Šmírovací program Carrier IQ na milionech chytrých telefonů

Na světě jsou nové informace o šmírovacím programu Carrier IQ od stejnojmené společnosti, který je nainstalován na milionech mobilních zařízení s chytrým OS. Tento program umožňuje sledovat obsah posílaných SMS zpráv, data o surfování na internetu atd.

4.12.2011 17:07 | robotics | Bezpečnostní upozornění

Komentáře

[cezz]

Chcelo by to trosku aktualnejsie novinky. Pokial viem, tak sa ukazalo, ze ten program nelogoval ani nesledovat obsah sprav a podobne. Stlacene klavesy logoval len koli nejakemu debug dumpu. Nie ze by to nebolo svinstvo aj tak..

[kyytaM]

A bola to poziadavka niektorych operatorov...

[Rivon]

Ten program logoval absolutně všechno... Cokoliv se zadalo do prohlížeče, jaký číslo jste namačkali atd.

Jedinej iPhone je na tom dobře. Tam je za prvý CIQ defaultně vyplej a za druhý má přístup skutečně jen k používání důležitejm věcem (nemá přístup ke zmáčknutejm klávesám atp.).

[Mandarinka]

A to zas já četl, že na jiných mobilech (Nokia, BB) není vůbec; a naopak, zatímco u jiných značek si ho tam dává operátor, na hypephonech je to instalované už od Applu.

[Sten]

Já jsem zkoušel asi pět různých HTCček a několik Samsungů a Motorol a ani na jednom se nic nezaznamenávalo, takže tak moc rozšířené to taky nebude.

[JeChW]

Co jsem slyšel, tak to mají hlavně telefony v USA. Spíš než požadavek operátorů bych to viděl na požadavek CIA a FBI.

[Raduz]

Zapomněl jsi na NSA a ilumináty.

[Mandarinka]

Svobodní zednáři.

[GeoRW]

IMHO zido-bolsevicka mafia

[Raduz]

Kdepak, templáři. Za vším jsou nakonec vždycky templáři. Nebo možná ještě rosenkruciáni.

[Sten]

Jedno to HTCčko je z USA, ale možná je to jenom „exportní verze“

[Jendа]

CIA a FBI se nebudou piplat s nějakou další aplikací, ale patchnou něco systémového (jádro, inetd, PAM…)

[Sten]

Jestli nebude problém v tom, že všechno systémové je open source pod GPL a licenční spory si CIA ani operátoři netroufnou, když hrají o ACTA (teď jde jenom Špehování pro naše dobro™).

[Jendа]

Zatím každý, kdo zkoušel žalovat CIA o porušení GPL, zmizel :).

[Jendа]

Ano, neposílal to, ale pro operátora nebyl technický problém si to nechat poslat. Prostě rootkit jak vyšitej.

Cute. Používali jste v telefonu GPG na maily? SSH? Šifrované telefonování? Pff.

Přijde mi to naprosto neuvěřitelné. Backdoor v mobilu.

[Mrkva]

Viz nová patička. Jen zapomněl zmínit Android :)

[AsciiWolf]

Chybí ti tam "„" (na začátku toho citátu).

[Semo]

"V jeho citatu? V jeho ANGLICKEM citatu?!?"

[Václav "Darm" Novák]

I tak tam má být “, když už to zakončuje správnýma uvozovkama :)

[Mrkva]

Spokojen?

[Václav "Darm" Novák]

Mě to nějak neštve, ale když už začali opravovat :) Jediné co mě vytáčí je formát ``quotation marks", popřípadě krásně české ,,uvozovky" (a že se s tím potkávám často)

[Mrkva]

Buď rád za ``x". `` x '' je ještě horší.

[Václav "Darm" Novák]

Challenge accepted.

`` x ,, .

[m]

ten citat je zavadejici. v tomhle kontextu je "screwed" kazdy, kdo pouziva jakoukoliv elektroniku...
btw. to ze daň za zivot v civilizaci je ztrata soukromi neni nic noveho ani sokujiciho

[Kvakor]

Jakoukoliv ne, jen tu, co něco někam posílá. Hloupý telefon nepošle nic víc, než co o každém telefonu může zjistit provozovatel (tj. přibližnou polohu a data o hovorech, (S/M)MS a datovém provozu). "Offline věci" typu fotoaparát, hudební přehrávač GPS navigace nebo třeba kapesní herní konzola nic nevysílají a tudíž nic nevyzradí. Tedy alespoň zatím ... už jsem viděl fotoaparáty s WiFi i 3G modemem, co sami dokážou automaticky cpát na web fotku hned, jak ji vyfotíte a některé automobilové navigace už mají GSM modem pro AGPS, dopravní informace a update map.

[Jendа]

<paranoia>Closed-source GSM chipset je přímo propojený s mikrofonem. Naštěstí se dá vysílání mobilu poměrně snadno zjistit, ale kdo z nás to dělá?</paranoia>

Když si spočítáš time advance ze všech viditelných městských BTS, určíš polohu opravdu hodně přesně.

GSM je prostě rozbitý protokol. TA by šla počítat na klientovi, klient vůbec nemusí reportovat viditelné BTS a sílu jejich signálu a šifrování (algoritmus, který se dá v reálném čase cracknout na počítači za 50 tisíc není šifrování, navíc to stejně není end to end) by taky bodlo.

[Mrkva]

Naštěstí se dá vysílání mobilu poměrně snadno zjistit, ale kdo z nás to dělá?

