Telefony Lenovo dzwonią do centrali czy tego chcesz, czy nie

dodał 30 września 2014 o 23:01 w kategorii Prywatność  z tagami: • •
Telefony Lenovo dzwonią do centrali czy tego chcesz, czy nie

Pokusa zbierania informacji o zachowaniu użytkowników danego produktu musi być wielka. W Lenovo okazała się tak duża, że mimo wyłączenia opcji raportowania wydarzeń do centrali, telefon nadal je przesyła.

Czasem zabawa z serwerem proxy może dostarczyć wiele rozrywki i pomóc dokonać ciekawych odkryć. Przekonał się o tym nasz rodak, autor bloga ximral.wordpress.com, który odkrył, że jego telefon zachowuje się niezgodnie z jego poleceniami i zgłasza centrali informacje o zachowaniu użytkownika. Problem dotyczy nie tylko posiadaczy telefonów Lenovo.

Podejrzana komunikacja

Autor odkrycia postanowił przepuścić ruch swojego telefonu Lenovo A820 przez serwer proxy i sprawdzić, co urządzenie wysyła do sieci. Oprócz zwykłej komunikacji Google natrafił na żądania HTTP, które wzbudziły jego wątpliwości. Wyglądały one tak:

Podejrzane żądania

Podejrzane żądania

Domena lenovomm.com wygląda na zarejestrowaną faktycznie przez Lenovo. Co zatem jest wysyłane do centrali? Treść żądania POST wyglądała następująco:

ctx=1.9.2!0!RT3N00LZP3B8!null!34f026042e4ea305!417780254
!540×960!1999422605!1408440981081!1411986938695!1411986940362
!1411987204942!73!2!sn!0123456789ABCDEF!bu!!
&evt=LeLauncher!L02!com.lenovo.ideatool!1!

Można tam znaleźć:

  • Wersję (?): ctx=1.9.2
  • Unikatowy identyfikator : 34f026042e4ea305
  • Rozdzielczość ekranu: 540×960
  • Znacznik czasowy: 1411986940362 = 29 wrzesnia 2014 13:01:29 GMT
  • Numer seryjny telefonu:  0123456789ABCDEF (zmieniony przez autora wpisu)
  • Rodzaj wydarzenia: evt=LeLauncher!L02!com.lenovo.ideatool

Zgody nie mamy, ale zadzwonimy

Okazało się, że żądania wysyła firmowa nakładka interfejsu użytkownika, IdeaDesktop. Co najciekawsze, w opcjach IdeaDesktop można zaznaczyć, czy wyraża się zgodę na przesyłanie informacji do centrali. Autor odkrycia zgody nie wyraził, a mimo to wiele wydarzeń powodowało komunikację z centralą. Seria eksperymentów pozwoliła ustalić, że raportowane są następujące zdarzenia:

  • Uruchomienie telefonu : __INITIAL__!initial!!0! and __INITIAL__!upload!test!0!
  • Instalowanie aplikacji : LeLauncher!L01!APP_BASENAME!1!
  • Usunięcie aplikacji : LeLauncher!L02!APP_BASENAME!1!
  • Wyszukiwanie aplikacji : LeLauncher!L26!SearchQuery!1!
  • Dodanie elementu do pulpitu : LeLauncher!L10!!1!
  • Zmiana tapety: LeLauncher!L11!!1!
  • Zmiana wyglądu : LeLauncher!L12!!1!
  • I prawdopodobnie także inne funkcje

Nie dość, że żądania wysyłane są bez respektowania ustawień aplikacji, wszystkie przesyłane są przez HTTP, umożliwiając ich podsłuchanie.

Nie tylko Lenovo

Na ślady podobnego zachowania można trafić na przykład w aplikacji Lenovo SHAREit czy też w innych modelach tego samego producenta. Trzeba jednak zwrócić uwagę, że z programu IdeaDesktop mogą korzystać także użytkownicy telefonów innych producentów – co prawda nie jest to najpopularniejszy interfejs, ale ma swoich zwolenników. Zarówno posiadaczom Lenovo jak i miłośnikom IdeaDesktop spod znaku innych marek proponujemy szybką migrację do rozwiązań dających więcej prywatności.

Aktualizacja 2014-10-01 13:00
Jak zwrócił uwagę Wykopowicz cabis, 9 miesięcy temu podobny wątek był poruszony na Reddicie. Wówczas inny użytkownik ustalił, że do domu dzwonią wszystkie aplikacje Lenovo – kontakty, dialer, nawet aplikacja do ustawień baterii.

Podobne wpisy