Peneliti keamanan siber telah menemukan bukti bahwa browser Xiaomi telah mengumpulkan informasi data penelusuran bahkan dalam mode Penyamaran. Baca terus untuk mengetahui lebih lanjut!
Pembaruan 3 (21/05/2020 @ 01:48 ET): Xiaomi telah memperbarui pengaturan browsernya agar lebih jelas tujuannya, menghilangkan kebingungan sebelumnya.
Pembaruan 2 (05/03/2020 @ 10:14 ET): Dalam pembaruan postingan blognya, Xiaomi menyebutkan bahwa browsernya akan diperbarui dengan opsi untuk memungkinkan pengguna memilih keluar dari pelacakan dalam mode penyamaran.
Pembaruan 1 (01/05/2020 @ 15:36 EST): Xiaomi telah menerbitkan postingan blog sebagai tanggapan atas tuduhan ini. Gulir ke bawah untuk pembaruan. Cerita aslinya yang dipublikasikan pada 1 Mei 2020 pukul 06:18 EST adalah sebagai berikut.
Smartphone Xiaomi dengan suara bulat disetujui untuk menjadi salah satu pembelian dengan nilai terbaik yang tersedia di pasar kapan saja. Mengemas beberapa perangkat keras yang gila pada beberapa titik harga yang sangat menguntungkan,
terutama di pasar ponsel pintar kelas bawah, ponsel ini memberikan tawaran yang tidak bisa ditolak oleh banyak orang. Xiaomi juga menerima kebutuhan komunitas pengembang, dengan keputusan seperti memungkinkan pembukaan kunci bootloader tanpa mengorbankan garansi pabrik -- kombinasi yang dibuang oleh banyak OEM populer lainnya, dan juga sangat ditingkatkan kualitasnya rilis sumber kernel. Alasan-alasan ini menjadikannya salah satu perangkat paling populer di forum kami, dan mereka berhak mendapatkan tempat popularitas tersebut.Namun, laporan terbaru dari peneliti keamanan menunjukkan adanya masalah privasi mengkhawatirkan yang terjadi pada browser web Xiaomi. Kontributor keamanan siber dan editor rekanan Forbes Thomas Brewster, bersama dengan peneliti keamanan siber Gabriel Cirlig Dan Andrew Tierney baru-baru ini disimpulkan dalam sebuah laporan bahwa berbagai browser web Xiaomi mengirimkan data ke server jarak jauh. Mereka menuduh bahwa data yang dikirim mencakup riwayat semua situs web yang dikunjungi, termasuk URL, semua pertanyaan mesin pencari, dan semua item yang dilihat di feed berita Xiaomi, beserta perangkatnya metadata. Yang lebih mengkhawatirkan tentang tuduhan pengumpulan data ini adalah bahwa data ini dikumpulkan meskipun Anda tampaknya menjelajah dengan "mode penyamaran" diaktifkan.
Pengumpulan data ini tampaknya juga terjadi pada browser stok yang sudah diinstal sebelumnya di MIUI Mi Browser Pro Dan Peramban Mint, keduanya tersedia untuk diunduh melalui Google Play Store. Bersama-sama, browser-browser ini memiliki lebih dari 15 juta unduhan di Play Store, sementara browser bawaan sudah dimuat di semua perangkat Xiaomi. Perangkat yang diuji antara lain Xiaomi Redmi Note 8, Xiaomi Mi A1, Xiaomi Mi 10, Xiaomi Redmi K20, dan Xiaomi Mi Mix 3. Tidak ada perbedaan antara perangkat Android One atau MIUI Xiaomi, karena kode koleksi tetap ditemukan di browser default. Oleh karena itu, masalah ini tampaknya tidak berpusat pada MIUI tetapi bergantung pada apakah Anda menggunakan salah satu dari tiga browser ini di perangkat Anda, terlepas dari OS yang mendasarinya. Peramban lain, seperti Google Chrome dan Apple Safari mengumpulkan data jauh lebih sedikit, sehingga membatasi penggunaan dan analisis kerusakan.
Xiaomi menanggapinya dengan mengonfirmasi bahwa data penjelajahan yang dikumpulkannya sepenuhnya mematuhi undang-undang dan peraturan setempat mengenai masalah privasi data pengguna. Informasi yang dikumpulkan disetujui oleh pengguna dan dianonimkan. Namun, pihak perusahaan membantah klaim dalam penelitian tersebut.
Klaim penelitian tersebut tidak benar. Privasi dan keamanan menjadi perhatian utama.
