Ychydig ddyddiau yn ôl, postiodd Forbes stori fawr am sut roedd Xiaomi yn casglu data porwr, gan gynnwys URLau yr ymwelodd defnyddwyr Mi â nhw. Er bod casglu data yn gyffredin ymhlith y mwyafrif o borwyr ar y farchnad heddiw, mae'r adroddiad yn tynnu sylw at y ffaith bod termau chwilio ac URLau yn cael eu tracio hyd yn oed mewn modd porwr caeedig o'r enw incognito.
Yn gynharach heddiw, fe bostiodd Xiaomi flog mewn ymateb i'r stori hon, gan egluro ei ochr ef o'r stori. Gallwch ddarllen eu hateb swyddogol o yma.
Er mwyn deall yn well yr hyn sy'n digwydd yn y stori hon, rwyf wedi crynhoi'r holl daliadau a'r atebion i bob un ohonynt. Fe wnes i ychwanegu hefyd yr hyn oedd gan yr ymchwilydd Andrew Tierney i'w ddweud am bob un o'r atebion.
Darganfyddwch 1:
Gabriel Kirlig (ef oedd y cyntaf i ddod o hyd i hyn a'i egluro ynddo Straeon Forbes) darganfod bod Mi Browser a Porwr Bathdy Xiaomi yn olrhain pob gwefan yr ymwelodd y defnyddiwr Mi â hi, gan gynnwys chwiliadau Google a Google. Hwyaden DuckGo. Roedd olrhain yn gyffredin hyd yn oed pan roddwyd y porwr yn y modd preifat neu incognito. Roedd y ffôn hefyd yn olrhain data defnydd a'i anfon yn ôl at weinyddion Xiaomi.
Ateb Xiaomi:
Mae Xiaomi yn caniatáu casglu data defnyddwyr fel "gwybodaeth system, dewisiadau, defnyddio nodweddion rhyngwyneb defnyddiwr, ymatebolrwydd, perfformiad, defnydd cof, ac adrodd am ddamweiniau."
Nid yw'n sôn yn benodol am dermau chwilio, ond mae'n ychwanegu ei fod yn casglu URLs - " Cesglir yr URL i nodi tudalennau gwe sy'n llwytho'n araf; mae'n rhoi syniad i ni o'r ffordd orau i wella perfformiad cyffredinol y porwr. "
Ychwanegodd Xiaomi hefyd ei fod yn casglu data pori dim ond pan fydd y defnyddiwr wedi mewngofnodi i'w gyfrif Mi a bod y gosodiad cysoni wedi'i alluogi.
Mae Xiaomi hefyd wedi cadarnhau ei fod yn casglu data ystadegau defnyddwyr hyd yn oed yn y modd incognito. Mae hyn yn syndod o ystyried bod URLs hefyd yn rhan o ddata ystadegau'r defnyddiwr (sy'n cael ei gadarnhau gan eu datganiad swyddogol).
Yn ychwanegol at y cyhoeddiad swyddogol Mi Blog, nododd Prif Swyddog Gweithredol Xiaomi India heddiw mewn fideo arbennig bod Xiaomi yn casglu'r data y mae defnyddwyr wedi cytuno iddo yn unig. Pwysleisiodd hefyd fod y data a gesglir yn y modd incognito yn "amgryptiedig ac yn anhysbys." Gallwch wylio'r fideo isod (mae rhai rhannau yn Hindi, ond eglurodd ef yn Saesneg hefyd).
Ateb yr ymchwilydd:
Wel, ni chafodd Andrew Tierney ei argyhoeddi gan ateb Xiaomi.
Yn gyntaf, heddiw, fe wnes i ac ychydig o bobl eraill ail-gadarnhau'r data a dderbyniwyd ar sawl dyfais. Nid oes amheuaeth bod porwr Bathdy yn cyflwyno termau chwilio ac URLau yn y modd Incognto.
- Cybergibbons (@cybergibbons) 1 мая 2020 г.
Er bod Xiaomi wedi gwadu casglu data defnyddwyr yn y modd incognito, rhyddhaodd Andrew fideo newydd ychydig funudau yn ôl yn dangos sut y casglodd Porwr Bathdy Xiaomi ddata defnyddiwr pwysig, hyd yn oed yn y modd preifat. Mae'n ddiddorol gweld yma bod gan y data a gasglwyd UUID (Dynodwr Unigryw yn Gyffredinol) nad yw'n newid am o leiaf 24 awr. Felly, gall defnyddiwr unigol olrhain y data a gesglir ac a anfonir at y gweinyddwyr.
Canfyddiad 2:
Anfonwyd data defnyddwyr Mi at weinyddion o bell mewn gwledydd fel Singapore a Rwsia, gyda pharthau gwe wedi'u cofrestru yn Beijing.
