Cybersikkerhetsforskere har funnet bevis på at Xiaomis nettlesere har samlet inn nettleserdata, selv i inkognitomodus. Les videre for å vite mer!
Oppdatering 3 (21/05/2020 @ 01:48 AM ET): Xiaomi har oppdatert nettleserinnstillingene for å være tydeligere i deres formål, og fjerne tidligere forvirring.
Oppdatering 2 (05/03/2020 @ 10:14 AM ET): I sin bloggpostoppdatering har Xiaomi nevnt at nettleserne vil bli oppdatert med et alternativ som lar brukere velge bort sporing i inkognitomodus.
Oppdatering 1 (05/01/2020 @ 03:36 PM EST): Xiaomi har publisert et blogginnlegg som svar på disse påstandene. Rull ned for oppdateringen. Den originale historien, som publisert 1. mai 2020, klokken 06:18 EST, er som følger.
Xiaomi-smarttelefoner er enstemmig enige om å være et av de beste verdikjøpene som er tilgjengelige på markedet til enhver tid. Pakker litt vanvittig maskinvare til noen svært lukrative prispunkter, spesielt i den nedre enden av smarttelefonmarkedet, gir disse telefonene et tilbud som mange mennesker bare ikke kan avslå. Xiaomi har også vært mottakelig for behovene til utviklermiljøet, med beslutninger som f.eks
tillater opplåsing av bootloader uten å ofre produsentens garanti -- en kombinasjon som mange andre populære OEM-er forkaster, i tillegg til å forbedre deres betydelig kjernekildeutgivelser. Disse grunnene gjør dem til en av de mest populære enhetene i forumene våre, og de har med rette fortjent den populariteten.Nyere rapporter fra sikkerhetsforskere peker imidlertid mot et bekymringsfullt personvernproblem observert på Xiaomis nettlesere. Forbes' cybersikkerhetsbidragsyter og assisterende redaktør Thomas Brewster, sammen med cybersikkerhetsforskere Gabriel Cirlig og Andrew Tierney nylig konkludert i en rapport at Xiaomis ulike nettlesere sendte data til eksterne servere. De hevder at dataene som ble sendt inkluderte en historikk over alle besøkte nettsteder, inkludert nettadressene, alle søkemotorforespørsler, og alle elementene som vises på Xiaomis nyhetsfeed, sammen med enheten metadata. Det som til og med er bekymrende med denne datainnsamlingspåstanden er at disse dataene samles inn selv om du tilsynelatende surfer med "inkognitomodus" aktivert.
Denne datainnsamlingen skjer tilsynelatende på den forhåndsinstallerte aksjenettleseren på MIUI, så vel som Mi Browser Pro og Mint nettleser, som begge er tilgjengelige for nedlasting via Google Play Store. Til sammen har disse nettleserne over 15 millioner nedlastinger i Play Store, mens aksjenettleseren er forhåndslastet på alle Xiaomi-enheter. Enhetene som er testet inkluderer Xiaomi Redmi Note 8, Xiaomi Mi A1, Xiaomi Mi 10, Xiaomi Redmi K20 og Xiaomi Mi Mix 3. Det var ikke noe skille mellom Xiaomis Android One- eller MIUI-enheter, siden samlingskoden ble funnet i standardnettleseren uansett. Som sådan ser dette problemet ikke ut til å være MIUI-sentrisk, men avhenger av om du bruker noen av disse tre nettleserne på enheten din, uavhengig av det underliggende operativsystemet. Andre nettlesere, som Google Chrome og Apple Safari, samler inn langt mindre data, og begrenser seg til bruk og krasjanalyser.
Xiaomi svarte med å tilsynelatende bekrefte at nettleserdataene den samlet inn var fullt ut i samsvar med lokale lover og forskrifter om personvernspørsmål for brukerdata. Den innsamlede informasjonen var brukersamtykke og anonymisert. Selskapet avviste imidlertid påstandene i forskningen.
Forskningspåstandene er usanne. Personvern og sikkerhet er av største bekymring.
