چگونه سازندگان گوشی های هوشمند کاربران را ردیابی می کنند

برنامه‌های سیستمی – که به‌طور پیش‌فرض روی تلفن هوشمند شما نصب می‌شوند و معمولاً غیرقابل جابجایی هستند – معمولاً از کانون توجه دور می‌مانند. اما در حالی که با سایر برنامه‌ها و سرویس‌ها، کاربران حداقل انتخابی دارند، در این مورد، قابلیت‌های ردیابی و نظارت در ساختار دستگاه‌ها دوخته شده است. انگلستان و کالج ترینیتی دوبلین، ایرلند. آنها گوشی های هوشمند چهار فروشنده معروف را بررسی کردند تا بفهمند چه مقدار اطلاعات را منتقل می کنند. به عنوان یک نقطه مرجع، آنها نتایج را با سیستم عامل های منبع باز مبتنی بر Android، LineageOS و /e/OS مقایسه کردند. این چیزی است که آنها پیدا کردند.

روش تحقیق

برای خلوص این آزمایش، محققان یک سناریوی عملیاتی نسبتاً سختگیرانه برای چهار گوشی هوشمند تعیین کردند که بعید است کاربران هرگز در زندگی واقعی با آن مواجه شوند: آنها فرض کردند که هر گوشی هوشمندی خواهد بود. فقط برای تماس و پیامک استفاده می شود. محققان هیچ برنامه ای اضافه نکردند. فقط مواردی که توسط سازنده نصب شده بودند روی دستگاه ها باقی ماندند. اولین باری که دستگاه را روشن می کنند. آنها هیچ سرویس اختیاری را از سازنده فعال نکردند، مانند فضای ذخیره سازی ابری یا Find My Device. به عبارت دیگر، آنها گوشی‌های هوشمند را تا حد امکان خصوصی و در حالت بکر در طول مطالعه نگه داشتند. این گوشی هوشمند به مینی کامپیوتر Raspberry Pi متصل می شود که به عنوان نقطه دسترسی Wi-Fi عمل می کند. نرم افزار نصب شده روی Raspberry Pi جریان داده ها را از تلفن رهگیری و رمزگشایی می کند. سپس داده ها مجددا رمزگذاری شده و به گیرنده-توسعه دهنده تلفن ، برنامه یا سیستم عامل ، تحویل داده می شود. در اصل، نویسندگان مقاله یک حمله (خیرخواهانه) انسان در وسط انجام دادند.

طرح مورد استفاده در مطالعه برای رهگیری گوشی های هوشمند داده های منتقل شده منبع

خبر خوب این است که تمام داده های ارسال شده رمزگذاری شده بودند. به نظر می رسد این صنعت بالاخره بر بلای دستگاه ها، برنامه ها و سرورهایی که با متن واضح و بدون هیچ گونه حفاظتی ارتباط برقرار می کنند، غلبه کرده است. در واقع، محققان زمان و تلاش زیادی را صرف رمزگشایی و تجزیه و تحلیل داده‌ها کردند تا بفهمند دقیقاً چه چیزی ارسال می‌شود. آنها اطلاعات هر دستگاه را به طور کامل پاک کردند و تنظیمات اولیه را انجام دادند. سپس بدون ورود به حساب گوگل، هر گوشی هوشمند را برای چند روز روشن گذاشتند و انتقال داده ها را از آن زیر نظر گرفتند. سپس، آنها با استفاده از یک حساب Google وارد سیستم شدند، موقعیت جغرافیایی را به طور موقت فعال کردند و به تنظیمات تلفن رفتند. آنها در هر مرحله نظارت می کردند که چه داده هایی و کجا ارسال می شود. آنها در مجموع شش گوشی هوشمند را آزمایش کردند: چهار گوشی با سیستم عامل سازنده و دو گوشی با LineageOS و /e/OS نسخه منبع باز اندروید.

چه کسی داده ها را جمع آوری می کند؟ که سازندگان گوشی های هوشمند کلکسیونرهای اصلی بودند. هر چهار دستگاهی که سفت‌افزار اصلی (و مجموعه‌ای از برنامه‌های از پیش نصب شده) را اجرا می‌کنند، داده‌های تله‌متری را همراه با شناسه‌های دائمی مانند شماره سریال دستگاه به سازنده ارسال می‌کنند. در اینجا، نویسندگان مقاله، میان‌افزار استاندارد را از ساخت‌های سفارشی مشخص می‌کنند.

