Výskumníci v oblasti kybernetickej bezpečnosti našli dôkaz, že prehliadače Xiaomi zbierali informácie o prehliadaní aj v režime inkognito. Čítajte ďalej a dozviete sa viac!
Aktualizácia 3 (21. 5. 2020 o 1:48 ET): Spoločnosť Xiaomi aktualizovala nastavenia svojho prehliadača, aby bol ich účel jasnejší a odstránil predchádzajúci zmätok.
Aktualizácia 2 (5. 3. 2020 o 10:14 ET): Vo svojej aktualizácii blogového príspevku spoločnosť Xiaomi spomenula, že jej prehliadače budú aktualizované s možnosťou umožniť používateľom odhlásiť sa zo sledovania v režime inkognito.
Aktualizácia 1 (1. 5. 2020 o 15:36 EST): Spoločnosť Xiaomi v reakcii na tieto obvinenia zverejnila blogový príspevok. Prejdite nadol na aktualizáciu. Pôvodný príbeh zverejnený 1. mája 2020 o 06:18 EST je nasledujúci.
Smartfóny Xiaomi sa jednomyseľne zhodli na tom, že budú jedným z najvýhodnejších nákupov dostupných na trhu v akomkoľvek okamihu. Balenie niektorých šialený hardvér za veľmi lukratívne ceny, najmä na spodnom konci trhu smartfónov
Nedávne správy od bezpečnostných výskumníkov však poukazujú na znepokojujúci problém ochrany osobných údajov pozorovaný na webových prehliadačoch Xiaomi. Prispievateľ Forbes pre kybernetickú bezpečnosť a pridružený redaktor Thomas Brewster, spolu s výskumníkmi v oblasti kybernetickej bezpečnosti Gabriel Cirlig a Andrew Tierney nedávno uzavretá v správe že rôzne webové prehliadače Xiaomi odosielali údaje na vzdialené servery. Tvrdia, že odosielané údaje obsahovali históriu všetkých navštívených webových stránok vrátane adries URL, všetky dopyty vyhľadávacieho nástroja a všetky položky zobrazené v informačnom kanáli Xiaomi spolu so zariadením metaúdaje. Toto tvrdenie o zhromažďovaní údajov je dokonca znepokojujúce, že tieto údaje sa zhromažďujú, aj keď zdanlivo prehliadate so zapnutým „režimom inkognito“.
Tento zber údajov sa zdanlivo vyskytuje v predinštalovanom prehliadači akcií na MIUI, ako aj Mi Browser Pro a Prehliadač mäty, pričom obe sú k dispozícii na stiahnutie prostredníctvom Obchodu Google Play. Spolu majú tieto prehliadače viac ako 15 miliónov stiahnutí v Obchode Play, zatiaľ čo akciový prehliadač je predinštalovaný na všetkých zariadeniach Xiaomi. Medzi testované zariadenia patria Xiaomi Redmi Note 8, Xiaomi Mi A1, Xiaomi Mi 10, Xiaomi Redmi K20 a Xiaomi Mi Mix 3. Nerozlišoval sa medzi zariadeniami Android One alebo MIUI od Xiaomi, keďže kód zbierky sa aj tak našiel v predvolenom prehliadači. Zdá sa, že tento problém nie je zameraný na MIUI, ale závisí od toho, či na svojom zariadení používate niektorý z týchto troch prehliadačov, bez ohľadu na základný operačný systém. Iné prehliadače, ako napríklad Google Chrome a Apple Safari, zhromažďujú oveľa menej údajov a obmedzujú sa na používanie a analýzu zlyhaní.
Spoločnosť Xiaomi reagovala zdanlivo potvrdením, že údaje o prehliadaní, ktoré zbierala, sú plne v súlade s miestnymi zákonmi a nariadeniami o záležitostiach ochrany osobných údajov používateľov. Zhromaždené informácie boli odsúhlasené používateľom a boli anonymizované. Spoločnosť však tvrdenia vo výskume poprela.
Tvrdenia výskumu sú nepravdivé. Súkromie a bezpečnosť sú na prvom mieste.
Toto video ukazuje zber anonymných údajov prehliadania, čo je jedno z najbežnejších riešení, ktoré používa internetové spoločnosti na zlepšenie celkového zážitku z prehliadača prostredníctvom analýzy, ktorú nemožno osobne identifikovať informácie.
