კვლევა: დაკავშირებული მანქანები მიმართავენ მესამე პირების რეკლამისა და თვალყურის დევნის დომენებს

რას იკვლევდა კვლევა

მკვლევარებმა კონტროლირებად გარემოში გამოცადეს აშშ-ის ბაზრის 21 მანქანა და 30 მწარმოებლის თანმემდევრული აპი 2024 წლის ოქტომბრიდან 2025 წლის აგვისტომდე. მათ გამოიკვლიეს მანქანებიდან და აპებიდან Wi-Fi-ითა და მობილური კავშირით მიმართული და მიღებული მონაცემები, ყურადღება მიაქციეს პირად ინფორმაციას, მის მიმღებებსა და მწარმოებლების პასუხებს.

მანქანების ტესტირებისთვის Raspberry Pi გამოიყენებოდა როგორც მორგებული წვოდების წერტილი, ხოლო tcpdump ჩაიწერა ტრაფიკი. მკვლევარებს შეეძლოთ დანიშნულების დომენების იდენტიფიცირება, მაგრად დაშიფრული პაკეტების შიგთავსი ვერ გახსნიდნენ. მათ ჩაატარეს სტაციონარული მოძრაობის და სიმშვიდის ტესტები და მანქანები მოძრავდა 5-დან 45 მილი საათში. ასევე 11 ელექტრომობილი განათავსეს მანქანის ზომის ფარადეის კარავში, რომელიც დაახლოებით 93 dB ატენუაციას იძლევა, რათა შეემოწმებინათ, გადადის თუ არა დაბლოკილი მობილური ტრაფიკი Wi-Fi-ზე.

მგრძნობილი მონაცემები მესამე პირებთან მოხვდა

21 მანქანიდან 19-მა მინიმუმ ერთ მესამე პირთან დაუკავშირდა Wi-Fi-ით, მათ შორის რეკლამასა და თვალყურის დევნასთან დაკავშირებულ დომენებთან. კვლევა არ მოიცავდა ყველა აშშ-ის მწარმოებელს და მისი შედეგები ასახავს გამოცადილ მანქანებსა და პერიოდს.

30 თანმემდევრული აპიდან 7-მა გადმოსცა მგრძნობილი იდენტიფიკატორები რეკლამასა და თვალყურის დევნასთან დაკავშირებულ მესამე პირებს. იდენტიფიკატორებში შედიოდა მანქანის იდენტიფიკაციის ნომრები, ელფოსტის მისამართები, ტელეფონის ნომრები და ზუსტი მდებარეობა. პირადი ინფორმაციის რამდენიმე ფორმის ერთი პირისთვის გაგზავნა რეკლამის მომხმარებლების დეტალური პროფილების შექმნის საშუალებას აძლევს.

აპებმა გაზარდა მონაცემთა გაჟონვა

თანმემდევრული აპის დაკავშირებამ საშუალოდ ორმაგად გაზარდა მანქანის მიმართულება რეკლამისა და თვალყურის დევნის კომპანიებისკენ. ზოგიერთ შემთხვევაში აპმა დაამატა 20-ზე მეტი სერიის კომპანია. მკვლევარებმა აღნიშნეს შემთხვევები, როდესაც აპების ანალიზში ჩართვამ მფლობელები ოცდაორზე მეტი დამატებითი თვალყურის დევნის საშუალების შესახებ განაცხადა.

აპების ტესტებისთვის გამოიყენებოდა iPhones მორგებული root სერტიფიკატებით, რომლებიც დაკავშირებული იყო mitmproxy-თან ქსელური ტრაფიკის ჩასაწერად და გასაშიფრად. ინსტალაციისა და შესვლის დროს ტესტერებმა მიიღეს მოთხოვნილი ნებართვები, მათ შორის თვალყურის დევნა, მდებარეობა, კალენდარი, Bluetooth და შეტყობინებები. შემდეგ მათ გამოიყენეს ხელმისაწვდომი ფუნქციები, როგორიცაა მანქანის მდებარეობა, დამტენის სადგურების ძებნა, სერვისის ინფორმაცია, შეტყობინებები და ბაგაჟის დისტანციური გაღება.

მწარმოებლებმა პასუხისმგებლობა გადაიბრუნეს

გუნდმა თავისი დადგენილებები გასცა კვლევაში წარმოდგენილ მწარმოებლებს. პასუხებმა განმეორებით პასუხისმგებლობა მომხმარებლებზე გადაიბრუნეს, მაშინ როდესაც მფლობელებს არ შეუძლიათ აირჩიონ, გაზიარდება თუ არა მათი მონაცემები. მფლობელებს, რომლებიც ეწინააღმდეგებიან, შეიძლება უნდა მიიღონ ხელშეკრულებები, შეწყვიტონ დაკავშირებული ფუნქციების გამოყენება, როგორიცაა დისტანციური გაშვება და თანმემდევრული აპები, ან საერთოდ შეწყვიტონ მანქანის გამოყენება.

Honda ღირსშესანიშნავი გამონაკლისი იყო, რადგან მან შეცვალა მონაცემთა შეგროვების პრაქტიკა, რათა ზუსტი გეოლოკაცია აღარ გაეგზავნა მომხმარებლის თვალყურის დევნასთან დაკავშირებულ მესამე პირთან. საერთო ჯამში მკვლევარებმა აღმოაჩინეს ხარვეზი საჯარო განცხადებებსა და მონაცემთა გაზიარების ფაქტობრივ ქცევას შორის. მათ მოითხოვეს უკეთესი გამჭვირვალობა დაკავშირებული მანქანების ეკოსისტემაში.