برای مثال، LineageOS گزینه‌ای برای ارسال داده‌ها به توسعه‌دهندگان دارد (مثلاً برای نظارت بر پایداری عملیاتی برنامه‌ها)، اما غیرفعال کردن این گزینه، انتقال داده را متوقف می‌کند. در دستگاه‌های استاندارد کارخانه، مسدود کردن ارسال داده‌ها در طول راه‌اندازی اولیه ممکن است در واقع میزان ارسال داده‌ها را کاهش دهد، اما انتقال داده‌ها را کاملاً رد نمی‌کند.

بعدی برای دریافت داده، توسعه‌دهندگان برنامه‌های از پیش نصب‌شده هستند. در اینجا نیز یک نکته جالب را پیدا می کنیم: طبق قوانین Google ، برنامه های نصب شده از Google Play باید از شناسه خاصی برای ردیابی فعالیت کاربر – شناسه تبلیغاتی Google استفاده کنند. در صورت تمایل می توانید این شناسه را در تنظیمات گوشی تغییر دهید. با این حال، این الزام برای برنامه‌هایی که سازنده از قبل نصب می‌کند – که از شناسه‌های دائمی برای جمع‌آوری داده‌های زیادی استفاده می‌کنند، اعمال نمی‌شود.

برای مثال، یک برنامه شبکه اجتماعی از پیش نصب‌شده، داده‌های مربوط به مالک تلفن را به سرورهای خود ارسال می‌کند، حتی اگر مالک آن مالک باشد. هرگز آن را باز نکرده است یک مثال جالب تر: صفحه کلید سیستم در یک تلفن هوشمند اطلاعاتی را درباره برنامه هایی که بر روی گوشی اجرا می شوند ارسال می کند. چندین دستگاه نیز دارای برنامه‌های اپراتور بودند که اطلاعات مربوط به کاربر را نیز جمع‌آوری می‌کردند. اکثریت قریب به اتفاق تلفن‌ها با سرویس‌های Google Play و فروشگاه Google Play، و معمولاً YouTube، Gmail، Maps و چند دستگاه دیگر قبلاً نصب شده‌اند، ارائه می‌شوند. محققان خاطرنشان می کنند که برنامه ها و سرویس های گوگل بسیار بیشتر از هر برنامه از پیش نصب شده دیگری داده جمع آوری می کنند. نمودار زیر نسبت داده های ارسال شده به Google (سمت چپ) و سایر گیرندگان تله متری (راست) را نشان می دهد:

مقدار داده های منتقل شده بر حسب کیلوبایت در هر ساعت به گیرندگان مختلف اطلاعات کاربر. به طور متوسط، گوگل (سمت چپ) ده ها برابر بیشتر از مجموع همه سرویس های دیگر داده ارسال می کند. منبع

چه داده‌هایی ارسال می‌شوند؟

در این بخش، محققان دوباره بر روی شناسه‌ها تمرکز می‌کنند. همه داده ها دارای نوعی کد منحصر به فرد برای شناسایی فرستنده هستند. گاهی اوقات، این یک کد یک بار مصرف است که برای حفظ حریم خصوصی روش صحیحی برای جمع آوری آمار است – به عنوان مثال، در مورد ثبات عملیاتی سیستم – توسعه دهندگان آن را مفید می دانند. شناسه هایی که حریم خصوصی کاربر را نقض می کنند و همچنین جمع آوری می شوند. به عنوان مثال ، صاحبان می توانند شناسه تبلیغاتی Google ذکر شده را به صورت دستی تغییر دهند ، اما تعداد کمی از آنها این کار را انجام می دهند ، بنابراین می توانیم شناسه ای را که برای گوگل و سازندگان دستگاه ارسال می شود ، تقریباً مداوم در نظر بگیریم.

شماره سریال دستگاه ، رادیو کد IMEI ماژول و شماره سیم کارت شناسه های ثابت هستند. با شماره سریال دستگاه و کد IMEI، شناسایی کاربر حتی پس از تغییر شماره تلفن و تنظیم مجدد کامل دستگاه امکان پذیر است. مخاطره آمیز از نظر حریم خصوصی؛ که داده ها برای تعداد زیادی از دارندگان یک مدل تلفن یکسان است. اما داده‌های فعالیت کاربر در برخی برنامه‌ها می‌تواند چیزهای زیادی را در مورد مالکان فاش کند. در اینجا، محققان در مورد خط نازکی بین داده‌های مورد نیاز برای اشکال‌زدایی برنامه و اطلاعاتی که می‌توان از آنها برای ایجاد یک نمایه کاربر دقیق، مانند تبلیغات هدفمند استفاده کرد، صحبت می‌کنند. برای توسعه دهنده مهم است و در نهایت به نفع کاربر خواهد بود. داده‌هایی که روی نسخه‌های برنامه‌های سیستم نصب شده‌اند می‌توانند زمان دانلود به‌روزرسانی را تعیین کنند که این نیز مفید است. اما اینکه آیا جمع‌آوری اطلاعات درباره زمان دقیق شروع و پایان تماس‌های تلفنی ارزشمند است یا در واقع اخلاقی است، همچنان مورد سوال است.