Výskumníci však toto tvrdenie o anonymite považovali za pochybné. Dáta, ktoré Xiaomi posielala, boli síce „zašifrované“, no boli zakódované v base64, ktorý sa dá ľahko dekódovať. Keďže údaje prehliadania môžu byť dekódované pomerne triviálnym spôsoboma keďže zhromaždené údaje obsahovali aj metaúdaje zariadenia, tieto údaje o prehliadaní mohli byť zdanlivo korelované s akciami jednotlivých používateľov bez výraznej námahy.
Ďalej výskumníci zistili, že prehliadače Xiaomi pingovali domény súvisiace so senzormi Analytics, čínsky startup známy aj ako Sensors Data, známy tým, že poskytuje analytiku správania služby. Prehliadače tiež obsahovali API s názvom SensorDataAPI. Xiaomi je tiež uvedené ako zákazník na Webová stránka s údajmi o senzoroch.
Xiaomi reagovalo na správu od Forbes popretím niekoľkých aspektov:
Zatiaľ čo Sensors Analytics poskytuje riešenie analýzy údajov pre Xiaomi, zhromaždené anonymné údaje sú uložené na vlastných serveroch Xiaomi a nebudú zdieľané so spoločnosťou Sensors Analytics ani inou treťou stranou spoločnosti.
Výskumníci odpovedali proti odmietnutiu Xiaomi s ďalší dôkaz ich praxe zberu údajov.
S dostupnými informáciami sa zdá, že spôsob, akým tieto prehliadače fungujú, je znepokojivý problém ochrany osobných údajov. Požiadali sme spoločnosť Xiaomi o ďalšie vyjadrenie k týmto tvrdeniam.
Zdroj: Forbes
Aktualizácia 1: Xiaomi reaguje v blogovom príspevku
V an oficiálny blogový príspevok na Mi.com spoločnosť Xiaomi dôrazne poprela obvinenia, že porušujú súkromie používateľov.
„Xiaomi bola sklamaná, keď si prečítala nedávny článok z Forbes. Máme pocit, že nepochopili, čo sme im oznámili v súvislosti s našimi zásadami a zásadami ochrany osobných údajov. Súkromie a internetová bezpečnosť našich používateľov sú v spoločnosti Xiaomi najvyššou prioritou; sme presvedčení, že prísne dodržiavame a plne dodržiavame miestne zákony a nariadenia. Oslovili sme Forbes, aby sme objasnili túto nešťastnú dezinterpretáciu.“
Spoločnosť potvrdzuje, že zhromažďuje „agregované štatistické údaje o používaní“, ktoré zahŕňajú „informácie o systéme, preferencie, používanie funkcií používateľského rozhrania, odozva, výkon, využitie pamäte a správy o zlyhaní." Uvádzajú, že tieto informácie "samotné nemožno použiť na identifikáciu žiadneho jednotlivca." že sa zhromažďujú adresy URL, ale že sa to robí s cieľom „identifikovať webové stránky, ktoré sa načítavajú pomaly“, aby mohli zistiť, „ako najlepšie zlepšiť celkové prehliadanie výkon."
Ďalej spoločnosť uvádza, že sa synchronizuje individuálna história údajov prehliadania, ale že sa to deje iba vtedy, keď je „používateľ prihlásený k účtu Mi... a je nastavená funkcia synchronizácie údajov na „Zapnuté“ v časti Nastavenia.“ Popierajú, že by sa údaje o prehliadaní, okrem vyššie uvedených súhrnných štatistických údajov o používaní, synchronizovali, keď používateľ povolil režim inkognito.
Spoločnosť Xiaomi potom zverejnila snímky obrazovky útržkov kódu z jednej zo svojich aplikácií prehliadača (nešpecifikovali však, ktorý prehliadač), o ktorých tvrdí, že demonštrujú svoje body. Prvý úryvok kódu podľa Xiaomi ukazuje dekompilovanú metódu „ako [vytvárajú] náhodne generované jedinečné tokeny, ktoré sa pripájajú k súhrnnej štatistike používania“. Uvádzajú, že „tieto tokeny nezodpovedajú žiadnym jednotlivcom." Ďalší úryvok kódu je zdanlivo zo zdrojového kódu prehliadača a ukazuje spôsob, ako "ako prehliadač Mi funguje v režime inkognito, kde nie je údaje prehliadania používateľov budú synchronizované." Tretí úryvok kódu ukazuje, že agregované štatistiky používania, ktoré Xiaomi zhromažďuje, sú „uložené na doméne Xiaomi“ a neodovzdávajú sa senzoru Analytics. Nakoniec štvrtý obrázok „ukazuje, že štatistické údaje o používaní sa prenášajú pomocou protokolu HTTPS so šifrovaním TLS 1.2“.