Denne videoen viser innsamlingen av anonyme nettleserdata, som er en av de vanligste løsningene som brukes av Internett-selskaper for å forbedre den generelle opplevelsen av nettleserproduktet gjennom å analysere ikke-personlig identifiserbare informasjon.
Forskerne fant imidlertid at denne påstanden om anonymitet var tvilsom. Dataene som Xiaomi sendte var riktignok "kryptert", men de ble kodet i base64, som enkelt kan dekodes. Siden nettleserdataene kan være dekodet på en ganske triviell måte, og siden de innsamlede dataene også inneholdt enhetsmetadata, kan disse nettlesingsdataene tilsynelatende være korrelert til handlingene til individuelle brukere uten betydelig innsats.
Videre fant forskerne at Xiaomi-nettleserne pinget domener relatert til sensorer Analytics, en kinesisk oppstart også kjent som Sensors Data, kjent for å tilby atferdsanalyse tjenester. Nettleserne inneholdt også et API kalt SensorDataAPI. Xiaomi er også oppført som kunde på Sensors Data nettsted.
Xiaomi har svart på rapporten fra Forbes med benektelse på flere aspekter:
Mens Sensors Analytics tilbyr en dataanalyseløsning for Xiaomi, er de innsamlede anonyme dataene lagret på Xiaomis egne servere og vil ikke bli delt med Sensors Analytics, eller noen annen tredjepart selskaper.
Forskerne svarte mot Xiaomis fornektelse med ytterligere bevis av deres datainnsamlingspraksis.
Med den tilgjengelige informasjonen ser det ut til å være et bekymringsfullt personvernproblem i måten disse nettleserne fungerer på. Vi har tatt kontakt med Xiaomi for ytterligere kommentarer om disse påstandene.
Kilde: Forbes
Oppdatering 1: Xiaomi svarer i blogginnlegg
I en offisielt blogginnlegg på Mi.com benektet Xiaomi på det sterkeste påstandene om at de krenket brukernes personvern.
"Xiaomi var skuffet over å lese den nylige artikkelen fra Forbes. Vi føler at de har misforstått det vi kommuniserte angående våre prinsipper og retningslinjer for personvern. Vår brukers personvern og internettsikkerhet er av høyeste prioritet hos Xiaomi; vi er sikre på at vi strengt følger og er fullstendig i samsvar med lokale lover og forskrifter. Vi har kontaktet Forbes for å gi klarhet i denne uheldige feiltolkningen.»
Selskapet bekrefter at de samler inn "aggregerte bruksstatistikkdata", som inkluderer "systeminformasjon, preferanser, bruk av brukergrensesnittfunksjoner, respons, ytelse, minnebruk og krasjrapporter." De sier at denne informasjonen "ikke kan brukes alene til å identifisere noen individer." De bekrefter at URL-er samles inn, men at dette gjøres for å "identifisere nettsider som lastes sakte" slik at de kan finne ut "hvordan man best kan forbedre den generelle nettlesingen opptreden."
Deretter opplyser selskapet at individuell nettleserdatahistorikk synkroniseres, men at dette bare gjøres når "brukeren er logget på Mi Account... og datasynkroniseringsfunksjonen er satt til 'På' under Innstillinger." De benekter at nettleserdata, bortsett fra de nevnte samlede bruksstatistikkdataene, blir synkronisert når brukeren har aktivert inkognitomodus.
Xiaomi publiserte deretter skjermbilder av kodebiter fra en av nettleserappene deres (de spesifiserte imidlertid ikke hvilken nettleser) som de hevder viser poengene deres. Den første kodebiten, ifølge Xiaomi, viser en dekompilert metode for "hvordan [de] lager tilfeldig genererte unike tokens for å legge til aggregert bruksstatistikk." De uttaler at "disse tokens tilsvarer ikke noen individer." Den neste kodebiten er tilsynelatende fra nettleserens kildekode og viser en metode for "hvordan Mi Browser fungerer i inkognitomodus, der ingen brukerleserdata vil bli synkronisert." Den tredje kodebiten viser at den aggregerte bruksstatistikken som Xiaomi samler inn er "lagret på Xiaomis domene" og sendes ikke til Sensor Analytics. Til slutt, det fjerde bildet "viser at bruksstatistikkdata overføres med HTTPS-protokollen for TLS 1.2-kryptering."
