Istraživači kibernetičke sigurnosti pronašli su dokaze da su Xiaomijevi preglednici prikupljali podatke o pregledavanju čak iu anonimnom načinu rada. Čitajte dalje da biste saznali više!
Ažuriranje 3 (21.5.2020. @ 01:48 ET): Xiaomi je ažurirao svoje postavke preglednika kako bi bio jasniji u njihovoj namjeni, uklanjajući prethodnu zabunu.
Ažuriranje 2 (03.5.2020. u 10:14 ET): U svom ažuriranju posta na blogu, Xiaomi je spomenuo da će njegovi preglednici biti ažurirani s opcijom koja će korisnicima omogućiti isključivanje praćenja u anonimnom načinu rada.
Ažuriranje 1 (01.5.2020. u 15:36 EST): Xiaomi je objavio blog post kao odgovor na ove optužbe. Pomaknite se prema dolje za ažuriranje. Izvorna priča, objavljena 1. svibnja 2020. u 06:18 EST, je sljedeća.
Xiaomi pametni telefoni jednoglasno se slažu da su jedna od najvrijednijih kupnji dostupnih na tržištu u bilo kojem trenutku. Pakiranje malo suludi hardver po nekim vrlo unosnim cijenama, posebno na nižem dijelu tržišta pametnih telefona, ovi telefoni nude ponudu koju mnogi ljudi jednostavno ne mogu odbiti. Xiaomi je također bio prijemčiv za potrebe zajednice programera, s odlukama kao što su
Međutim, nedavna izvješća sigurnosnih istraživača ukazuju na zabrinjavajući problem privatnosti uočen na Xiaomijevim web preglednicima. Forbesov suradnik za kibernetičku sigurnost i suradnik urednika Thomas Brewster, zajedno s istraživačima kibernetičke sigurnosti Gabriel Cirlig i Andrew Tierney nedavno zaključeno u izvješću da su razni Xiaomijevi web preglednici slali podatke na udaljene poslužitelje. Tvrde da su poslani podaci uključivali povijest svih posjećenih web stranica, uključujući URL-ove, sve upite tražilice i sve stavke pregledane na Xiaomijevom feedu vijesti, zajedno s uređajem metapodaci. Ono što je još zabrinjavajuće u vezi s ovim navodima o prikupljanju podataka je to što se ti podaci prikupljaju čak i ako naizgled pregledavate s omogućenim "anonimnim načinom rada".
Čini se da se ovo prikupljanje podataka događa i na unaprijed instaliranom standardnom pregledniku na MIUI-ju Mi Browser Pro i Mint preglednik, a oba su dostupna za preuzimanje putem trgovine Google Play. Zajedno, ovi preglednici imaju preko 15 milijuna preuzimanja u Trgovini Play, dok je standardni preglednik unaprijed instaliran na svim Xiaomi uređajima. Testirani uređaji uključuju Xiaomi Redmi Note 8, Xiaomi Mi A1, Xiaomi Mi 10, Xiaomi Redmi K20 i Xiaomi Mi Mix 3. Nije bilo razlike između Xiaomijevih Android One ili MIUI uređaja, budući da je kod zbirke ionako pronađen u zadanom pregledniku. Kao takav, čini se da ovaj problem nije usredotočen na MIUI, već ovisi o tome koristite li bilo koji od ova tri preglednika na svom uređaju, bez obzira na temeljni OS. Drugi preglednici, poput Google Chromea i Apple Safarija, prikupljaju daleko manje podataka, ograničavajući se na analizu upotrebe i rušenja.
Xiaomi je odgovorio naizgled potvrđujući da su podaci o pregledavanju koje prikuplja u potpunosti u skladu s lokalnim zakonima i propisima o pitanjima privatnosti korisničkih podataka. Prikupljene informacije dobivene su od strane korisnika i anonimizirane. Međutim, tvrtka je demantirala tvrdnje u istraživanju.
Tvrdnje istraživanja su neistinite. Privatnost i sigurnost su od najvećeg značaja.
Ovaj video prikazuje prikupljanje anonimnih podataka o pregledavanju, što je jedno od najčešćih rješenja koje usvaja internetske tvrtke kako bi poboljšale sveukupno iskustvo proizvoda preglednika analizom podataka koji se ne mogu osobno identificirati informacija.
