Inhoud

• Opstelling
• Wat ik zag
• advertenties
• Amazon AWS
• Oke Google
• Wat weet Google over mij?
• Hoe zit het met Facebook, Twitter en anderen?
• Potentieel versus werkelijk
• Afronden

Digitale privacy is een hot topic. We zijn een tijdperk ingegaan waarin bijna iedereen een verbonden apparaat bij zich heeft. Iedereen heeft een camera. Veel van onze dagelijkse activiteiten - van het rijden met de bus tot toegang tot onze bankrekeningen - worden online gedaan. De vraag rijst, "wie houdt al die gegevens bij?"

Enkele van 's werelds grootste technologiebedrijven onderzoeken nauwgezet hoe zij onze gegevens gebruiken. Wat weet Google over u? Is Facebook transparant over hoe het met uw gegevens omgaat? Bespioneert Huawei ons?

Om een ​​aantal van deze vragen te beantwoorden, heb ik een speciaal wifi-netwerk gecreëerd waarmee ik elk gegevenspakket kan vastleggen dat van een smartphone naar internet wordt verzonden. Ik wilde zien of mijn apparaten stiekem gegevens naar externe servers stuurden zonder mijn medeweten. Bespioneert mijn telefoon mij?

Opstelling

Om alle gegevens van mijn smartphone heen en weer te vangen, had ik een privénetwerk nodig, een netwerk waar ik de baas ben, waar ik root ben, waar ik admin ben. Zodra ik volledige controle over het netwerk heb, kan ik alles controleren wat binnen en buiten het netwerk gaat. Om dit te doen, heb ik een Raspberry Pi opgezet als een wifi-toegangspunt. Ik noemde het fantasierijk PiNet. Vervolgens heb ik de geteste smartphone verbonden met PiNet en mobiele gegevens uitgeschakeld (om er zeker van te zijn dat ik al het verkeer krijg). Op dit moment was de smartphone verbonden met de Raspberry Pi maar verder niets. De volgende stap is het configureren van de Pi om alle verkeer dat naar buiten komt naar internet door te sturen. Dit is de reden waarom de Pi zo'n geweldig apparaat is, omdat veel modellen zowel wifi als Ethernet aan boord hebben. Ik heb het Ethernet op mijn router aangesloten en nu moet alles wat de smartphone verzendt en ontvangt via de Raspberry Pi stromen.

Er zijn veel netwerkanalysetools en een van de meest populaire is WireShark. Het maakt real-time opname en verwerking mogelijk van elk datapakket dat over een netwerk vliegt. Met mijn Pi tussen mijn smartphones en internet gebruikte ik WireShark om alle gegevens vast te leggen. Eenmaal gevangen, kon ik het op mijn gemak analyseren. Het voordeel van de methode "Nu vastleggen, later vragen stellen" is dat ik de installatie 's nachts kan laten draaien en kijken welke geheimen mijn smartphone midden in de nacht onthult!

Ik heb vier apparaten getest:

• Huawei Mate 8
• Pixel 3 XL
• OnePlus 6T
• Galaxy Note 9

Wat ik zag

Het eerste wat me opviel was dat onze smartphones met Google praatten veel. Ik denk dat dat me niet zou moeten verbazen - het hele Android-ecosysteem is gebouwd rond de services van Google - maar het was interessant om te zien hoe toen ik een apparaat uit de slaapstand wekte, het zich afsnelt en je Gmail en de huidige netwerktijd controleert (via NTP) en een heleboel andere dingen. Ik was ook verrast door hoeveel domeinnamen Google bezit. Ik verwachtte dat alle servers dat zouden zijn something.whatever.google.com, maar Google heeft domeinen met namen als 1e100.net (wat volgens mij een verwijzing is naar een Googolplex), gstatic.com, crashlytics.com, enzovoort.

Ik heb elk domein en elk IP-adres gecontroleerd en geverifieerd waarmee de testapparaten contact hebben opgenomen om er zeker van te zijn dat ik wist met wie mijn smartphone praatte.