نوع دیگری از داده‌های کاربر که اغلب گزارش می‌شود، فهرست برنامه‌های نصب‌شده است. این لیست می تواند چیزهای زیادی در مورد کاربر بگوید، از جمله، به عنوان مثال، ترجیحات سیاسی و مذهبی. و فروشندگان نرم افزار داده های کاربر را جمع آوری و پردازش می کنند. آنها مجبور بودند فرضیاتی را انجام دهند.

فرض اول: سازندگان گوشی های هوشمند که شناسه های ثابت جمع آوری می کنند، می توانند فعالیت کاربر را ردیابی کنند، حتی اگر کاربر مذکور تمام داده ها را از تلفن پاک کند و سیم کارت را جایگزین کند. امکان تبادل داده ها و با ترکیب شناسه های دائمی و موقت، به علاوه انواع مختلف تله متری، ایجاد کامل ترین تصویر ممکن از عادات و ترجیحات کاربران. اینکه چگونه این امر واقعاً اتفاق می افتد-و اینکه آیا توسعه دهندگان واقعاً داده ها را مبادله می کنند یا آنها را به تجمع دهندگان شخص ثالث می فروشند-از حوصله این مطالعه خارج است. مالک” width=”2100″ height=”500″ class=”size-full wp-image-42658″/>

محققان در مورد امکان ترکیب مجموعه داده ها برای ایجاد نمایه کامل صاحب گوشی هوشمند (gaid مخفف Google Advertising ID) حدس می زنند. منبع

Takeaways

برنده اسمی از نظر حریم خصوصی مشخص شد که تلفنی با نوع اندروید /e/OS است که از آنالوگ خود از خدمات Google Play استفاده می‌کند و اصلاً داده‌ای را ارسال نمی‌کند. تلفن دیگر با سیستم عامل متن باز (LineageOS) اطلاعات را نه برای توسعه دهندگان، بلکه به گوگل ارسال کرد، زیرا سرویس های دومی روی آن تلفن نصب شده بود. این سرویس‌ها برای عملکرد صحیح دستگاه مورد نیاز هستند — برخی از برنامه‌ها و بسیاری از ویژگی‌ها به سادگی بدون خدمات Google Play کار نمی‌کنند، یا ضعیف کار می‌کنند. همه آنها مجموعه نسبتاً زیادی از داده ها را جمع آوری می کنند و دلیل آن را مراقبت از کاربر ذکر می کنند. نویسندگان خاطرنشان می کنند که آنها اساساً انصراف کاربران از جمع آوری و ارسال "داده های استفاده" را نادیده می گیرند. فقط مقررات بیشتر برای اطمینان از حفظ حریم خصوصی بیشتر مصرف کننده می تواند این وضعیت را تغییر دهد، و در حال حاضر، فقط کاربران پیشرفته ای که می توانند یک سیستم عامل غیر استاندارد (با محدودیت در استفاده از نرم افزارهای محبوب) نصب کنند، می توانند تله متری را به طور کامل حذف کنند.

از نظر امنیت، مجموعه به نظر نمی‌رسد که داده‌های تله‌متری خطر مستقیمی داشته باشد. وضعیت کاملاً متفاوت از تلفن‌های هوشمند سطح سوم است، که بدافزار را می‌توان مستقیماً در کارخانه نصب کرد.

خبر خوب حاصل از این مطالعه این است که انتقال داده‌ها نسبتاً ایمن است، که حداقل دسترسی افراد خارجی را سخت می‌کند. . محققان یک نکته مهم را مشخص کردند: آنها مدل‌های گوشی‌های هوشمند اروپایی را با نرم‌افزارهای محلی مورد آزمایش قرار دادند. در جاهای دیگر ، بسته به قوانین و مقررات حریم خصوصی ، ممکن است شرایط متفاوت باشد.

(function(d,s,id){var js,fjs=d.getElementsByTagName(s)[0];if(d.getElementById(id)){return}js=d.createElement(s);js.id= id;js.src="https://connect.facebook.net/en_US/all.js";fjs.parentNode.insertBefore(js,fjs)}(document,"script","facebook-jssdk "))؛ .