infa.lt

Išmanieji telefonai su „Qualcomm” lustu slapta siunčia asmeninius duomenis kompanijai. Informacija siunčiama be naudotojo sutikimo, neužšifruota forma, net jei naudojama ne „Google Android” distribucija.

Duomenis siunčia ir „Qualcomm” patentuota programinė įranga, kuri užtikrina aparatinės įrangos palaikymą.

Apie tai pranešama Vokietijos informacijos saugumo aparatinės įrangos sprendimų bendrovės „Nitrokey” tinklaraštyje.

Tyrėjai išbandė pasirinktinius „Android” išmaniuosius telefonus, išvalytus nuo „Google” uždaro kodo programų ir paslaugų – kad užblokuotų „Google” duomenų perdavimą. Net ir tokiomis sąlygomis buvo nutekinta dalis svarbios naudotojo informacijos.

Į išmanųjį telefoną „Sony Xperia XA2” su „Qualcomm Snapdragon 630” įdiegus gryną „Android”, jis buvo naudojamas tik su „Wi-Fi” ir be SIM kortelės.

Duomenų srautas buvo stebimas naudojant „Wireshark” – programinę įrangą, padedančią sekti duomenų nutekėjimą.

Paaiškėjo, kad net ir įdiegus „Android” be „Google” paslaugų, išmanusis telefonas bandė susisiekti su bendrovės servisais.

Prietaisas taip pat susisiekė su serveriais izatcloud.net, kurie priklauso kompanijai”Qualcomm”, o patikrinus operacinės sistemos išeities kodą nebuvo rasta jokių nuorodų į šį domeną.

Pasak „Nitrokey”, „Qualcomm” čipai naudojami 30% prietaisų, įskaitant ir „Android”, ir „iPhone” modelius. Todėl duomenų perdavimas į „Qualcomm” serverius turi įtakos daugeliui išmaniųjų telefonų ir mikroschemų rinkinių.

Perdavimas buvo atliktas nesaugiu HTTP protokolu be papildomo šifravimo, todėl unikalūs tapatybės duomenys, kuriuos „Qualcomm” siuntė į „Izat Cloud”, yra prieinami bet kam.

Įsilaužėliai, vyriausybinės agentūros, tinklo administratoriai ir telekomunikacijų operatoriai gali lengvai šnipinėti naudotoją: rinkti duomenis, juos saugoti ir kurti įrašų istoriją su unikaliu identifikatoriumi ir telefono serijos numeriu.

„Nitrokey” susisiekė su „Qualcomm” advokatu.

Kompanija teigė, kad duomenų perdavimas atitinka „XTRA Service” privatumo politiką, pagal kurią bendrovė iš tikrųjų gali rinkti išmaniojo telefono unikalų identifikatorių, mikroschemų rinkinio pavadinimą, mikroschemų rinkinio serijos numerį, „XTRA” programinės įrangos versiją, mobiliojo ryšio šalies kodą, įrenginyje esančios programinės įrangos sąrašą, IP adresą ir kitą informaciją.

O XTRA servisas tikriausiai yra tiesiogiai susijęs su A-GPS padėties nustatymo sistema.

Bendrovė „Nitrokey” padarė išvadą, kad speciali „Qualcomm” AMSS programinė įranga turi pirmumo teisę prieš bet kurią operacinę sistemą ir, naudodama surinktus duomenis, gali sukurti unikalų įrenginio parašą.

Šį parašą, naudodama HTTP protokolą, gali atsekti trečioji šalis.

Paprastam naudotojui beveik neįmanoma apsisaugoti nuo nutekėjimo, net jei GPS išjungta ir įjungtos apsaugos funkcijos.

Tai paprasčiausias šnipinėjimas nežinant naudotojams.