Ateb Xiaomi:
“Mae Xiaomi yn cynnal gwybodaeth seilwaith cwmwl cyhoeddus sy’n eang yn y diwydiant. Mae'r holl wybodaeth o'n gwasanaethau a'n defnyddwyr tramor yn cael ei storio ar weinyddion mewn gwahanol farchnadoedd tramor, lle mae deddfau a rheoliadau lleol ar ddiogelu data personol yn cael eu dilyn yn llym ac yr ydym yn cydymffurfio'n llawn â nhw. "
Dywedodd Prif Swyddog Gweithredol Xiaomi India hefyd yn ei fideo bod "Mae'r holl ddata gan ddefnyddwyr Mi yn India yn aros ar weinyddion Indiaidd."
Darganfyddwch 3:
Mae data defnyddwyr a anfonwyd at weinyddion wedi'i amgodio base64, sy'n hawdd ei olrhain. Fel hyn gellir darllen y data, o leiaf ar ochr y cleient.
Ateb Xiaomi:
Wel, nid yw Xiaomi wedi cyffwrdd â'r mater hwn ar ei flog mewn gwirionedd. Soniodd fod y data a anfonir yn cael ei amgryptio gan ddefnyddio amgryptio TLS 1.2. Felly, ni ellir rhyng-gipio'r data a drosglwyddir. Ond ni siaradodd y cwmni am base64 yn amgodio'r data ar ochr y cleient.
Mae'r ddelwedd hon, a ddarperir gan Xiaomi, yn dangos bod y data ystadegau defnydd yn cael ei drosglwyddo gan ddefnyddio protocol amgryptio TLS 1.2 HTTPS.
Ateb yr ymchwilydd:
O wel, dyna TLS 1.2. Ni all o leiaf ryw un ar hap ei ryng-gipio.
Nid wyf yn credu y trafodwyd hyn erioed. Amgryptio trafnidiaeth yw hwn i'r gweinyddwyr, ni chydsyniais i anfon data. pic.twitter.com/sENH5OhEzN
- Cybergibbons (@cybergibbons) 1 мая 2020 г.
Canfyddiad 4:
Nid oedd y data defnyddwyr a gasglwyd yn anhysbys. Mae Gabi ac ymchwilwyr eraill wedi darganfod y gellir o bosibl adnabod data defnyddiwr a anfonir at weinyddion Xiaomi i ddefnyddiwr penodol oherwydd bod ganddo UUID (dynodwr unigryw yn gyffredinol).
Ateb Xiaomi:
"Mae'r screenshot hwn yn dangos y cod ar gyfer sut rydym yn cynhyrchu tocynnau unigryw a gynhyrchir ar hap i'w hychwanegu at ystadegau defnydd cyfanredol, ac nid yw'r tocynnau hyn yn cyfateb i unrhyw berson."
Ateb yr ymchwilydd:
Wel, dangosodd fideo demo Andrew fod UUID arbennig wedi'i neilltuo ar gyfer ei ddata a gasglwyd gan y porwr ar gyfer yr holl ddata a anfonwyd dros 24 awr. Ni chafodd ei argyhoeddi gan y ddelwedd a ddefnyddiodd Xiaomi i ddangos bod y data yn anhysbys.
Mae gen i ddiddordeb arbennig gan mai hwn yw'r cod ôl-obfuscated - cb, ac ati. Yn dangos nad yw hon yn ffynhonnell amrwd.
Pam mae hyn?
Ond yn bwysicach fyth, nid yw galw UUID yn "ddienw" yn ei gwneud yn anhysbys.
- Cybergibbons (@cybergibbons) 1 мая 2020 г.
Ein cymryd:
Mae bron pob porwr yn y byd yn casglu data defnyddwyr. Efallai y bydd rhai yn cyfyngu hyn i riportio damweiniau, tra gall porwyr eraill fod ychydig yn fwy ymledol ac yn casglu data defnydd.
Er nad ydym yn siŵr faint mae porwyr data fel Google Chrome a Firefox yn ei gasglu, rydym yn gwybod nad yw casglu termau chwilio ac URLau, hyd yn oed yn y modd incognito, yn normal.
Mae modd gweld arbennig neu fodd incognito yn bodoli'n benodol er mwyn osgoi cael eich olrhain. Ac mae fideo demo Andrew yn dangos yn glir faint o ddata sy'n cael ei anfon yn ôl i weinyddion Xiaomi, gan gynnwys chwiliadau ac URLau incognito. Mae Xiaomi yn honni bod y data hwn yn ddienw (ar ochr y gweinydd o bosibl), ond dylent fynd allan ac esbonio'r broses yn fanwl.
Mae datganiadau swyddogol Xiaomi yn pwysleisio mai dim ond data y mae'r defnyddiwr wedi cytuno iddo y maen nhw'n casglu. Felly, mae angen i'r cwmni hefyd egluro a yw eu polisïau preifatrwydd a chasglu data yn cynnwys casglu termau chwilio a data defnyddwyr eraill, hyd yn oed yn y modd incognito.
Enwch yr adroddiad hwn newyddion ffug - nid yr ateb gorau. Rhaid i Xiaomi ddod ymlaen a gwrthbrofi canfyddiadau pob un o'r ddau ymchwilydd. Os na all Xiaomi wneud hyn, dylai'r cwmni egluro a diwygio ei bolisi casglu data cyn gynted â phosibl.