Istraživači su, međutim, ovu tvrdnju o anonimnosti smatrali dvojbenom. Podaci koje je Xiaomi slao bili su doduše "kriptirani", ali su bili kodirani u base64, koji se lako može dekodirati. Budući da podaci o pregledavanju mogu biti dekodiran na prilično trivijalan način, a budući da su prikupljeni podaci također sadržavali metapodatke o uređaju, ti podaci o pregledavanju mogli su se naizgled povezati s radnjama pojedinačnih korisnika bez značajnijeg napora.
Nadalje, istraživači su otkrili da su preglednici Xiaomi pingali domene povezane sa senzorima Analytics, kineski startup poznat i kao Sensors Data, poznat po pružanju analitike ponašanja usluge. Preglednici su također sadržavali API pod nazivom SensorDataAPI. Xiaomi je također naveden kao kupac na Web stranica Sensors Data.
Xiaomi je odgovorio na izvješće Forbesa negirajući nekoliko aspekata:
Dok Sensors Analytics pruža rješenje za analizu podataka za Xiaomi, prikupljeni anonimni podaci jesu pohranjeni na vlastitim poslužiteljima tvrtke Xiaomi i neće se dijeliti s Sensors Analytics ili bilo kojom trećom stranom tvrtke.
Istraživači su odgovorili na Xiaomijevo poricanje dodatni dokaz njihove prakse prikupljanja podataka.
S dostupnim informacijama, čini se da postoji zabrinjavajući problem privatnosti u načinu na koji ti preglednici funkcioniraju. Kontaktirali smo Xiaomi za daljnji komentar na ove tvrdnje.
Izvor: Forbes
Ažuriranje 1: Xiaomi odgovara u postu na blogu
U an službeni post na blogu na Mi.com, Xiaomi je oštro demantirao optužbe da krše privatnost korisnika.
“Xiaomi je bio razočaran čitajući nedavni članak iz Forbesa. Smatramo da su pogrešno razumjeli ono što smo priopćili u vezi s našim načelima i politikom privatnosti podataka. Privatnost i internetska sigurnost naših korisnika glavni je prioritet u Xiaomiju; uvjereni smo da se strogo pridržavamo lokalnih zakona i propisa i da smo u potpunosti usklađeni s njima. Obratili smo se Forbesu kako bismo pojasnili ovo nesretno pogrešno tumačenje.”
Tvrtka potvrđuje da prikuplja "agregirane statističke podatke o korištenju", koji uključuju "informacije o sustavu, postavke, korištenje značajki korisničkog sučelja, odziv, performanse, korištenje memorije i izvješća o padu." Izjavljuju da se te informacije "ne mogu same koristiti za identifikaciju bilo koje osobe." Potvrđuju da se URL-ovi prikupljaju, ali da se to radi kako bi se "identificirale web stranice koje se sporo učitavaju" kako bi mogli shvatiti "kako najbolje poboljšati sveukupno pregledavanje izvođenje."
Dalje, tvrtka navodi da se individualna povijest podataka pregledavanja sinkronizira, ali da se to radi samo kada je "korisnik prijavljen na Mi račun...i funkcija sinkronizacije podataka je postavljena na 'Uključeno' pod Postavkama." Oni poriču da se podaci o pregledavanju, osim gore spomenutih agregiranih statističkih podataka o korištenju, sinkroniziraju kada je korisnik omogućio anonimni način rada.
Xiaomi je zatim objavio snimke isječaka koda iz jednog od svojih preglednika (nisu precizirali o kojem pregledniku) za koje tvrde da demonstriraju njihove točke. Prvi isječak koda, prema Xiaomiju, pokazuje dekompiliranu metodu za "kako [oni] stvaraju nasumično generirane jedinstvene tokene za dodavanje skupnoj statistici korištenja." Oni navode da su "ovi tokeni ne odgovaraju nijednom pojedincima." Sljedeći isječak koda naizgled je iz izvornog koda preglednika i pokazuje metodu za "kako Mi Browser radi u anonimnom načinu rada, gdje ne podaci o pregledavanju korisnika bit će sinkronizirani." Treći isječak koda pokazuje da su agregirane statistike korištenja koje Xiaomi prikuplja "pohranjene na Xiaomi-jevoj domeni" i ne prosljeđuju se Sensoru Analitika. Konačno, četvrta slika "pokazuje da se podaci o statistici korištenja prenose HTTPS protokolom TLS 1.2 enkripcije."
