิจารณาจะมาพร้อมกับแอปพลิเคชันของบุคคลที่สามมากกว่า 30 รายการที่ติดตั้งไว้ล่วงหน้าโดยผู้ผลิต

สุดท้ายนี้ หากคุณสนใจที่จะทราบข้อมูลเพิ่มเติมเกี่ยวกับเรื่องนี้ คุณสามารถปรึกษา รายละเอียดตามลิงค์ต่อไปนี้