Naast praten met Google, lijken onze smartphones behoorlijk zorgeloze sociale vlinders en hebben ze een brede vriendenkring. Deze zijn natuurlijk rechtstreeks evenredig met hoeveel apps je hebt geïnstalleerd. Als je WhatsApp en Twitter hebt geïnstalleerd, raad eens, je apparaat maakt regelmatig contact met de servers van WhatsApp en Twitter!

Heb ik snode connecties gezien met servers in China, Rusland of Noord-Korea? Nee.

advertenties

Iets wat uw smartphone vaak doet, is verbinding maken met Content Delivery Networks om advertenties te krijgen. Nogmaals, op welke netwerken het wordt aangesloten en hoeveel, hangt af van de apps die u installeert. De meeste door advertenties ondersteunde apps gebruiken bibliotheken die door het advertentienetwerk worden geleverd, wat betekent dat de app-ontwikkelaar weinig of geen kennis heeft van hoe de advertenties daadwerkelijk worden weergegeven of welke gegevens naar het advertentienetwerk worden verzonden. De meest voorkomende advertentieproviders die ik zag, waren Doubleclick en Akamai.

Qua privacy kunnen deze advertentiebibliotheken een controversieel onderwerp zijn, omdat een app-ontwikkelaar erop vertrouwt dat het platform het juiste doet met de gegevens en alleen verzendt wat strikt nodig is om de advertenties weer te geven. We hebben allemaal gezien hoe betrouwbaar advertentieplatforms zijn tijdens ons dagelijks gebruik van internet. Pop-ups, pop-unders, automatisch afspelen van video's, ongepaste advertenties, advertenties die het hele scherm overnemen - de lijst gaat maar door. Als advertenties niet zo opdringerig waren, zouden er nooit adblockers zijn.

Amazon AWS

Ik zag behoorlijk wat netwerkactiviteit met betrekking tot Amazon's Web Services (AWS). Als een belangrijke cloud-serverprovider is Amazon vaak de logische keuze voor app-ontwikkelaars die databases en andere verwerkingsmogelijkheden op een server nodig hebben, maar hun eigen fysieke servers niet willen behouden.

Over het algemeen moeten verbindingen met AWS als onschadelijk worden beschouwd. Ze zijn er om de door u gevraagde services te leveren. Het benadrukt echter het open karakter van verbonden apparaten. Zodra u een app installeert, bestaat de mogelijkheid dat deze alle verzamelde gegevens naar een verkeerde persoon verzendt, zelfs via een gerenommeerde serviceprovider zoals Amazon. Android beschermt dit op verschillende manieren, onder meer door machtigingen af ​​te dwingen op apps en met services zoals Play Protect. Dit is de reden waarom apps die aan de zijkant worden geladen erg gevaarlijk kunnen zijn.

Oke Google

Omdat PiNet me in staat stelde elk netwerkpakket vast te leggen, wilde ik graag kijken of Google me in het geheim bespioneerde door de microfoon op mijn Pixel 3 XL te activeren en de gegevens naar Google te verzenden. Wanneer u Voice Match op de Pixel 3 XL activeert, luistert deze permanent naar de trefwoorden "OK Google" of "Hey Google". Luisteren klinkt permanent gevaarlijk voor mij. Zoals elke politicus je zal vertellen, is een open microfoon koste wat kost te vermijden!

Het apparaat is bedoeld om lokaal naar de sleutelzin te luisteren, zonder verbinding te maken met internet. Als de sleutelzin niet wordt gehoord, gebeurt er niets. Nadat de sleutelzin is gedetecteerd, stuurt het apparaat een fragment naar de servers van Google om te controleren of het een vals positief is. Als alles uitcheckt, stuurt het apparaat audio in realtime naar Google totdat een opdracht wordt begrepen of een time-out optreedt voor het apparaat.

Dat is wat ik zag.

Er is helemaal geen netwerkverkeer, zelfs niet als ik direct aan de telefoon sprak. Op het moment dat ik 'Hey Google' zei, werd een realtime stroom netwerkverkeer naar Google verzonden, totdat de interactie stopte. Ik probeerde de Pixel 3 XL te bedriegen met kleine variaties van de sleutelzin zoals "Bid Google" of "Hey Goggle". Toen het me eenmaal lukte om een ​​fragment naar Google te sturen voor verdere validatie, maar het apparaat kreeg geen bevestiging en zo Assistent is niet geactiveerd.

