Xiaomi a fost prins cu mâța în sac

Aveți vreodată senzația că nu sunteți urmăriți? Înseamnă că nu aveți internet sau curent electric. Xiaomi este cel mai nou membru al lungii liste de producători de telefoane prinși că adună mai multe date decât ar trebui și că le stochează într-un mod foarte nesigur.

Conform descoperirilor făcute de un cercetător de securitate numit Gabi Cîrlig, și verificate de câțiva alți cercetători, telefoanele produse de Xiaomi au câteva obiceiuri proaste. Ca standard, telefoanele trimit date despre ce foldere deschide utilizatorul, configurații de sistem, până și ce melodii sunt ascultate, și când. Apoi, cei care se folosesc, din motive necunoscute, de browser-ul integrat, fie Mi Browser Pro, fie Mint Browser, au parte de surprize și mai neplăcute.

Orice adresă introdusă în browser este trimisă în totalitate către serverele deținute de Xiaomi în Singapore și Rusia, într-o formă necriptată și neanonimizată. Toate datele sunt acompaniate de un cod de identificare unic ce poate fi folosit pentru a depista cu ușurință un utilizator, chiar și dacă acesta folosește modul incognito.

Având în vedere că URL-ul poate conține ocazional informații private, atunci când sunt completate formulare, devine floare la ureche pentru cineva care are acces la aceste date să capete detalii importante despre utilizator. Datele sunt trimise prin TLS către Xiaomi, dar oricine de la companie sau partenerii acesteia nu prea au restricții asupra informațiilor.

Xiaomi a emis un comunicat oficial prin care contrazice descoperirile cercetătorilor, spunând că sunt respectate cele mai stricte norme de securitate, iar că varianta următoare a MIUI (12) au fost adoptate cele mai stricte și transparente norme de protecție a intimității. Iar informațiile colectate de browser sunt pur și simplu o parte din funcția de sincronizare, sau de colectare a datelor agregate. Acest comunicat a fost actualizat o zi mai târziu, spunând acum că viitoarele variante ale celor două browsere vor include opțiunea de a dezactiva colecționarea de date în modul incognito, fiindcă până acum nu exista așa ceva.

Cu siguranță vor urma mai multe declarații.

[Bleeping Computer]