Cybersäkerhetsforskare har hittat bevis för att Xiaomis webbläsare har samlat in webbläsardata även i inkognitoläge. Läs vidare för att veta mer!
Uppdatering 3 (21/05/2020 @ 01:48 AM ET): Xiaomi har uppdaterat sina webbläsarinställningar för att vara tydligare i deras syfte, vilket tar bort tidigare förvirring.
Uppdatering 2 (05/03/2020 @ 10:14 AM ET): I sin bloggpostuppdatering har Xiaomi nämnt att dess webbläsare kommer att uppdateras med ett alternativ som tillåter användare att välja bort spårning i inkognitoläge.
Uppdatering 1 (05/01/2020 @ 03:36 PM EST): Xiaomi har publicerat ett blogginlägg som svar på dessa anklagelser. Scrolla ner för uppdateringen. Den ursprungliga berättelsen, som publicerades den 1 maj 2020, kl. 06:18 EST, är som följer.
Xiaomi-smarttelefoner är enhälligt överens om att vara ett av de bästa prisköpen som finns på marknaden vid någon tidpunkt. Packar lite galen hårdvara till några mycket lukrativa prislägen, särskilt i den nedre delen av smartphonemarknaden, dessa telefoner ger ett erbjudande som många människor helt enkelt inte kan tacka nej till. Xiaomi har också varit mottaglig för utvecklargemenskapens behov, med beslut som t.ex
Nya rapporter från säkerhetsforskare pekar dock på ett oroande integritetsproblem som observerats på Xiaomis webbläsare. Forbes cybersäkerhetsbidragsgivare och biträdande redaktör Thomas Brewster, tillsammans med cybersäkerhetsforskare Gabriel Cirlig och Andrew Tierney nyligen avslutades i en rapport att Xiaomis olika webbläsare skickade data till fjärrservrar. De hävdar att data som skickades inkluderade en historik över alla besökta webbplatser, inklusive webbadresser, alla sökmotorfrågor och alla objekt som visas på Xiaomis nyhetsflöde, tillsammans med enheten metadata. Det som till och med är oroande med denna datainsamlingspåstående är att denna data samlas in även om du till synes surfar med "inkognitoläge" aktiverat.
Denna datainsamling sker till synes på den förinstallerade aktiewebbläsaren på MIUI, såväl som Mi Browser Pro och Mint webbläsare, som båda är tillgängliga för nedladdning via Google Play Butik. Tillsammans har dessa webbläsare över 15 miljoner nedladdningar i Play Store, medan aktiewebbläsaren är förladdad på alla Xiaomi-enheter. De testade enheterna inkluderar Xiaomi Redmi Note 8, Xiaomi Mi A1, Xiaomi Mi 10, Xiaomi Redmi K20 och Xiaomi Mi Mix 3. Det fanns ingen skillnad mellan Xiaomis Android One- eller MIUI-enheter, eftersom samlingskoden ändå hittades i standardwebbläsaren. Som sådan verkar det här problemet inte vara MIUI-centrerat utan beror på om du använder någon av dessa tre webbläsare på din enhet, oavsett det underliggande operativsystemet. Andra webbläsare, som Google Chrome och Apple Safari samlar in mycket mindre data, vilket begränsar sig till användning och kraschanalys.
Xiaomi svarade genom att till synes bekräfta att webbinformationen som den samlade in helt överensstämde med lokala lagar och förordningar om användardatasekretessfrågor. Den insamlade informationen var användarens samtycke och anonymiserad. Företaget förnekade dock påståendena i forskningen.
Forskningspåståendena är osanna. Integritet och säkerhet är av största vikt.
Den här videon visar insamlingen av anonyma webbläsardata, vilket är en av de vanligaste lösningarna som används av internetföretag för att förbättra den övergripande webbläsarproduktupplevelsen genom att analysera icke-personligt identifierbara information.
Forskarna fann dock att detta påstående om anonymitet var tveksamt. Datan som Xiaomi skickade var visserligen "krypterad", men den kodades i base64, som enkelt kan avkodas. Eftersom webbläsardata kan vara avkodas på ett ganska trivialt sätt, och eftersom den insamlade informationen också innehöll enhetsmetadata, kunde dessa webbläsardata till synes korreleras till enskilda användares handlingar utan betydande ansträngning.
Vidare fann forskarna att Xiaomi-webbläsarna pingade domäner relaterade till sensorer Analytics, en kinesisk startup även känd som Sensors Data, känd för att tillhandahålla beteendeanalys tjänster. Webbläsarna innehöll också ett API som heter SensorDataAPI. Xiaomi är också listad som kund på Sensors Data hemsida.
Xiaomi har svarat på rapporten från Forbes med förnekande på flera aspekter:
Medan Sensors Analytics tillhandahåller en dataanalyslösning för Xiaomi, är den insamlade anonyma informationen lagras på Xiaomis egna servrar och kommer inte att delas med Sensors Analytics eller någon annan tredje part företag.
Forskarna svarade mot Xiaomis förnekande med ytterligare bevis deras praxis för datainsamling.
Med den information som finns tillgänglig verkar det finnas ett oroande sekretessproblem i hur dessa webbläsare fungerar. Vi har kontaktat Xiaomi för ytterligare kommentarer om dessa påståenden.
Källa: Forbes
Uppdatering 1: Xiaomi svarar i blogginlägg
I en officiellt blogginlägg på Mi.com förnekade Xiaomi bestämt anklagelserna om att de kränkte användarnas integritet.