Myslím, že skoro nikdo záměrně nedělá, ale na rušení člověk narazí i kdyby nechtěl.

[cezz]

Viz. http://pastebin.com/aiYNmYVz.. Nic take sa neukladalo a teda sa ani nemohlo posielat. Ak myslis pod "nebyl technicky problem" ze sa to da nakodit a predinstalovat, tak to je samozrejme pravda, ale to v zasade plati o kazdom kusku SW, kde nemas dohlad nad jeho povodom. (co si spominam, bolo par takych pokusov vo Win od MS a tusim aj Ubuntu sa hlasilo Canonicalu po instalacii /alebo sa o tom uvazovalo?/)

[Jendа]

Já jsem to pochopil tak, že CIQ umožňuje operátorovi spustit na tom telefonu libovolný kód.

a tusim aj Ubuntu sa hlasilo Canonicalu po instalacii

Mezi popularity-contest, který jednou za týden pošle "dpkg -l", a SW, který v podstatě zajišťuje operátorovi SSH shell, je trošku rozdíl.

[cezz]

Já jsem to pochopil tak, že CIQ umožňuje operátorovi spustit na tom telefonu libovolný kód.

Ja som prave toto nikde nenasiel potvrdene (okrem vela JPP reci) skor naopak.

a tusim aj Ubuntu sa hlasilo Canonicalu po instalacii

Mezi popularity-contest, který jednou za týden pošle "dpkg -l", a SW, který v podstatě zajišťuje operátorovi SSH shell, je trošku rozdíl.

Medzi "dpkg -l" a "anonymized metrics data" zas az taky rozdiel nie je. Podla mna je jediny rozdiel ze to nerobili verejne s moznostou opt-in alebo aspon opt-out. Tak to nakoniec robi vela spolocnosti (a nemusi to byt vzdy na skodu - viz Ubuntu, alebo napr. Mozilla Test Pilot a pod.)

[cezz]

Tak si odpoviem sam - je to naozaj tak, az na URL v browseri v zasade nic zaujimave poslat nemoze. (v momentalnom stave pochopitelne) Neviem, co z toho nakoniec realne posiela - to sa moze napokon lisit od vyrobcu a providera, ale ziadne spehovanie sms a mailov to rozhodne nie je. No big deal - len nafuknuta bublina.

[Let_Me_Be]

http://www.xda-developers.com/android/the-storm-is-not-over-yet-lets-talk-about-ciq/

[cezz]

Ak sa nemylim, tak moj link vyssie presne toto potvrdzuje (ano eventy sa loguju do debug bufferu) ale tiez tvrdi, ze tam to konci, nic z toho sa neposiela operatorovi. Netvrdim, ze to nie je zle - jeto fakt dost zle, ale poslednu dobu mam pocit, ze za tym ludia vidia druhy skynet, alebo pricinu zemetrasenia v Japonsku..

[belisarivs]

a tusim aj Ubuntu sa hlasilo Canonicalu po instalacii

Pouze pokud to zapnes.

[Let_Me_Be]

To tvrdila ta firma a zaroven podala zalobu na toho co to odhalil. Nastesti se za nej postavila EFF.

Pak byla provedena dalsi analyza ktera dokazala ze to opravdu loguje vsechno.

Nejvtipnejsi je, ze tam firma tvrdi ze je to vsechno kec a ze to nedela veci, ktere maji uvedene jako hlavni vlastnosti programu na jejich webu

[Rezza]

Chce to napsat open source verzi!

[Robotics]

No já tuhle zprávičku postoval tak před 5ti dny . Ona se objevila az ted. Nic mene by me dost zajimalo, jestli to na telefonu mam nebo ne. Ptal sem se operatora vodafonu na telefonu a ten o tom programu slysel poprvé.

[Radovan Garabík]

iphone, ipad, ipod, iformace...

[pushkin]

iPay...

[AsciiWolf]

iDiot.

[Radovan Garabík]

i opravené

[belisarivs]

Kill it. Kill it with fire.

[Jendа]

More magnets! 1 2 3 4 5 6

[Mrkva]

Snad je něco takového "jen" v mobilech.

[Let_Me_Be]

Tyka se to pouze telefonu kupovanych pres operatory v USA. Ten SW si plati oni.

[snehuliak]

Nezda sa zeby v UK bol tento soft pouzivany, aspon na mojom Samsungu nie je. Tiez Trevorov argument o HTTPS sa mi zda divny. Tiez nevysvetlil kto a kedy mozes pristupit k logom a kedy sa posielaju...

[newman]

Dan Rosenberg: "CarrierIQ: The Real Story"

[ET]

uz vime kdo za tim stoji :] - http://www.gallery.no-tag.de/alben/userbilder/10231/ciq.jpg

[claymoore]

Když tak mne opravte, ale ten člověk na instruktaznim videu si pri prvnim spusteni HTCecka sam zatrhl moznost aby HTC sbiralo data... sam jsem si to vyzkousel, kdyz to nezatrhnu tak tam zadne svinstvo podobneho razu nemam, tak nevim co resi... Kdyz si to zatrhnu tak musim pocitat s tim ze HTC neco sbira (ze je toho tolik, mne prekvapilo) ale kdo vi co sbira takovy MS

[Sten]

Ani když je to sbírání zaškrtnuté, tak tam nic takového neběží, „pouze“ se při pádu nějaké HTC aplikace odešle core file (kde mohou být soukromá data). Tedy pokud máte evropský model HTC. Tohle totiž není nástroj pro zasílání informací HTC.