虫眼鏡の下の Android オペレーティング システムのプライバシー
最近、エジンバラ大学の研究者グループが、中国および世界市場に供給されているRealme、Xiaomi、OnePlusブランドのスマートフォンを対象に実施した分析結果を発表した。その分析結果によると、これらのスマートフォンには特に「個人データの漏洩」という問題があることが判明した。
中国で販売されているファームウェアを搭載したすべてのデバイスが、ユーザーの電話番号、アプリの使用統計、位置情報、IMSI（加入者番号）、ICCID（SIMカードのシリアル番号）、周囲の無線アクセスポイントなど、追加情報をテレメトリ収集サーバーに送信していることが判明しました。さらに、RealmeとOnePlusのデバイスは、通話履歴とSMS履歴も送信していると報告されています。
中国は現在、Android スマートフォンのユーザー数が最も多い国です。 静的および動的コード分析手法を組み合わせて使用し、中国で最も人気のある XNUMX つのベンダーの Android スマートフォンにプリインストールされたシステム アプリによって送信されたデータを調査しました。
驚くべき数のプリインストールされたシステム ベンダーおよびサードパーティ アプリが危険な権限を持っていることがわかりました。
特筆すべきは、グローバル市場向けのファームウェアでは、いくつかの例外を除いてこの活動は見られないということである。例えば、Realme デバイスは MCC (国コード) と MNC (モバイルネットワークコード) を送信し、Xiaomi Redmi デバイスは接続されている Wi-Fi、IMSI、および使用統計に関するデータを送信する。
ファームウェアの種類に関わらず、すべてのデバイスはIMEI識別子、インストールされているアプリケーションの一覧、オペレーティングシステムのバージョン、およびハードウェアパラメータを送信します。このデータは、ユーザーの同意なしに、送信通知なしに、プライバシー設定や送信テレメトリに関係なく、製造元によってインストールされたシステムアプリケーションによって送信されます。
トラフィック分析を通じて、これらのパケットの多くが、ユーザーのデバイス (永続的な識別子)、地理位置情報 (GPS
座標、ネットワーク関連の識別子)、ユーザー プロファイル (電話番号、アプリの使用状況)、および社会的関係 (通話履歴など) を、同意または通知なしで。これにより、深刻な匿名化と追跡が行われるだけでなく、ユーザーが中国を離れたときに中国国外に波及するリスクも生じます。
また、最近採択されたデータ プライバシー法をより厳格に施行するよう求めています。
Redmi端末では、設定、メモ、レコーダー、電話、メッセージ、カメラなどのメーカーがプリインストールしたアプリを開いて使用すると、ユーザーの同意の有無にかかわらず、初期設定時に診断データを送信するために、データがホストのtracking.miui.comに送信されます。RealmeおよびOnePlus端末では、データはホストのlog.avlyun.com、aps.oversea.amap.com、aps.testing.amap.com、またはaps.amap.comに送信されます。
トンネリング サーバーは、電話から接続を受信し、目的の宛先に転送します。研究者は、HTTP/HTTPS トラフィックを傍受して復号化できるように中間プロキシを実装したと述べています。
ホストされた仮想マシン (VM) を監視するために使用されるクラウド メッセージングで Huawei 電話によって開始された要求を完全に分離するために、トンネル プロキシ サーバーを実行するというトンネルが作成されました。 また、VM のポート 8.0.0 でスーパーユーザー権限を使用して mitmproxy 8080 を実行し、トンネル化された TCP 接続をすべて locahost:8080 にリダイレクトするように iptables を構成しました。
このようにして、mitmproxy はサーバー エンドポイントからの要求に代わって電話と通信し、電話のふりをして宛先サーバー エンドポイントへの新しい要求を開始し、mitmproxy が各要求をインターセプトできるようにします。
特定された問題の中で、デフォルトで拡張アクセス許可が付与されている追加のサードパーティ アプリケーションの配信に含まれていることも際立っています。 合計すると、Android AOSP コードベースと比較して、考慮された各ファームウェアには、メーカーによって 30 以上のサードパーティ アプリケーションがプリインストールされています。
最後に、さらに詳しく知りたい場合は、以下のリンクから詳細をご確認いただけます。