"Xiaomi blev besviken över att läsa den senaste artikeln från Forbes. Vi känner att de har missuppfattat vad vi kommunicerade angående våra principer och policy för datasekretess. Vår användares integritet och internetsäkerhet är av högsta prioritet hos Xiaomi; vi är övertygade om att vi strikt följer och är helt kompatibla med lokala lagar och förordningar. Vi har kontaktat Forbes för att ge klarhet i denna olyckliga feltolkning."
Företaget bekräftar att de samlar in "aggregerad användningsstatistikdata", som inkluderar "systeminformation, preferenser, användning av användargränssnittsfunktioner, lyhördhet, prestanda, minnesanvändning och kraschrapporter." De uppger att denna information "inte ensam kan användas för att identifiera någon individ." De bekräftar att webbadresser samlas in, men att detta görs för att "identifiera webbsidor som laddas långsamt" så att de kan ta reda på "hur man bäst förbättrar den övergripande surfningen prestanda."
Därefter uppger företaget att individuell webbläsardatahistorik synkroniseras, men att detta endast görs när "användaren är inloggad på Mi Account... och datasynkroniseringsfunktionen är inställd till 'På' under Inställningar." De förnekar att webbläsardata, förutom ovannämnda aggregerade användningsstatistikdata, synkroniseras när användaren har aktiverat inkognitoläge.
Xiaomi publicerade sedan skärmdumpar av kodavsnitt från en av deras webbläsarappar (de angav dock inte vilken webbläsare) som de hävdar visar deras poäng. Det första kodavsnittet, enligt Xiaomi, visar en dekompilerad metod för "hur [de] skapar slumpmässigt genererade unika tokens att lägga till i aggregerad användningsstatistik." De uppger att "dessa tokens motsvarar inte några individer." Nästa kodavsnitt är till synes från webbläsarens källkod och visar en metod för "hur Mi Browser fungerar i inkognitoläge, där ingen användarens webbläsardata kommer att synkroniseras." Det tredje kodavsnittet visar att den aggregerade användningsstatistiken som Xiaomi samlar in "lagras på Xiaomis domän" och skickas inte till Sensor Analytics. Slutligen, den fjärde bilden "visar att användningsstatistikdata överförs med HTTPS-protokollet med TLS 1.2-kryptering."
För att avsluta det hela citerar Xiaomi sedan 4 certifieringar som deras programvara har fått från TrustArc och British Standard Institution (BSI). Dessa certifieringar inkluderar ISO27001:2013, ISO27018:2014, ISO29151:2017 och TRUSTe.
Som svar på detta blogginlägg, cybersäkerhetsforskaren Andrew Tierney tog till Twitter för att motbevisa Xiaomis påståenden. Han uppger att han och flera andra bekräftade resultaten över flera enheter – att det "inte råder någon tvekan om att Mint Browser skickar söktermer och webbadresser medan i inkognitoläge." Han säger att koden som Xiaomi publicerade inte visar att deras "slumpmässigt genererade unika tokens" inte kan korreleras till individer. Forskarna noterar att UUID verkar göra det kvarstå över surfsessioner och bara förändringar när webbläsaren installeras om. Huruvida Xiaomi bara lagrar data på sina egna servrar eller någon annanstans var inte heller en stridsfråga för forskaren. Dessutom uppger forskaren att Xiaomi inte anklagades för att ha skickat data till fjärrservrar genom osäkra metoder—Mr. Tierney noterar att problemet är själva data som finns skickas.
Vi är glada över att se Xiaomi ta upp dessa anklagelser direkt, men förklaringen verkar inte tillfredsställa forskarna i nuläget. Vi kommer att hålla ett öga på den här historien för vidare utveckling.
Uppdatering 2: Xiaomi kommer att erbjuda ett opt-out-alternativ i nästa webbläsaruppdatering
Xiaomi har uppdaterat sin blogginlägg för att meddela att nästa uppdatering av Mint Browser och Mi Browser kommer att inkludera ett alternativ i inkognitoläge för att stänga av den "aggregerade" datainsamlingen. Programvaruuppdateringarna kommer att skickas till Google Play Butik för godkännande idag och bör vara tillgängliga för användare ganska snart.
Det återstår att se om denna datainsamling förblir aktiverad som standard i inkognitoläget eller inte. Vi hoppas att det inte är det. Ändå, att ha ett alternativ att välja bort fungerar för att lösa vissa integritetsproblem.
Uppdatering 3: Xiaomi uppdaterar sin Mi Browser och Mint Browser för att förtydliga dess inkognitodatainsamling
Medan Xiaomi tog itu med integritetsproblemen med en ny inställningsväxling, var det som faktiskt hände att språket som användes för växlingen var missvisande, vilket uppnådde motsatsen till det som skrevs. Som Android Authority pekar ut, den "förbättrat inkognitoläge" toggle sa: "Aggregerad datastatistik laddas inte upp när inkognitoläget är på”, vilket fick användarna att tro att om du slår på reglaget skulle detta påstående bli sant. Men så var inte fallet. Formuleringen återspeglade det aktuella tillståndet för växeln och var inte ett sant/falskt påstående som du ändrar genom att vrida omkopplaren.
Gammalt beteende
Nu har Xiaomi uppdaterat Mi Browser och Mint Browser för att ha bättre språk på denna växel. Växeln heter nu "Hjälp oss att förbättra Mi/Mint Browser", och den medföljande texten säger "Aktivera för att dela användningsstatistik med oss när inkognitoläget är på", med texten förblir densamma när du vrider på reglaget. Detta är mycket tydligare för syftet och det aktiva tillståndet för inställningen.
Nytt beteende
I båda versionerna måste växeln vara i avstängt läge om du inte vill ha dina data insamlade i inkognitoläge. Det är bara texten som ändras för att bättre spegla staten. Den nya uppdateringen av båda webbläsarna skickas till Google Play Butik.