Հետազոտություն. միացված ավտոմեքենաները վարորդի տվյալները տասնյակ ընկերությունների են փոխանցում

Northeastern University-ի և Consumer Reports-ի հետազոտողները չափել են 21 ավտոմեքենայի և 30 ուղեկցող հավելվածի տրաֆիկը։ Թեստն անցկացվել է Կոնեկտիկուտում՝ Consumer Reports-ի կենտրոնում, մոդելային տարիները՝ 2022-2025։ Արդյունքները ներկայացված են «Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem» հոդվածում, որը հոկտեմբերին կներկայացվի ACM Internet Measurement Conference-ում։

Ինչ են ուսումնասիրել

2023-ին Mozilla Foundation-ը ուսումնասիրել է ավելի քան 20 ավտոարտադրողի քաղաքականություն և եզրակացրել, որ «ավտոմեքենաները գաղտնիության առումով ամենավատ կատեգորիան են, որ մենք երբևէ ուսումնասիրել ենք»։ Հետազոտողները գրանցել են իրական մեքենաների տրաֆիկը անշարժ, շարժման ընթացքում և մուլտիմեդիա համակարգի աշխատանքի ընթացքում։ Տասնմեկ էլեկտրամեքենա տեղադրվել է Faraday-ի վրանում, որպեսզի պարզեն՝ տրաֆիկն անցնում էր Wi-Fi-ով։ Փաթեթների պարունակությունը հնարավոր չեղավ դիտել, սակայն DNS-ի և TLS-ի վերլուծությունը ցույց տվեց, թե ուր էին գնում տվյալները։

Ով է ստացել տվյալները

Բոլոր ավտոմեքենաները միացել են արտադրողի դոմենին, իսկ Buick Envista-ն և Mercedes-Benz EQS-ը չեն միացել երրորդ կողմի գովազդային կամ վերլուծական դոմեններին։ Tesla-ի Model 3-ը միացել է 34 գովազդային, հսկողական և վերլուծական դոմենի, ինչպես նաև մուլտիմեդիա համակարգի 37 ներկառուցված հավելվածների դոմենի՝ թեստի ամենաբարձր ցուցանիշը։ Cybertruck-ը շարժման ընթացքում միացել է 26-ով ավելի երրորդ կողմի դոմենի, քան կանգնած ժամանակ։ Ամենահաճախ հանդիպում էին Alphabet-ի դոմենները, ինչը հեղինակները կապում են Android Automotive OS-ի տարածման հետ. doubleclick.net-ը և googlesyndication.com-ը անհրաժեշտ չեն հիմնական ծառայությունների համար։ Հաճախ հանդիպում էին Spotify, Sirius XM, HERE, TomTom և Mapbox։

Հավելվածները ուղարկում են անունը, VIN-ը և գտնվելու վայրը

30 հավելվածներից 28-ը տվյալներ էր ուղարկում առնվազն մեկ արտաքին գովազդային կամ վերլուծական ընկերության, իսկ յոթը երրորդ կողմին փոխանցեցին սեփականատիրոջ անունը, VIN կամ ճշգրիտ գտնվելու վայրը։ VIN-ի՝ էլփոստի կամ վայրի հետ միասին փոխանցումը գրանցվել է General Motors-ի չորս հավելվածներում (myCadillac, myChevrolet, myBuick, myGMC), ինչպես նաև HondaLink-ում և MyNissan-ում։ Արտադրողներից ամենավատը General Motors-ն էր, Toyota-ն և Nissan-ը, իսկ ստացողներն են Alphabet, Amazon, Meta, Microsoft, Pinterest, Snap և Reddit։

Համաձայնություն, պայմանագրեր, կարգավորում

Հետազոտողները դիմել են 17 ավտոարտադրողի, 14-ը պատասխանել է (Fisker-ն արդեն փակվել է)։ Բոլորը հայտարարել են, որ պայմանագրերն արգելում են երրորդ կողմին օգտագործել անձնական տվյալները համաձայնեցված սահմաններից դուրս։ Մի մասը պատասխանատվությունը դրել է մուլտիմեդիա համակարգի բրաուզերի և cookie-ի ծանուցումների վրա, իսկ յոթը նշել են, որ ծառայությունների պայմանները կարդալը օգտվողի գործն է։ Մերժելիս հաճախ կորչում են գործառույթներ. Tesla-ն զգուշացնում է, որ մերժման դեպքում ավտոմեքենայի «հնարավոր է կրճատվեն գործառույթները, հասցվի լուրջ վնաս կամ դառնա ոչ ֆունկցիոնալ»։ Արդյունքներից հետո Honda-ն վենդորին՝ Amplitude-ին, պահանջել է ջնջել ստացված վայրի տվյալները և դադարեցրել ուղարկումը։ Consumer Reports-ի տվյալներով՝ կարգավորողները տուգանել են արտադրողներին անբավարար բացահայտման համար, իսկ մի քանիսին դատի են տվել։