Aby to všetko uzavrelo, Xiaomi potom cituje 4 certifikácie, ktoré ich softvér získal od TrustArc a British Standard Institution (BSI). Tieto certifikácie zahŕňajú ISO27001:2013, ISO27018:2014, ISO29151:2017 a TRUSTe.
V reakcii na tento blogový príspevok výskumník kybernetickej bezpečnosti Andrew Tierney preniesol na Twitter na vyvrátenie tvrdení Xiaomi. Uvádza, že on a niekoľko ďalších opätovne potvrdili zistenia na viacerých zariadeniach – že „nie je pochýb o tom, že prehliadač mincovne odosiela hľadané výrazy a adresy URL, v režime inkognito." Uvádza, že kód, ktorý Xiaomi zverejnil, nepreukazuje, že ich "náhodne vygenerované jedinečné tokeny" nemožno korelovať s jednotlivcami. Výskumníci poznamenávajú, že UUID sa zdá pretrvávajú počas relácií prehliadania a len zmeny po preinštalovaní prehliadača. To, či Xiaomi ukladá údaje iba na svojich vlastných serveroch alebo inde, nebolo pre výskumníka predmetom sporu. Okrem toho výskumník uvádza, že spoločnosť Xiaomi nebola obvinená z odosielania údajov na vzdialené servery prostredníctvom neistých metód — Mr. Tierney poznamenáva, že problémom sú samotné údaje, ktoré vznikajú odoslaná.
Sme radi, že Xiaomi rieši tieto obvinenia priamo, ale zdá sa, že vysvetlenie v tomto bode neuspokojuje výskumníkov. Pre ďalší vývoj budeme tento príbeh sledovať.
Aktualizácia 2: Xiaomi ponúka možnosť odhlásenia v ďalšej aktualizácii prehliadača
Xiaomi aktualizovalo svoje príspevok v blogu oznámiť, že ďalšia aktualizácia prehliadača Mint a prehliadača Mi bude v režime inkognito obsahovať možnosť vypnúť „agregovaný“ zber údajov. Softvérové aktualizácie budú dnes odoslané na schválenie do Obchodu Google Play a mali by byť k dispozícii používateľom čoskoro.
Zostáva zistiť, či tento zber údajov zostane štandardne povolený v režime inkognito alebo nie. Dúfame, že nie. Možnosť odhlásiť sa však funguje na vyriešenie niektorých obáv týkajúcich sa ochrany osobných údajov.
Aktualizácia 3: Xiaomi aktualizuje svoj prehliadač Mi a Mint, aby objasnil prepínač zhromažďovania údajov inkognito
Aj keď spoločnosť Xiaomi riešila obavy týkajúce sa ochrany osobných údajov pomocou nového prepínača nastavení, v skutočnosti sa stalo, že jazyk použitý na prepínanie bol zavádzajúci a dosiahol opak toho, čo bolo napísané. Ako Android Authority poukazuje na to, „vylepšený režim inkognito“ prepínač povedal: “Keď je režim inkognito zapnutý, štatistiky súhrnných údajov sa nenahrajú“, čo viedlo používateľov k presvedčeniu, že prepnutím prepínača sa toto tvrdenie stane pravdivým. Ale nebolo to tak. Znenie odrážalo aktuálny stav prepínača a nešlo o pravdivé/nepravdivé tvrdenie, ktoré zmeníte prepnutím prepínača.
Staré správanie
Teraz spoločnosť Xiaomi aktualizovala prehliadače Mi a Mint Browser, aby mal tento prepínač lepší jazyk. Prepínač sa teraz nazýva "Pomôžte nám vylepšiť Mi/Mint Browser“ a sprievodný text hovorí „Zapnite, ak chcete s nami zdieľať štatistiky používania, keď je zapnutý režim inkognito“, pričom text zostane rovnaký, keď prepnete prepínač. To je oveľa jasnejšie pre účel a aktívny stav nastavenia.
Nové správanie
V oboch verziách musí byť prepínač vo vypnutom stave, ak nechcete, aby sa vaše údaje zhromažďovali v režime inkognito. Je to len text, ktorý sa mení, aby lepšie odrážal stav. Nová aktualizácia oboch prehliadačov sa presúva do obchodu Google Play.