Video ini menunjukkan kumpulan data penelusuran anonim, yang merupakan salah satu solusi paling umum yang diadopsi oleh perusahaan internet untuk meningkatkan pengalaman produk browser secara keseluruhan melalui analisis yang tidak dapat diidentifikasi secara pribadi informasi.
Namun para peneliti menganggap klaim anonimitas ini meragukan. Data yang dikirimkan Xiaomi memang "dienkripsi", tetapi dikodekan dalam base64, yang dapat dengan mudah didekodekan. Karena data browsing bisa diterjemahkan dengan cara yang agak sepele, dan karena data yang dikumpulkan juga berisi metadata perangkat, data penjelajahan ini tampaknya dapat dikorelasikan dengan tindakan masing-masing pengguna tanpa upaya yang signifikan.
Lebih lanjut, para peneliti menemukan bahwa browser Xiaomi melakukan ping ke domain yang terkait dengan Sensor Analytics, startup Tiongkok yang juga dikenal sebagai Sensors Data, dikenal menyediakan analisis perilaku jasa. Browser juga berisi API yang disebut SensorDataAPI. Xiaomi juga terdaftar sebagai pelanggan di Situs web Data Sensor.
Xiaomi menanggapi laporan Forbes dengan bantahan dalam beberapa aspek:
Meskipun Sensors Analytics memberikan solusi analisis data untuk Xiaomi, data anonim yang dikumpulkan adalah solusinya disimpan di server Xiaomi sendiri dan tidak akan dibagikan dengan Sensors Analytics, atau pihak ketiga lainnya perusahaan.
Para peneliti menanggapi bantahan Xiaomi dengan bukti lebih lanjut praktik pengumpulan data mereka.
Dengan informasi yang tersedia, tampaknya ada masalah privasi yang mengkhawatirkan dalam cara kerja browser ini. Kami telah menghubungi Xiaomi untuk memberikan komentar lebih lanjut mengenai klaim ini.
Sumber: Forbes
Pembaruan 1: Xiaomi Menanggapi di Postingan Blog
Dalam sebuah postingan blog resmi Di Mi.com, Xiaomi membantah keras tudingan mereka melanggar privasi pengguna.
“Xiaomi kecewa membaca artikel terbaru dari Forbes. Kami merasa mereka salah memahami apa yang kami komunikasikan mengenai prinsip dan kebijakan privasi data kami. Privasi dan keamanan internet pengguna kami adalah prioritas utama di Xiaomi; kami yakin bahwa kami benar-benar mengikuti dan sepenuhnya mematuhi undang-undang dan peraturan setempat. Kami telah menghubungi Forbes untuk memberikan kejelasan tentang salah tafsir yang tidak menguntungkan ini.”
Perusahaan mengonfirmasi bahwa mereka mengumpulkan "data statistik penggunaan gabungan", yang mencakup "informasi sistem, preferensi, penggunaan fitur antarmuka pengguna, daya tanggap, kinerja, penggunaan memori, dan laporan kerusakan." Mereka menyatakan bahwa informasi ini "tidak dapat digunakan sendiri untuk mengidentifikasi individu mana pun." Mereka mengonfirmasi bahwa URL dikumpulkan, namun hal ini dilakukan untuk "mengidentifikasi halaman web yang dimuat dengan lambat" sehingga mereka dapat mengetahui "cara terbaik untuk meningkatkan penelusuran secara keseluruhan pertunjukan."
Selanjutnya, perusahaan menyatakan bahwa riwayat data penjelajahan individu disinkronkan, tetapi ini hanya dilakukan ketika "pengguna masuk ke Akun Mi...dan fungsi sinkronisasi data diatur ke 'Aktif' di bawah Pengaturan." Mereka menyangkal bahwa data penjelajahan, selain dari data statistik penggunaan gabungan yang disebutkan di atas, sedang disinkronkan ketika pengguna telah mengaktifkan mode penyamaran.
Xiaomi kemudian menerbitkan tangkapan layar cuplikan kode dari salah satu aplikasi browser mereka (meskipun mereka tidak menentukan browser mana) yang mereka klaim menunjukkan maksud mereka. Cuplikan kode pertama, menurut Xiaomi, menunjukkan metode dekompilasi untuk “bagaimana [mereka] membuat token unik yang dihasilkan secara acak untuk ditambahkan ke statistik penggunaan agregat.” Mereka menyatakan bahwa "ini token tidak sesuai dengan individu mana pun." Cuplikan kode berikutnya tampaknya berasal dari kode sumber browser dan menunjukkan metode "cara kerja Mi Browser dalam mode penyamaran, di mana tidak ada data penjelajahan pengguna akan disinkronkan." Cuplikan kode ketiga menunjukkan bahwa statistik penggunaan gabungan yang dikumpulkan Xiaomi "disimpan di domain Xiaomi" dan tidak diteruskan ke Sensor Analisis. Terakhir, gambar keempat "menunjukkan bahwa data statistik penggunaan ditransfer dengan protokol HTTPS enkripsi TLS 1.2."
