Кибербезопасность: в конфиденциальности домашних роутеров обнаружена серьезная «слепая зона»

Аналитики международного исследовательского центра Кйберневс изучили политику конфиденциальности 25 крупнейших производителей домашних роутеров на рынке США и столкнулись с неожиданной проблемой. Выяснилось, что, хотя технологические бренды подробно описывают, как они собирают личные данные пользователей, они часто умалчивают или предоставляют расплывчатую информацию о том, какие именно сведения собирают сами устройства. Отсутствие прозрачности в таких устройствах, являющихся основными шлюзами для всех данных, проходящих через домашнюю сеть, вызывает беспокойство у экспертов по цифровой безопасности. Об этом сообщает Иксбт.ком.

Стоит отметить, что, согласно данным иксбт.ком, данное исследование не проверяло фактическую техническую деятельность устройств, то есть сетевой трафик, прошивку или поведение оборудования на практике. Эксперты оценивали только публичные юридические документы и политику конфиденциальности производителей. Основная проблема заключается в том, что большинство брендов не составляют отдельные документы для роутеров. Вместо них применяются единые общие правила, предназначенные для интернет-магазинов, мобильных приложений, облачных сервисов, камер наблюдения и устройств умного дома.

ДНС-запросы и интернет-трафик остаются в секрете

Одним из самых примечательных результатов исследования является ситуация с ДНС-запросами. Ни один из 25 проанализированных производителей прямо не указал, фиксирует ли его роутер обращения пользователя к доменным именам. Хотя ДНС-трафик не раскрывает точное содержание веб-страниц, история обращений к доменам способна многое рассказать о привычках, интересах и активности пользователя.

Такая же неопределенность царит и в вопросе анализа интернет-трафика. Документы 20 компаний не дают четкого ответа на вопрос об использовании технологии Дип Пакет Инспектион (ДПИ):

• Google Nest и Убикуити Cloud открыто заявили, что такой анализ не применяется.
• Amazon Иро, МСИ Радикс и АТ&Т Турбо Хотспот не исключают возможность использования этой технологии в определенных конфигурациях.

Однако процесс сбора простых личных данных, таких как адрес электронной почты или имя учетной записи, описан в документах гораздо подробнее. 84% компаний заявили, что собирают е-маил, а почти половина указала, что напрямую получает данные четырех категорий: имя, электронную почту, номер телефона и почтовый адрес.

Геолокация и результаты оценки

Исследователи также уделили особое внимание данным о точной геолокации устройства и окружающих Wi-Fi сетях. Семь компаний заявили, что разрешают определять точное местоположение устройства, а еще шесть сообщили, что делают это при определенных условиях. Идентификаторы близлежащих точек доступа Wi-Fi (ССИД и БССИД), которые могут помочь в определении физического местоположения, упомянули только Д-Линк и Amazon Иро.

Для оценки уровня сомнений и неопределенности Кйберневс присвоил каждому бренду балл по шкале от 0 до 66. Согласно результатам, самые высокие баллы получили Д-Линк (56), Омада / ТП-Линк (55), Amazon Иро (53), а также Xiaomi Mesh, Вйзе и Кудй (по 52 балла каждый). Самые низкие показатели оказались у брендов Asus (34), МСИ Радикс (38) и Google Nest (39).

Эксперты подчеркивают, что этот рейтинг оценивает не самые конфиденциальные роутеры, а уровень прозрачности юридических документов компаний. Однако для устройств, через которые проходит весь трафик домашней сети, такая правовая неопределенность вызывает серьезные вопросы относительно безопасности частной жизни обычных пользователей.