Och sagan om spion och invasion av integritet fortsätter, men den här gången XDA Recognized Developer TrevE verkar ha träffat själva kärnan av det mesta som händer med enheter. Du kanske minns från några artiklar tillbaka att vi började prata om något som kallas CIQ eller Carrier iQ. Detta är i huvudsak en mjukvara som är inbäddad i de flesta mobila enheter, inte bara Android utan Nokia, Blackberry och förmodligen många fler. Enligt TrevE är programvaran installerad som en rootkit-mjukvara i RAM-minnet på enheter där den finns. Denna programvara är i princip helt dold från synen och i det praktiskt taget osynlig, och värst av alla, ganska komplicerade att döda (vissa enheter mer än andra och du kommer att se varför om några minuter). Detta ges root-liknande rättigheter över enheten, vilket innebär att den kan göra allt den vill och du har inget att säga om det.
Varför går vi in på detta? Nåväl, för ett tag sedan hade jag några konversationer fram och tillbaka med TrevE angående alla HTC: s PoCs som han har varit arbetade på, och han började undra över CIQ, eftersom enligt honom var en av de värsta sakerna som han hade hittat i HTC: s koda. Så han bestämde sig för att börja gräva lite i detta och fick reda på att det finns mycket mer att säga om denna mjukvara än vad även tillverkare kommer att våga säga. Det visar sig att CIQ inte är precis vad många inte ser (eftersom det är dolt), utan det är snarare ett mycket användbart verktyg för system- och nätverksadministratörer. Verktygen används för att ge feedback och relevant data om flera mätvärden som kan hjälpa en av de tidigare nämnda administratörerna att felsöka och förbättra system- och nätverksprestanda. I sak, appen verkar fungera på ett sådant sätt att den låter användaren ge den input som behövs via undersökningar och annat. För att uttrycka saker på ett mer visuellt sätt, detta är vad CIQ
skall ser ut somOch här är hur CIQ faktiskt ser ut både i Samsung- respektive HTC-enheter
Se skillnaden? Åh, och om du undrar, den första bilden är från en "jungfrulig" kopia av CIQ. Vår älskade utvecklare hittade en ren kopia av detta tillsammans med massor av information, inklusive träningsvideor, guider och en hel massa material som i huvudsak kommer att få ditt hår att resa sig rakt upp. Det finns mycket mer än bara kosmetiska förändringar i versionerna ovan. Menyerna och undersökningarna är helt bortskalade i HTC-versionen och delvis i Samsung-versionen, vilket gör det omöjligt att förstå om du inte riktigt vet vad du tittar på. Till exempel finns det så kallade alternativet att välja bort detta inte alls i HTC-enheter och det är mycket svårt att stänga av i Samsung-enheter. Utöver det kan du se några händelser eller triggers som i princip tillåter den här appen att samla in data (tack XDA Recognized Developer k0nane för ditt arbete på Samsung-enheter)
Kända utlösare som finns på HTC-telefoner:
Knappa in HTCDialer nedtryckt eller tangentbordsknappar nedtryckta:Avsikt – com.htc.android.iqagent.action.ui01
App öppnad – Avsikt – com.htc.android.iqagent.action.ui15Sms mottaget - Avsikt – com.htc.android.iqagent.action.smsnotifySkärm av/på – Avsikt – com.htc.android.iqagent.action.ui02Samtal mottaget – Avsikt – com.htc.android.iqagent.action.ui15Mediestatistik – Avsikt – com.htc.android.iqagent.action.mp03Platsstatistik – Avsikt – com.htc.android.iqagent.action.lc30
Kända Samsung-triggers tillhandahålls av XDA-medlem k0nane :UI01: skärmknackad på valfri plats, eller InputMethod (valfritt mjukt tangentbord) nedtryckt.
NT10: HTTP-begäran läst.
NT0F: HTTP-begäran skickas.
UI11: okänd, belägen i View-klassen, som har sin egen IQClientThreadRunnable-underklass.
AL34: laddning startade i en webbläsarram – URL.
AL35: laddning startade i en webbläsarram – datamottagning börjar och slutar, sidans rendering börjar och slutar.
AL36: datalängd.(Ovanstående två finns också i klasserna LoadListener och WebViewCore. Webbstatistik finns inte på Skyrocket, men på Epic 4G och Epic 4G Touch.)
HW03: batteristatus ändrad. (Finns inte heller på Skyrocket.)