For å avslutte det hele, siterer Xiaomi deretter 4 sertifiseringer programvaren deres har mottatt fra TrustArc og British Standard Institution (BSI). Disse sertifiseringene inkluderer ISO27001:2013, ISO27018:2014, ISO29151:2017 og TRUSTe.
Som svar på dette blogginnlegget, cybersikkerhetsforsker Andrew Tierney tok til Twitter for å tilbakevise Xiaomis påstander. Han uttaler at han og flere andre bekreftet funnene på tvers av flere enheter - at det "ikke er tvil om at Mint Browser sender søkeord og URL-er mens i inkognitomodus." Han uttaler at koden som Xiaomi publiserte ikke demonstrerer at deres "tilfeldig genererte unike tokens" ikke kan korreleres til enkeltpersoner. Forskerne bemerker at UUID ser ut til å gjøre det vedvare på tvers av nettlesingsøkter og bare endringer når nettleseren installeres på nytt. Hvorvidt Xiaomi bare lagrer dataene på sine egne servere eller andre steder var heller ikke et stridspunkt for forskeren. I tillegg uttaler forskeren at Xiaomi ikke ble anklaget for å sende dataene til eksterne servere gjennom usikre metoder—Mr. Tierney bemerker at problemet er selve dataene som blir til sendt.
Vi er glade for å se Xiaomi adressere disse påstandene direkte, men forklaringen ser ikke ut til å tilfredsstille forskerne på dette tidspunktet. Vi vil holde øye med denne historien for videre utvikling.
Oppdatering 2: Xiaomi vil tilby fravalgsalternativ i neste nettleseroppdatering
Xiaomi har oppdatert sin blogg innlegg for å kunngjøre at den neste oppdateringen til Mint Browser og Mi Browser vil inkludere et alternativ i inkognitomodus for å slå av "samlet" datainnsamling. Programvareoppdateringene vil bli sendt til Google Play Store for godkjenning i dag og bør være tilgjengelige for brukere ganske snart.
Det gjenstår å se om denne datainnsamlingen forblir aktivert som standard i inkognitomodus, eller ikke. Vi håper det ikke er det. Likevel, å ha en mulighet til å velge bort fungerer for å løse noen personvernproblemer.
Oppdatering 3: Xiaomi oppdaterer Mi-nettleseren og Mint-nettleseren for å tydeliggjøre vekslingen for inkognitodatainnsamling
Mens Xiaomi tok opp personvernproblemene med en ny innstillingsbryter, var det som faktisk skjedde at språket som ble brukt for vekslingen var misvisende, og oppnådde det motsatte av det som ble skrevet. Som Android Authority påpeker, den "forbedret inkognitomodus" toggle sa: "Samlet datastatistikk blir ikke lastet opp når inkognitomodus er på”, noe som fikk brukere til å tro at å slå på bryteren ville gjøre denne uttalelsen sann. Men dette var ikke tilfelle. Ordlyden reflekterte den nåværende tilstanden til bryteren, og var ikke en sann/falsk påstand som du endrer ved å snu bryteren.
Gammel oppførsel
Nå har Xiaomi oppdatert Mi Browser og Mint Browser for å ha bedre språk på denne bryteren. Bryteren heter nå "Hjelp oss å forbedre Mi/Mint-nettleseren", og den medfølgende teksten sier "Slå på for å dele bruksstatistikk med oss når inkognitomodus er på", med teksten som forblir den samme når du snur bryteren. Dette er mye mer tydelig for formålet og den aktive tilstanden til innstillingen.
Ny oppførsel
I begge versjonene må bryteren være i av-tilstand hvis du ikke vil ha dataene dine samlet i inkognitomodus. Det er bare teksten som endres for bedre å reflektere staten. Den nye oppdateringen til begge nettleserne blir sendt til Google Play Store.