Wat weet Google over mij?

Google biedt een service genaamd Takeout waarmee u al uw gegevens van Google kunt downloaden, ogenschijnlijk zodat u uw gegevens naar andere services kunt migreren. Het is echter ook een goede manier om te zien welke gegevens Google over u heeft. Als je alles probeert te downloaden, kan het resulterende archief enorm zijn (misschien meer dan 50 GB), maar dat omvat al je foto's, al je videoclips, elk bestand dat je hebt opgeslagen op Google Drive, alles wat je hebt geüpload naar YouTube, al je e-mails , enzovoorts. Als een manier om privacy te controleren, hoef ik niet te zien welke foto's Google heeft, dat weet ik al. Evenzo weet ik welke e-mails ik heb, welke bestanden ik heb op Google Drive, enzovoort. Als ik die omvangrijke media-items echter uitsluit van de download en me concentreer op activiteit en metadata, kan de download vrij klein zijn.

Ik heb mijn Takeout onlangs gedownload en had een por om te zien wat Google van mij weet. De gegevens komen aan als een of meer zip-bestanden met mappen voor elk van de verschillende gebieden, waaronder Chrome, Google Pay, Google Play Music, Mijn activiteit, Aankopen, Taak, enzovoort.

Als u in elke map duikt, ziet u wat Google op dat gebied van u weet. Er is bijvoorbeeld een kopie van mijn Chrome-bladwijzers en een kopie van de afspeellijsten die ik heb gemaakt op Google Play Muziek. In het begin was er niets verrassends. Ik verwachtte een lijst met mijn herinneringen, omdat ik ze had gemaakt met Google Assistant, dus Google zou er een kopie van moeten hebben. Maar er waren een of twee verrassingen, zelfs voor iemand die 'technisch onderlegde' was als ik.

De eerste was een map met MP3-opnames van alles wat ik ooit tegen me zei. Er was ook een HTML-bestand met een transcriptie van al die opdrachten. Voor de duidelijkheid, dit zijn opdrachten die ik de Google Assistent heb gegeven nadat deze was geactiveerd met "Hey Google". Eerlijk gezegd had ik niet verwacht dat Google een MP3-bestand van al mijn opdrachten zou bewaren.OK, ik begrijp dat het wat technische waarde heeft om de kwaliteit van Assistent te kunnen controleren, maar ik denk niet dat Google deze audiobestanden moet bewaren. Het is een beetje veel.

Er was ook een lijst met alle artikelen die ik ooit op Google Nieuws heb gelezen, een record van elke keer dat ik Solitaire speelde, en alle zoekopdrachten die ik op Google Play Music heb gedaan, gaan bijna vijf jaar terug!

Het blijkt dat Google al uw e-mails op zoek naar aankopen verwerkt en er een record van maakt.

Degene die me echt schokte was in de map Aankopen. Hier had Google een record van alles wat ik ooit online heb gekocht. Het oudste item was van 2010, toen ik enkele vliegtuigtickets kocht. Het punt hier is dat ik deze tickets, of een van de items, niet via Google heb gekocht. Ik heb aankooprecords voor items van Amazon, eBay en iTunes. Er zijn zelfs records van verjaardagskaarten die ik heb gekocht.

Dieper graven Ik begon aankopen te vinden die ik niet had gedaan! Na wat hoofd krabben blijkt dat deze records het resultaat zijn van Google die mijn e-mails verwerkt en gokt naar aankopen die ik heb gedaan. Je hebt dit waarschijnlijk vooral gezien met betrekking tot vluchten. Als u een e-mail van een luchtvaartmaatschappij opent, zet Gmail nuttig enkele beknopte informatie over uw vlucht op een speciaal tabblad bovenaan.

Het blijkt dat Google al uw e-mails op zoek naar aankopen verwerkt en er een record van maakt. Wanneer iemand u een e-mail stuurt over iets dat hij of zij heeft gekocht, kan Google het zelfs onbedoeld parseren als een aankoop die u heeft gedaan!

Hoe zit het met Facebook, Twitter en anderen?