Za kraj svega, Xiaomi zatim navodi 4 certifikata koje je njihov softver dobio od TrustArc-a i British Standard Institution (BSI). Ti certifikati uključuju ISO27001:2013, ISO27018:2014, ISO29151:2017 i TRUSTe.
Kao odgovor na ovaj post na blogu, istraživač kibernetičke sigurnosti Andrew Tierney otišao na Twitter opovrgnuti Xiaomijeve tvrdnje. Izjavljuje da su on i nekoliko drugih ponovno potvrdili nalaze na više uređaja—da "nema sumnje da Mint Browser šalje pojmove za pretraživanje i URL-ove dok u Incognito modu." On navodi da kod koji je Xiaomi objavio ne pokazuje da se njihovi "nasumično generirani jedinstveni tokeni" ne mogu povezati s pojedincima. Istraživači primjećuju da se čini da UUID postojati tijekom sesija pregledavanja i samo promjene kada se preglednik ponovno instalira. Pohranjuje li Xiaomi podatke samo na vlastitim poslužiteljima ili negdje drugdje nije bilo predmet sporenja za istraživača. Osim toga, istraživač navodi da Xiaomi nije optužen za slanje podataka na udaljene poslužitelje kroz nesigurne metode — Mr. Tierney napominje da su problem sami podaci koji se prikazuju poslao.
Drago nam je vidjeti da Xiaomi izravno govori o ovim optužbama, ali čini se da objašnjenje u ovom trenutku ne zadovoljava istraživače. Pratit ćemo ovu priču zbog daljnjeg razvoja događaja.
Ažuriranje 2: Xiaomi će ponuditi opciju isključivanja pri sljedećem ažuriranju preglednika
Xiaomi je ažurirao svoje post na blogu kako bismo najavili da će sljedeće ažuriranje Mint Browsera i Mi Browsera uključivati opciju u anonimnom načinu rada za isključivanje prikupljanja "agregiranih" podataka. Ažuriranja softvera bit će poslana u Google Play Store na odobrenje već danas i trebala bi biti dostupna korisnicima vrlo brzo.
Ostaje za vidjeti hoće li ovo prikupljanje podataka ostati uključeno prema zadanim postavkama unutar anonimnog načina rada ili ne. Nadamo se da nije. Ipak, mogućnost isključivanja djeluje na rješavanje nekih problema s privatnošću.
Ažuriranje 3: Xiaomi ažurira svoj Mi Browser i Mint Browser kako bi razjasnio svoj prekidač za anonimno prikupljanje podataka
Iako je Xiaomi riješio problem privatnosti s novim prekidačem postavki, ono što se zapravo dogodilo je da je jezik korišten za prekidač bio pogrešan, postižući suprotno od onoga što je napisano. Kao Android Authority ističe, "poboljšani anonimni način rada” prekidač je rekao: “Skupna statistika podataka neće se učitati kada je uključen anonimni način rada“, što je navelo korisnike da povjeruju da bi uključivanje prekidača ovu izjavu učinilo istinitom. Ali to nije bio slučaj. Tekst je odražavao trenutačno stanje prekidača i nije bio istinito/netočno izjava koju mijenjate okretanjem prekidača.
Staro ponašanje
Sada je Xiaomi ažurirao Mi Browser i Mint Browser kako bi imao bolji jezik na ovom prekidaču. Prekidač se sada zove "Pomozite nam poboljšati Mi/Mint preglednik“, a u popratnom tekstu stoji „Uključite za dijeljenje statistike korištenja s nama kada je uključen anonimni način rada", a tekst ostaje isti kada okrenete prekidač. Ovo je puno jasnije namjeni i aktivnom stanju postavke.
Novo ponašanje
U obje verzije, prekidač mora biti u isključenom stanju ako ne želite da se vaši podaci prikupljaju u anonimnom načinu rada. Samo se tekst mijenja kako bi bolje odražavao stanje. Novo ažuriranje za oba preglednika gura se u Google Play Store.