Vill ha mer? Den typ av "mått" eller data som den här appen kan samla in. I den ursprungliga versionen av appen är appen inställd på att samla in saker som nätverksstatus, utrustnings-ID och tillverkare och mycket mer. All denna data skjuts sedan till en "portal" där administratören kan se, filtrera, ta emot och praktiskt taget ordna alla mätvärden som rapporterats av appen på vilket sätt han/hon finner lämpligt. Vad mer är, enligt några av utbildningsdokumenten kan CIQ praktiskt taget betrakta vad som helst som ett mått och registrera det. Till exempel (bra exempel av TrevE), låt oss säga att en nätverksadministratör spelar in data för personer med tappade samtal i Kalifornien klockan 17.00. På grund av alla mätvärden som kan erhållas via de olika triggarna, kommer samma nätverksadministratör inte bara att veta att du fick ett avbrutet samtal vid 17.00 i Kalifornien, men han/hon kommer också att veta var i Kalifornien du befann dig, vad du gjorde med din telefon vid den tidpunkten, hur många gånger du åtkomst till dina appar fram till den tiden, och till och med vad du har skrivit i din enhet (nej, det här sista är inte en överdrift, den här saken kan fungera som en nyckellogger också). Redan rädd? Om inte, här är ett utdrag av några av de mätvärden som den här saken kan samla in
Eftersom vi redan har presenterat tillräckligt med fakta, låt oss dyka rakt in i kärnan av frågan. Vi har ingen röst alls i den här frågan. Det finns lite vi kan göra åt att denna data samlas in utan att vi rotar enheten och bryter garantierna på dem (inte för att vi brukar bry oss om att göra detta ändå). Men problemet är att all denna data, all denna information om dig, hur du använder din enhet, dina dagliga aktiviteter, allt du gör med din enhet loggas och säljs. För inte så länge sedan kom Verizon fram (förmodligen eftersom de såg detta komma) och bestämde sig för att ge sina kunder möjlighet att välja bort denna aktivitet. I grund och botten förhindrar Big Red från att sälja din data (men inte från att samla in den). Sprint, å andra sidan, har gått så långt som att förneka dess existens vid ett tillfälle. Nu vet vi att allt detta är en del av kontraktet som du går in på när du köper en telefon från dem, eller hur? Fel! Enligt Sprint, även om du skulle köpa en enhet direkt från eBay och inte har någon tjänst på Sprint (använd den som en Wifi-mediaspelare om du så vill), kan Sprint fortfarande samla in denna data från dig. Du är bunden och kedjad med dem, även om du aldrig planerat att göra detta.
En annan punkt är lagligheten av de frågor som tas upp med den typ av information som de samlar in. Vissa data kan vara meningsfulla för nätverksprestanda och till och med för reklamsyften, men att övervaka allt till vad du skriver, det är lite för mycket enligt denna författares åsikt. Jag menar, vilken typ av tillåtet syfte finns där ute som kan tillåta ett företag att lagligt placera en nyckelloggare på något och använda den när du inte ens får ut service från dem? Detta är långt bortom, vid denna tidpunkt, det faktum att data potentiellt kan nås, fångas upp eller till och med kryphål som finns i koden. Detta är en fråga om vår rätt till integritet som konsumenter.
Att skydda dig själv från orättvis praxis kommer sannolikt att få illa om du skulle ringa Sprint just nu och be dem om en utväg. TrevE tillhandahåller dock ett sätt att manuellt ta bort det här från vissa HTC-enheter medan k0nane tillhandahåller en fullständig borttagningsverktygslåda för flera Samsung-enheter. Alternativt finns det anpassade roms där ute som har CIQ och andra "tjänster" borttagna. Vänligen prova dem om du inte är så bekväm med att manuellt redigera saker i din enhet.
Detta är ett tydligt intrång i konsumenternas rättigheter in i dess kärna. Att inte kunna välja bort det är rent ut sagt löjligt och vi vill begära att detta åtgärdas i kommande enheter och programuppdateringar. Kom ihåg att vi kanske inte är den stora majoriteten av dina användare/kunder, men tyvärr för dig är våra samhällen de som kan göra dina försäljningsinsatser till en mardröm. Konsumenter är de ultimata nyckelinnehavarna och vi föreslår att du slutar se på oss som dollartecken och mer som människor och kunder. Allt som allt är jag det inte till salu och min integritet är ovärderlig.
Du kan hitta mer information i original bloggartikel av TrevE.
Vill du ha något publicerat i portalen? Kontakta vilken nyhetsskribent som helst.
Tack TrevE för allt ditt hårda arbete. Du rockar, man!!!