Любопытная информация появилась на днях в Сети — специалисты компании Nitrokey, которая занимается аппаратными решениями в сфере кибербезопасности, выявили в платформах Qualcomm недокументированную функциональность, которая отправляет ряд данных со смартфонов на серверы Qualcomm без участия операционной системы.
В рамках эксперимента на смартфон Sony Xperia XA2 с чипом Snapdragon 630 на борту была установлена чистая ОС Android, а тесты проводили без установленной SIM-карты, но с включенным модулем Wi-Fi. Трафик контролировался приложением Wireshark, отслеживающим утечки данных, которое показало, что смартфон даже без установленных мобильных сервисов Google пытается связаться с различными серверами.
В числе прочих попыток устройство подключилось к серверу izatcloud.net, который принадлежит никому иному, как чипмейкеру Qualcomm, хотя в исходном коде Android данный домен найти не удалось. То есть, причина такого поведения заключается именно в однокристальных системах Qualcomm.
Причём проблема достаточно глобальная — передача данных на Izat Cloud идёт по незащищённому протоколу HTTP без какого-либо шифрования, что подразумевает возможность доступа к ним буквально всем желающим. Кроме того, на чипах Qualcomm построено порядка 30% смартфонов на Android, а некоторые модели iPhone оснащаются модемами разработки американской программы.
В самой Qualcomm по этому поводу сообщили, что передача данных осуществляется в соответствии с политикой конфиденциальности XTRA Service Privacy Policy, согласно которой разработчик может собирать уникальные идентификаторы смартфонов, модели чипсетов, серийные номера чипов, версии ПО XTRA (по сути, представляет собой отдельную операционную систему, независимую от Android), мобильные коды стран, коды мобильной сети.
Кроме того, сам сервис XTRA, по всей видимости, имеет самое непосредственное отношение к системе позиционирования A-GPS, что обеспечивает ему доступ к данным по местоположению пользователя.
То есть, компания Qualcomm считает, что подобный сбор данных на смартфонах вполне себе законный и никак не противоречит публичной политике конфиденциальности компании.
Это другое, понимать нужно! 😎