Загальновідомо, що сучасні автомобілі – це в основному смартфони на колесах. І так само, як мобільний телефон у вашій кишені, автомобіль на під’їзді збирає величезну кількість даних, які відстежують, куди ви їдете, як сильно ви прискорюєтеся, як сильно гальмуєте, скільки повертаєте тощо.

Законність цього збору даних залишається гострою дискусією. Минулого року Федеральна торгова комісія покарала General Motors за незаконний збір і продаж даних про точне місцезнаходження та поведінку водія без інформованої згоди. Інші автовиробники, включаючи Ford і Honda, були оштрафовані на невеликі суми за те, що клієнтам було занадто важко відмовитися. Оглядачі галузі вже давно підозрюють, що інші автовиробники роблять подібні речі, але до цього часу ця практика не була систематично досліджена.

Цього тижня дослідники Північно-східного університету ім звіт споживачаопублікував детальне дослідження поведінки конфіденційності підключених автомобілів. Використовуючи приблизно 20 транспортних засобів, CRВикористовуючи тестові автомобілі, команда намагалася відповісти на важливе питання: які транспортні засоби передають дані. Хто його отримає? Чи перетинає він кордони? І яка особиста інформація насправді розкривається?

Девід Чоффнс, керівник проекту та колишній директор Північно-східного Інституту кібербезпеки та конфіденційності, сказав, що мета полягала в тому, щоб розкрити величезний масштаб сучасного відстеження даних про транспортні засоби та підкреслити, наскільки мало видимості та контролю власників над ними.

«Суть у тому, що є про що хвилюватися», — сказав Чоффнес в інтерв’ю.

Щоб отримати повну картину, дослідники проаналізували 21 автомобіль останньої моделі від 19 брендів, які зараз продаються в США, а також 30 супутніх мобільних додатків, пов’язаних з активними автомобілями.

«Я вважаю, що головне в тому, що є про що хвилюватися».

— Девід Чоффнс

Для трафіку, який надсилається безпосередньо з автомобіля, команда визначила цільові домени, які включали різні сторонні компанії відстеження, але не змогли розшифрувати зашифровані дані корисного навантаження, не зламавши транспортний засіб.

Виявляється, перехопити трафік Wi-Fi порівняно легко. Дослідники розмістили Raspberry Pi в кожній машині, підключившись до Wi-Fi автомобіля, одночасно направляючи Інтернет через мобільну точку доступу. Це налаштування дозволяє контролювати вихідний трафік Wi-Fi під час руху автомобіля.

Захоплення мобільного трафіку вимагало більш творчого підходу. Щоб уникнути розгортання несанкціонованих веж стільникового зв’язку, які можуть заважати публічним мережам, команда побудувала намет Фарадея розміром з автомобіль. Намет заблокував усі передачі сигналу між автомобілем і зовнішніми стільниковими вежами, змушуючи транспортний засіб покладатися на контрольоване з’єднання Wi-Fi.

Результати були очевидними: усі 21 транспортні засоби надсилали дані через Wi-Fi принаймні на один домен третьої сторони. Більше половини контактували з доменами, призначеними для реклами, відстеження або аналітики (ATA). Такі компанії, як Adobe, LexisNexis і Amplitude, збирають інформацію про ваш транспортний засіб і поведінку за кермом, щоб продати його страховим компаніям або націлити рекламу.

Транспортні засоби з розширеними інформаційно-розважальними системами, особливо ті, що працюють під управлінням ОС Google Android Automotive і Google Automotive Services, відвідували більшість сторонніх доменів. Чоффнс зазначив, що вибір програмної платформи автовиробником безпосередньо впливає на кількість даних, які надходять до третіх сторін. Наприклад, платформа Google містить вбудовані процедури для спілкування як із власними службами Google, так і з зовнішніми об’єктами.

«Багато відстеження також можна побачити через програми, вбудовані в автомобіль», — сказав Чоффнес. «Тож тепер автомобіль по суті перетворюється на глобальний смартфон».

Мобільні програми також представляють небезпечні вектори. Команда виявила, що сім додатків-супутників – HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick і myGMC – надсилають конфіденційну інформацію, таку як ідентифікаційні номери транспортних засобів (VIN), номери телефонів і інформацію про точне місцезнаходження безпосередньо в рекламні мережі. Понад 70% перевірених додатків-супутників підключалися принаймні до 5 унікальних доменів ATA.

Дослідники особливо обережно ставляться до поєднання VIN-коду транспортного засобу та особистих даних, які можна ідентифікувати, що дозволяє брокерам даних створювати детальну документацію про окремих водіїв.

«Ми думаємо: «О, онлайн-компанії можуть відстежувати, що ви робите в Інтернеті, але якщо ви в машині, вони відстежують, у якій машині ви?», — каже Чоффнес. «І тепер ми знаємо, що це насправді можливо. І вони надходять до компаній, з якими більшість споживачів, ймовірно, не мають стосунків або ніколи навіть не чули про них».

Автовиробники неоднозначно відреагували на ці висновки. Деякі захищали свої дії як такі, що відповідають закону, тоді як інші визнавали вразливі місця та видавали виправлення для програмного забезпечення. Наприклад, після того, як компанія Honda отримала висновки північно-східної групи, вона вимагала від постачальника аналітичних засобів Amplitude оновити свій додаток HondaLink, щоб видалити всі зібрані дані про місцезнаходження та припинити надсилання інформації про геолокацію.

Чоффнес вважає, що більша проблема полягає в тому, що споживачі погано розуміють, на що вони погоджуються, коли купують підключений автомобіль або налаштовують додаток. Більшість водіїв не сидять на автостоянці автосалону і не читають товсту політику конфіденційності на маленькому екрані приладової панелі, перш ніж погодитися з умовами.

“Я не думаю, що це додає нам великої впевненості”, – сказав Чоффнес. «Я думаю, що автовиробникам варто відновити цю довіру, і один із способів зробити це — бути більш прозорими та допомогти споживачам уникнути збору даних про їхні автомобілі після того, як вони зроблять дуже дорогі покупки, не відмовляючись або більш чітко погоджуючись».

Слідкуйте за темами та авторами Переглядайте більше подібних історій у вашій персональній стрічці домашньої сторінки та отримуйте оновлення електронною поштою.