Contenuto

• Impostare
• Cosa ho visto
• Annunci
• Amazon AWS
• OK, Google
• Cosa sa Google di me?
• Che dire di Facebook, Twitter e altri?
• Potenziale vs reale
• Incartare

La privacy digitale è un argomento caldo. Siamo entrati in un'era in cui quasi tutti portano un dispositivo connesso. Tutti hanno una macchina fotografica. Molte delle nostre attività quotidiane - dalla guida dell'autobus all'accesso ai nostri conti bancari - sono svolte online. Sorge la domanda "chi tiene traccia di tutti quei dati?"

Alcune delle più grandi aziende tecnologiche del mondo sono sotto controllo su come utilizzano i nostri dati. Cosa sa Google di te? Facebook è trasparente su come gestisce i tuoi dati? Huawei ci sta spiando?

Per provare a rispondere ad alcune di queste domande, ho creato una speciale rete Wi-Fi che mi ha permesso di catturare tutti i pacchetti di dati inviati da uno smartphone a Internet. Volevo vedere se qualcuno dei miei dispositivi stava segretamente inviando dati a server remoti a mia insaputa. Il mio telefono mi sta spiando?

Impostare

Per catturare tutti i dati che scorrevano avanti e indietro dal mio smartphone avevo bisogno di una rete privata, quella in cui sono il capo, dove sono root, dove sono admin. Una volta che ho il pieno controllo della rete, posso monitorare tutto ciò che entra e esce dalla rete. Per fare ciò ho impostato un Raspberry Pi come punto di accesso Wi-Fi. L'ho fantasiosamente chiamato PiNet. Successivamente, ho collegato lo smartphone in prova a PiNet e disabilitato i dati mobili (per essere sicuro di ricevere tutto il traffico). A questo punto, lo smartphone era collegato al Raspberry Pi ma nient'altro. Il prossimo passo è configurare il Pi per inoltrare tutto il traffico che arriva a Internet. Questo è il motivo per cui il Pi è un dispositivo così eccezionale, poiché molti modelli hanno sia Wi-Fi che Ethernet integrati. Ho collegato Ethernet al mio router e ora tutto ciò che lo smartphone invia e riceve deve passare attraverso il Raspberry Pi.

Esistono molti strumenti di analisi della rete e uno dei più popolari è WireShark. Consente l'acquisizione e l'elaborazione in tempo reale di ogni pacchetto di dati che vola attraverso una rete. Con il mio Pi tra i miei smartphone e Internet, ho usato WireShark per acquisire tutti i dati. Una volta catturato, ho potuto analizzarlo a mio piacimento. Il vantaggio del metodo "cattura ora, poni domande dopo" è che posso lasciare la configurazione in esecuzione durante la notte e vedere quali segreti il ​​mio smartphone sta rivelando nel bel mezzo della notte!

Ho testato quattro dispositivi:

• Huawei Mate 8
• Pixel 3 XL
• OnePlus 6T
• Galaxy Note 9

Cosa ho visto

La prima cosa che ho notato è che i nostri smartphone parlano con Google Un sacco. Immagino che non dovrebbe sorprendermi - l'intero ecosistema Android è costruito attorno ai servizi di Google - ma è stato interessante vedere come quando ho svegliato un dispositivo dalla sospensione, si affretta e controlla Gmail e l'ora corrente della rete (tramite NTP) e un sacco di altre cose. Sono stato anche sorpreso da quanti nomi di dominio possiede Google. Mi aspettavo che tutti i server lo fossero something.whatever.google.com, ma Google ha domini con nomi come 1e100.net (che immagino sia un riferimento a Googolplex), gstatic.com, crashlytics.com e così via.

Ho controllato e verificato tutti i domini e tutti gli indirizzi IP che i dispositivi di test hanno contattato per essere sicuro di sapere con chi stava parlando il mio smartphone.

