Հետազոտություն. կապված մեքենաները դիմում են երրորդ անձանց գովազդային և հետևմիտման դոմեններին

Ինչ է հետազոտվել

Հետազոտողները վերահսկվող միջավայրում փորձարկել են ԱՄՆ շուկայի 21 մեքենա և 30 արտադրողի հետագծային հավելվածներ՝ 2024 թվականի հոկտեմբերից մինչև 2025 թվականի օգոստոսը։ Նրանք ուսումնասիրել են մեքենաներից և հավելվածներից Wi-Fi-ով և բջջային կապով ուղարկված և ստացված տվյալները, ուշադրություն դարձրել անձնական տեղեկություններին, դրանց ստացողներին և արտադրողների պատասխաններին։

Մեքենաների փորձարկման համար Raspberry Pi-ն օգտագործվել է որպես կառուցված հանգույցների կետ, իսկ tcpdump-ը գրանցել է երթևեկությունը։ Հետազոտողները կարողացել են որոշել նախատեսված դոմենները, բայց գաղտնագրված փաթեթների պարունակությունը չեն կարողացել բացել։ Նրանք կատարել են ստացիոնար շարժման և պարզության փորձեր, իսկ մեքենաները շարժվել են 5-ից 45 միլ ժամը։ Այնուամենայնիվ, 11 էլեկտրոմոբիլ տեղադրվել է մեքենայի չափի Ֆարադեյի վանդակում, որը մոտավորապես 93 dB ատենուացիա է տալիս՝ ստուգելու համար, արդյոք արգելափակված բջջային երթևեկությունը անցնում է Wi-Fi-ով։

Զգայուն տվյալները հայտնվել են երրորդ անձանց մոտ

21 մեքենայից 19-ը առնվազն մեկ երրորդ անձի հետ կապվել է Wi-Fi-ով, այդ թվում՝ գովազդային և հետևմիտման հետ կապված դոմենների հետ։ Հետազոտությունը չի ընդգրկում ԱՄՆ-ի բոլոր արտադրողներին, և դրա արդյունքները արտացոլում են փորձարկված մեքենաներն ու ժամանակահատվածը։

30 հետագծային հավելվածներից 7-ը փոխանցել է զգայուն նույնականացուցիչներ գովազդային և հետևմիտման հետ կապված երրորդ անձանց։ Նույնականացուցիչների մեջ ընդգրկված էին մեքենայի նույնականացման համարները, էլփոստի հասցեները, հեռախոսահամարները և ճշգրիտ գտնվելու վայրը։ Անձնական տեղեկությունների մի քանի ձևի մեկ անձի համար ուղարկումը հնարավորություն է տալիս ստեղծել գովազդային ծառայությունների օգտատերերի մանրամասն պրոֆիլներ։

Հավելվածները մեծացրել են տվյալների արտահոսքը

Հետագծային հավելվածի կապը միջինով երկու անգամ մեծացրել է մեքենայից ուղղվածությունը գովազդային և հետևմիտման ընկերությունների նախկուն։ Որոշ դեպքերում հավելվածը ավելացրել է 20-ից ավելի սերիական ընկերություններ։ Հետազոտողները նշել են դեպքեր, երբ հավելվածների վերլուծության միացման ժամանակ սեփականատերերը հայտարարել են 20-ից ավելի լրացուցիչ հետևմիտման միջոցների մասին։

Հավելվածների փորձարկման համար օգտագործվել են iPhones կառուցված root սերտիֆիկատներով, որոնք կապված էին mitmproxy-ի հետ ցանցային երթևեկությունը գրանցելու և գաղտնագրելու համար։ Տեղադրման և մուտք գործելու ժամանակ փորձարկողները ստացել են պահանջվող թույլտվությունները, այդ թվում՝ հետևմիտում, գտնվելու վայր, Օրացույց, Bluetooth և հաղորդագրություններ։ Այնուհետև նրանք օգտագործել են հասանելի ֆունկցիաները, ինչպիսիք են մեքենայի գտնվելու վայրը, լիցքավորման կայանների որոնումը, սպասարկման տեղեկությունները, հաղորդագրությունները և ճամպրուկի հեռահար բացումը։

Արտադրողները պատասխանատվությունը վերադարձրել են

Թիմը իր բացահայտումները հաղորդել է հետազոտությունում ներկայացված արտադրողներին։ Պատասխանները կրկնում են պատասխանատվությունը օգտատերերի վրա, երբ սեփականատերերը չեն կարող ընտրել, արդյոք կիսվել իրենց տվյալները։ Հակադիմաց սեփականատերերը կարող են պետք լինի ստանան պայմանագրեր, դադարեցնեն կապված ֆունկցիաների օգտագործումը, ինչպիսիք են հեռահար գործարկումը և հետագծային հավելվածները, կամ ամբողջովին դադարեցնեն մեքենայի օգտագործումը։

Honda-ն նշանակալից բացառություն էր, քանի որ այն փոխել է տվյալների հավաքածուի գործելակերպը, որպեսզի ճշգրիտ գեոլոկացիան այլևս չուղարկվի օգտատիրոջ հետևմիտման հետ կապված երրորդ անձանց։ Ընդհանուր առմամբ հետազոտողները հայտնաբերել են անհամապատասխանություն հանրային հայտարարությունների և տվյալների կիսման գործնական վարքագծի միջև։ Նրանք պահանջել են ավելի լավ թափանցիկություն կապված մեքենաների էկոհամակարգում։