Sebagai penutup, Xiaomi kemudian mengutip 4 sertifikasi yang diterima perangkat lunak mereka dari TrustArc dan British Standard Institution (BSI). Sertifikasi tersebut meliputi ISO27001:2013, ISO27018:2014, ISO29151:2017, dan TRUSTe.
Menanggapi postingan blog ini, peneliti keamanan siber Andrew Tierney dibawa ke Twitter untuk membantah klaim Xiaomi. Dia menyatakan bahwa dia dan beberapa orang lainnya mengkonfirmasi kembali temuan tersebut di beberapa perangkat—bahwa "tidak ada keraguan bahwa Mint Browser mengirimkan istilah pencarian dan URL saat dalam mode Penyamaran." Dia menyatakan bahwa kode yang diterbitkan Xiaomi tidak menunjukkan bahwa "token unik yang dihasilkan secara acak" tidak dapat dikorelasikan dengan individu. Para peneliti mencatat bahwa UUID tampaknya demikian bertahan di seluruh sesi penjelajahan dan hanya perubahan ketika browser diinstal ulang. Apakah Xiaomi hanya menyimpan data di server mereka sendiri atau di tempat lain juga tidak menjadi perdebatan bagi peneliti. Selain itu, peneliti menyatakan bahwa Xiaomi tidak dituduh mengirimkan data ke server jarak jauh melalui metode yang tidak aman—Tn. Tierney mencatat bahwa masalah yang dihadapi adalah data itu sendiri terkirim.
Kami senang melihat Xiaomi mengatasi tuduhan ini secara langsung, namun penjelasan tersebut tampaknya tidak memuaskan para peneliti saat ini. Kami akan terus memantau cerita ini untuk perkembangan selanjutnya.
Pembaruan 2: Xiaomi menawarkan opsi keluar pada pembaruan browser berikutnya
Xiaomi telah memperbaruinya postingan blog untuk mengumumkan bahwa pembaruan berikutnya pada Mint Browser dan Mi Browser akan menyertakan opsi dalam mode penyamaran untuk mematikan pengumpulan data "agregat". Pembaruan perangkat lunak akan dikirimkan ke Google Play Store untuk disetujui hari ini dan akan segera tersedia bagi pengguna.
Masih harus dilihat apakah pengumpulan data ini akan tetap diaktifkan secara default dalam mode penyamaran atau tidak. Kami harap tidak. Namun, memiliki opsi untuk tidak ikut serta berfungsi untuk mengatasi beberapa masalah privasi.
Pembaruan 3: Xiaomi memperbarui Mi Browser dan Mint Browser untuk memperjelas tombol pengumpulan data penyamaran
Meskipun Xiaomi mengatasi masalah privasi dengan pengaturan baru, yang sebenarnya terjadi adalah bahasa yang digunakan untuk pengaturan tersebut menyesatkan, sehingga menghasilkan kebalikan dari apa yang tertulis. Sebagai Otoritas Android menunjukkan, “mode penyamaran yang ditingkatkan” beralih berkata: “Statistik data gabungan tidak akan diunggah saat mode penyamaran aktif”, yang membuat pengguna percaya bahwa mengaktifkan tombol akan menjadikan pernyataan ini benar. Namun ternyata tidak demikian. Kata-kata tersebut mencerminkan status tombol saat ini, dan bukan merupakan pernyataan benar/salah yang dapat Anda ubah dengan menekan tombol tersebut.
Perilaku lama
Sekarang, Xiaomi telah memperbarui Mi Browser dan Mint Browser agar memiliki bahasa yang lebih baik pada tombol ini. Sakelar sekarang disebut "Bantu kami meningkatkan Mi/Mint Browser", dan teks yang menyertainya berbunyi"Aktifkan untuk berbagi statistik penggunaan dengan kami saat mode penyamaran aktif", dengan teks tetap sama saat Anda menekan tombolnya. Ini jauh lebih jelas untuk tujuan dan keadaan aktif dari pengaturan tersebut.
Perilaku baru
Di kedua versi, tombol alih harus dalam keadaan mati jika Anda tidak ingin data Anda dikumpulkan dalam mode penyamaran. Hanya teksnya yang diubah agar lebih mencerminkan keadaan. Pembaruan baru untuk kedua browser sedang didorong ke Google Play Store.