Oltre a parlare con Google, i nostri smartphone sembrano farfalle sociali abbastanza spensierate e hanno una vasta cerchia di amici. Questi, ovviamente, sono direttamente proporzionali a quante app hai installato. Se hai installato WhatsApp e Twitter, indovina un po ', il tuo dispositivo contatta regolarmente i server di WhatsApp e Twitter!

Ho visto connessioni nefaste a server in Cina, Russia o Corea del Nord? No.

Annunci

Qualcosa che lo smartphone fa spesso è connettersi alle reti di distribuzione dei contenuti per ottenere annunci. Ancora una volta, a quali reti si connette e quante dipenderanno dalle app installate. La maggior parte delle app supportate dalla pubblicità utilizzerà le librerie fornite dalla rete pubblicitaria, il che significa che lo sviluppatore dell'app ha una conoscenza scarsa o nulla del modo in cui gli annunci vengono effettivamente offerti o quali dati vengono inviati alla rete pubblicitaria. I provider di annunci più comuni che ho visto sono stati DoubleClick e Akamai.

In termini di privacy, queste librerie di annunci possono essere un argomento controverso, in quanto uno sviluppatore di app si affida sostanzialmente alla piattaforma per fare la cosa giusta con i dati e inviare solo ciò che è strettamente necessario per pubblicare gli annunci. Abbiamo visto tutti quanto siano affidabili le piattaforme pubblicitarie durante il nostro uso quotidiano del web. Pop-up, pop-under, video con riproduzione automatica, annunci inappropriati, annunci che occupano l'intero schermo: l'elenco continua. Se gli annunci non fossero così invadenti, non ci sarebbero mai blocchi di annunci.

Amazon AWS

Ho visto un bel po 'di attività di rete legate ai servizi Web di Amazon (AWS). Come principale fornitore di server cloud, Amazon è spesso la scelta logica per gli sviluppatori di app che necessitano di database e altre capacità di elaborazione su un server, ma non vogliono mantenere i propri server fisici.

Nel complesso, le connessioni ad AWS dovrebbero essere considerate innocue. Sono lì per fornire i servizi richiesti. Tuttavia, evidenzia la natura aperta dei dispositivi collegati. Una volta installata un'app, è possibile che invii tutti i dati raccolti a un malintenzionato, anche tramite un fornitore di servizi affidabile come Amazon. Android protegge da ciò in diversi modi, anche applicando autorizzazioni per le app e con servizi come Play Protect. Ecco perché le app a caricamento laterale possono essere molto pericolose.

OK, Google

Dal momento che PiNet mi ha permesso di catturare tutti i pacchetti di rete, volevo verificare se Google mi stesse segretamente spiando attivando il microfono sul mio Pixel 3 XL e inviando i dati a Google. Quando attivi Voice Match su Pixel 3 XL, ascolterà in modo permanente le frasi chiave "OK Google" o "Hey Google". L'ascolto in modo permanente suona per me pericoloso. Come ogni politico ti dirà, un microfono aperto è un pericolo da evitare a tutti i costi!

Il dispositivo è pensato per ascoltare localmente la frase chiave, senza connettersi a Internet. Se la frase chiave non viene ascoltata, non succede nulla. Una volta rilevata la frase chiave, il dispositivo invierà uno snippet ai server di Google per ricontrollare se si trattava di un falso positivo. Se tutto viene verificato, il dispositivo invia l'audio a Google in tempo reale fino a quando non viene compreso un comando o il timeout del dispositivo.

Questo è quello che ho visto.

Non c'è alcun traffico di rete, anche quando ho parlato direttamente al telefono. Nel momento in cui ho detto "Ehi Google", un flusso in tempo reale di traffico di rete è stato inviato a Google, fino a quando l'interazione non si è fermata. Ho provato a ingannare Pixel 3 XL con lievi variazioni della frase chiave come "Pray Google" o "Hey Goggle". Una volta sono riuscito a ottenerlo per inviare uno snippet a Google per un'ulteriore convalida, ma il dispositivo non ha ottenuto conferma e così L'assistente non si è attivato.