Sociale media en privacy zijn in sommige opzichten tegenstrijdig. Zoals Harold Finch zei in het tv-programma Person of Interest over sociale media: “De overheid probeerde het al jaren te achterhalen. Blijkt dat de meeste mensen graag vrijwilligerswerk deden. ”Met sociale media plaatsen we graag informatie, zoals verjaardagen, namen, vrienden, collega's, foto's, interesses, wensenlijsten en ambities. Nadat we al die informatie hebben gepubliceerd, zijn we geschokt wanneer het wordt gebruikt op een manier die we niet van plan waren. Zoals een ander beroemd personage zei over een gokhal, bezocht hij vaak: "Ik ben geschokt, geschokt dat het gokken hier aan de gang is!"

Alle grote sociale mediasites, inclusief Facebook en Twitter, hebben een privacybeleid en zijn redelijk breed in wat ze behandelen. Hier is een fragment uit het beleid van Twitter:

“Naast informatie die u met ons deelt, gebruiken we uw tweets, inhoud die u hebt gelezen, leuk vond of geretweet en andere informatie om te bepalen in welke onderwerpen u geïnteresseerd bent, uw leeftijd, de talen die u spreekt en andere signalen om u meer relevante inhoud te tonen. "

Dus, maakt uw apparaat verbinding met Twitter en laat Twitter dingen bepalen zoals uw leeftijd, de taal die u spreekt en welke dingen u interesseren? Zeker.

Het profileert u - en u laat het dat doen.

Hier is de kernvraag: als ik geen smartphone had, zou dat dan voorkomen dat entiteiten me zouden bespioneren als ze dat wilden?

Potentieel versus werkelijk

Het grootste probleem met verbonden apparaten en online entiteiten is niet wat ze doen, maar wat ze zouden kunnen doen. Ik heb de uitdrukking "entiteiten" opzettelijk gebruikt omdat de gevaren rond massabewaking, spionage en profilering niet alleen over Google of Facebook gaan. Het negeren van echte softwarefouten (bugs) en de standaard bedrijfsmodellen van grote online bedrijven, het is redelijk veilig om te zeggen dat Google u niet bespioneert. Facebook ook niet. De overheid ook niet. Dat betekent niet dat ze dat niet kunnen of zullen doen.

Is er een hacker of overheidsspion die ergens de microfoon op uw telefoon activeert om naar u te luisteren? Nee, maar ze konden het. Zoals we onlangs zagen met de gebeurtenissen rond de moord op Jamal Khashoggi, kunnen entiteiten je misleiden om een ​​app te installeren die je bespioneert. Bedrijven zoals Zerodium verkopen zero-day kwetsbaarheden aan overheden, waardoor kwaadaardige apps (zoals Pegasus) op uw apparaat kunnen worden geïnstalleerd zonder dat u het weet.

Heb ik dergelijke activiteit op mijn apparaten gezien? Nee, maar ik ben geen waarschijnlijke doelwit voor dergelijke surveillance en doodshoofden. Het kan nog steeds iemand anders overkomen.

Hier is de kernvraag: als ik geen smartphone had, zou dat dan voorkomen dat entiteiten me zouden bespioneren als ze dat wilden?

Vóór de lancering van smartphones was elke grote overheid ter wereld al betrokken bij spionage en surveillance. De Tweede Wereldoorlog werd waarschijnlijk gewonnen door de Enigma-code te verbreken en toegang te krijgen tot de intelligentie die hij verborg. Smartphones zijn niet de schuldigen, maar nu is er een groter aanvalsoppervlak - met andere woorden, er zijn meer manieren om u te bespioneren.

Afronden

Na mijn testen ben ik ervan overtuigd dat geen van de apparaten die ik gebruikte iets ongewoons of kwaadaardigs doen. Het probleem van privacy is echter groter dan alleen een apparaat dat niet opzettelijk kwaadaardig is. De zakelijke praktijken van bedrijven zoals Google, Facebook en Twitter zijn zeer discutabel en lijken vaak de grenzen van privacy te verleggen.

Wat spionage betreft, er staat geen wit busje buiten mijn huis dat naar mijn bewegingen let en een richtmicrofoon op mijn ramen richt. Ik heb het net nagekeken. Niemand hackt mijn telefoon. Dat betekent niet dat ze dat niet kunnen.