पता चला कि Bluetooth car battery monitor location data चुरा रहा है

 (doubleagent.net)
2 पॉइंट द्वारा GN⁺ 2023-06-27 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • Bluetooth फीचर वाले car battery monitor बैटरी voltage रिकॉर्ड करते हैं और GPS coordinates, मोबाइल base station data तथा पास के Wi‑Fi beacons इकट्ठा करके उन्हें Hong Kong और mainland China के servers पर भेजते हैं.
  • Android app में hardware device इस्तेमाल करने के लिए location permission चाहिए, इसलिए product का उपयोग करने के लिए users को लगातार अपनी physical location किसी third party तक broadcast करनी पड़ती है.
  • App Store में यह लिखा है कि कोई personal information collect या share नहीं की जाती, जिससे consumers गुमराह हो रहे हैं.
  • Car battery monitor application के पास user location track करने का कोई उचित कारण नहीं है, इसलिए यह गंभीर privacy concerns उठाता है.
  • केवल Android पर ही इस product के 100,000 से अधिक downloads हैं.
  • इस्तेमाल की गई embedded library AMap, China के प्रमुख digital map providers में से एक है और व्यापक data collection में आंशिक योगदान देती है.
  • AMap SDK GPS coordinates, पास के मोबाइल base stations का location data और Wi‑Fi access points इकट्ठा करता है; श्रृंखला के भाग 2 में लेखक यह देखते हैं कि AMap यह data कैसे collect करता है.
  • Hardware साधारण है और इसे smartphone के साथ pair करना पड़ता है; आवश्यक application background में चलती रहती है और smartphone को location scanning device में बदल देती है.
  • Android application को location information पाने के लिए location permission चाहिए, और iOS version भी remote servers को location data भेजता है.
  • Network traffic intercept करने के लिए Mitmproxy का उपयोग किया जाता है, और dynamic analysis तथा memory analysis के लिए Frida का इस्तेमाल होता है.
  • App को qihoo.util नामक commercial software packer से pack किया गया है, जिससे APK में Java bytecode को सीधे decrypt करना कठिन हो जाता है.

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2023-06-27
Hacker News की राय
  • Google Play पर 1 लाख से अधिक डाउनलोड वाला एक Bluetooth car battery monitor app GPS, मोबाइल बेस स्टेशन cell ID, और Wifi beacon data को Hong Kong और mainland China के सर्वरों पर भेज रहा है।
  • यह app दावा करता है कि यह personal data इकट्ठा नहीं करता या third party को नहीं भेजता, लेकिन यह सच नहीं है।
  • उपयोगकर्ताओं को startup पर या background में app को रोक पाने में सक्षम होना चाहिए, और operating system को internet access को ऐसी permission बनाना चाहिए जिसे उपयोगकर्ता मंज़ूर या रद्द कर सकें।
  • Android में ऐसी सुविधा की ज़रूरत है जो असली डिवाइस पर fake GPS data दे सके, ताकि app अनावश्यक location data इकट्ठा न कर सके।
  • केवल China ही नहीं, सभी डिवाइस बड़ी मात्रा में data इकट्ठा और transmit कर सकते हैं।
  • U.S. government को national security कारणों से इस तरह के डिवाइसों पर कार्रवाई करनी चाहिए।
  • battery management के लिए Victron का Android mobile app जैसे दूसरे app भी location data इकट्ठा करते हैं।
  • पाठक connected devices के apps की reverse engineering के बारे में सीख सकते हैं।