Cosa sa Google di me?

Google offre un servizio chiamato Takeout che ti consente di scaricare tutti i tuoi dati da Google, apparentemente in modo da poter migrare i tuoi dati ad altri servizi. Tuttavia, è anche un buon modo per vedere quali dati Google ha su di te. Se provi a scaricare tutto l'archivio risultante può essere enorme (forse più di 50 GB), ma includerà tutte le tue foto, tutti i tuoi video clip, tutti i file che hai salvato su Google Drive, tutto ciò che hai caricato su YouTube, tutte le tue e-mail , e così via. Per controllare la privacy, non ho bisogno di vedere quali foto ha Google, lo so già. Allo stesso modo, so quali e-mail ho, quali file ho su Google Drive e così via. Tuttavia, se escludo tali elementi multimediali ingombranti dal download e mi concentro su attività e metadati, il download può essere piuttosto piccolo.

Ho scaricato il mio Takeout di recente e ho dato un'occhiata in giro per vedere cosa Google sa di me. I dati arrivano come uno o più file .zip contenenti cartelle per ciascuna delle diverse aree, tra cui Chrome, Google Pay, Google Play Music, Le mie attività, Acquisti, Attività e così via.

Immergersi in ogni cartella mostra ciò che Google sa di te in quella zona. Ad esempio, c'è una copia dei miei segnalibri di Chrome e una copia delle playlist che ho creato su Google Play Music. All'inizio non c'era nulla di sorprendente. Mi aspettavo un elenco dei miei promemoria, dal momento che li ho creati utilizzando Google Assistant, quindi Google dovrebbe averne una copia. Ma ci sono state una o due sorprese, anche per qualcuno "esperto di tecnologia" come me.

La prima era una cartella di registrazioni MP3 di tutto ciò che avessi mai detto al mio. C'era anche un file HTML con una trascrizione di tutti quei comandi. Per chiarire, questi sono i comandi che ho dato all'Assistente Google dopo che è stato attivato con "Ehi Google". Ad essere sincero, non mi aspettavo che Google conservasse un file MP3 di tutti i miei comandi.OK, ho capito che c'è un certo valore ingegneristico nel poter verificare la qualità di Assistant, ma non credo che Google debba conservare questi file audio. È un po 'troppo

C'era anche un elenco di tutti gli articoli che ho mai letto su Google News, un record di ogni volta che ho giocato a Solitario e tutte le ricerche che ho fatto su Google Play Music risalgono a quasi cinque anni fa!

Si scopre che Google elabora tutte le tue e-mail in cerca di acquisti e ne crea una registrazione.

Quello che mi ha veramente scioccato era nella cartella Acquisti. Qui Google ha registrato tutti i miei acquisti online. L'articolo più antico risale al 2010, quando ho acquistato alcuni biglietti aerei. Il punto qui è che non ho acquistato questi biglietti o alcuno degli articoli tramite Google. Ho record di acquisto per articoli da Amazon, eBay e iTunes. Ci sono anche registrazioni di biglietti d'auguri che ho comprato.

Scavando più a fondo ho iniziato a trovare acquisti che non ho fatto! Dopo qualche grattata alla testa si scopre che questi record sono il risultato di Google che elabora le mie e-mail e indovina gli acquisti che ho fatto. Probabilmente hai visto questo soprattutto per quanto riguarda i voli. Se apri un'email da una compagnia aerea, Gmail inserisce in modo utile alcune informazioni di riepilogo sul tuo volo in una scheda speciale nella parte superiore del.

Si scopre che Google elabora tutte le tue e-mail in cerca di acquisti e ne crea una registrazione. Quando qualcuno ti inoltra un'email su qualcosa che ha acquistato, Google può persino inavvertitamente analizzarlo come un acquisto che hai effettuato!

Che dire di Facebook, Twitter e altri?

I social media e la privacy sono in qualche modo contraddittori. Come ha affermato Harold Finch nello show televisivo Person of Interest sui social media, “Il governo ha cercato di capirlo per anni. Si scopre che la maggior parte delle persone è stata felice di offrirsi volontariamente. ”Con i social media, pubblichiamo volentieri informazioni tra cui compleanni, nomi, amici, colleghi, foto, interessi, liste dei desideri e aspirazioni. Quindi, dopo aver pubblicato tutte queste informazioni, siamo scioccati quando vengono utilizzati in modi che non intendevamo. Mentre un altro personaggio famoso diceva di una sala da gioco ha frequentato: "Sono scioccato, scioccato nello scoprire che il gioco sta succedendo qui!"

Tutti i grandi siti di social media, inclusi Facebook e Twitter, hanno politiche sulla privacy e sono abbastanza ampi in ciò che coprono. Ecco un frammento della politica di Twitter:

"Oltre alle informazioni che condividi con noi, utilizziamo i tuoi tweet, i contenuti che hai letto, apprezzato o ritwittato e altre informazioni per determinare quali argomenti ti interessano, la tua età, le lingue che parli e altri segnali per mostrarti contenuti più pertinenti. "

Quindi, il tuo dispositivo si connette a Twitter e consente a Twitter di determinare cose come la tua età, la lingua che parli e quali cose ti interessano? Sicuro.

Ti profila - e tu lo lasci fare.

Ecco la domanda chiave: se non avessi uno smartphone, ciò impedirebbe alle entità di spiarmi se lo volessero?

Potenziale vs reale

Il problema più grande con i dispositivi connessi e le entità online non è quello che stanno facendo, ma quello che potrebbero fare. Ho usato intenzionalmente la frase "entità" perché i pericoli legati alla sorveglianza di massa, allo spionaggio e alla profilazione non riguardano solo Google o Facebook. Ignorando i veri errori del software (bug) e i modelli di business standard delle grandi aziende online, è abbastanza sicuro dire che Google non ti sta spiando. Né è Facebook. Né è il governo. Ciò non significa che non possano - o non lo faranno.

Qualche hacker o spia del governo da qualche parte sta attivando il microfono del tuo telefono per ascoltarti? No, ma potevano. Come abbiamo visto di recente con gli eventi che circondano l'omicidio di Jamal Khashoggi, le entità possono indurti a installare un'app che ti spia. Aziende come Zerodium vendono vulnerabilità zero-day ai governi, che potrebbero consentire l'installazione di app dannose (come Pegasus) sul tuo dispositivo a tua insaputa.

Ho visto attività simili con i miei dispositivi? No, ma non sono un probabile obiettivo per tale sorveglianza e scolarizzazione. Potrebbe ancora succedere a qualcun altro.

Ecco la domanda chiave: se non avessi uno smartphone, ciò impedirebbe alle entità di spiarmi se lo volessero?

Prima del lancio degli smartphone, tutti i principali governi del mondo erano già coinvolti nello spionaggio e nella sorveglianza. La seconda guerra mondiale fu probabilmente vinta rompendo il codice Enigma e ottenendo l'accesso all'intelligenza che nascondeva. Gli smartphone non sono da biasimare, ma ora c'è una superficie di attacco più ampia - in altre parole, ci sono più modi per spiarti.

Incartare

Dopo i miei test, sono sicuro che nessuno dei dispositivi che ho usato stia facendo qualcosa di insolito o malevolo. Tuttavia, il problema della privacy è più ampio di un semplice dispositivo che non è intenzionalmente dannoso. Le pratiche commerciali di aziende come Google, Facebook e Twitter sono altamente discutibili e spesso sembrano spingere i confini della privacy.

Per quanto riguarda lo spionaggio, non c'è nessun furgone bianco parcheggiato fuori da casa a guardare i miei movimenti e puntare un microfono direzionale verso le mie finestre. Ho appena controllato. Nessuno sta hackerando il mio telefono. Ciò non significa che non possano.