Позначка: google

Google нещодавно врегулювала кілька судових позовів про конфіденційність із 40 штатів, що стосуються заплутаних налаштувань історії геолокації, які вводять в оману та які компанія вела з 2014 по 2020 рік. Компанія виплатить загалом 392 мільйони доларів. Це, за підрахунками Ars Technica, дорівнює 12-годинному доходу Google. Такі висновки базуються на останньому річному звіті про доходи у розмірі 282 мільярдів доларів.

В ексклюзивному виданні Associated Press (AP) у 2018 році було показано, що історія розташування на пристроях Android та iPhone не є «головним елементом управління» для відстеження розташування, як багато хто думав. Навіть якщо користувачі призупинять «Історію розташування» на своїх телефонах, Google все одно зможе відстежувати та записувати їх за допомогою налаштувань Історії програм та веб-пошуку. Якщо обидва не вимкнені, Google може бачити ваше місцезнаходження.

“Якщо ви збираєтеся дозволити користувачам відключати щось під назвою “Історія розташування”, то всі місця, де ви зберігаєте історію розташування, повинні бути відключені”, – сказав тоді вчений-комп’ютерник з Прінстона Джонатан Майєр. “Це є досить простою і зрозумілою позицією”.

З того часу як звіт AP був опублікований, Google був у халепі. Він отримав позови від приватних осіб, а також від кількох генеральних прокурорів (AG) з різних штатів, включаючи Індіану, Техас та Вашингтон. Згідно з судовими документами, 40 штатів, з якими Google уклала угоду, – це Алабама, Аляска, Арканзас, Колорадо, Коннектикут. Також Делавер, Флорида, Джорджія, Гаваї, Айдахо, Іллінойс, Айова, Канзас, Кентуккі, Луїзіана, Мен, , Мічіган, Міннесота, Міссісіпі. Міссурі, Небраска, Невада, Нью-Джерсі, Нью-Мексико, Нью-Йорк, Північна Кароліна, Північна Дакота, Огайо. З ними ж Оклахома, Орегон, Пенсільванія, Південна Кароліна, Південна Дакота, Теннессі, Юта, Вірджинія та Вісконсін.

Оновлення політики конфіденційності Google

У рамках врегулювання гігант пошукової системи також погодився оновити свою політику конфіденційності, що, за його словами, він зробить у «найближчі місяці». Ці зміни включають:

• Модернізація інформаційних центрів користувачів. Google додасть розкриття інформації на свої сторінки управління діями та сторінки даних та конфіденційності, щоб допомогти користувачам краще зрозуміти, як дані про місцезнаходження він використовує для покращення своїх послуг. Компанія також створить єдиний інформаційний хаб із виділенням ключових налаштувань локації.
• Спрощене видалення даних про місцезнаходження. Google надасть «основний контроль» для відключення відстеження розташування в налаштуваннях «Історія розташування». А також в налаштуваннях «Історія програм та веб-пошуку». Цей елемент керування також дозволяє користувачам видаляти свої попередні дані, включаючи історію розташування.
• Оновлення налаштування облікового запису. Google більш ретельно надаватиме новим користувачам інформацію про те: що таке історія програм та веб-пошуку; яка інформація про користувача міститься в ній; як ця інформація допомагає компанії.

Більшість доходів Google надходить від цільової реклами, що базується на персональних даних. Деякі з них використовуються таємно без належної згоди користувача. Проте компанія наголосила, що з роками вона перейшла до безпечнішого підходу до конфіденційності, надаючи користувачам більший контроль над своїми даними та забезпечуючи додаткову прозорість щодо того, як вона взаємодіє зі своїми користувачами. “Сьогоднішнє врегулювання – це ще один крок на шляху до надання більш осмисленого вибору і мінімізації збору даних при наданні більш корисних послуг”, – заявили в Google.

Компанія Simple Mobile Tools представила смартфон, який використовує програми написані на відкритому коді. Це гарна можливість для тих, хто замислюється за свою анонімність та безпеку програм. Фанати FOSS мають гідно оцінити цей девайс, оскільки дійсно “відкритих” телефонів на ринку не так багато. І це не дивно: великі корпорації все частіше намагаються залізти в наші особисті дані.

Словацька компанія Simple Mobile Tools представила свій смартфон Simple Phone. Особливістю пристрою, за заявою виробника, є відсутність сервісів Google.

Повідомляється, що смартфон працює на Android 11 із встановленою оболонкою SimpleOS, в якій відсутні сервіси Google, у тому числі GMS та Google Play. Натомість у телефоні використовується альтернативний магазин F-Droid з відкритим вихідним кодом.

Simple Phone має в оснащенні процесор 2018 MediaTek Helio P60, 4 ГБ оперативної пам’яті, 128 ГБ вбудованої пам’яті і акумулятор ємністю 4500 мАч, а також IPS-дисплей з роздільною здатністю 1080p. За автономність пристрою відповідає АКБ на 4500 мАг. Смартфон має 4 камери – 25-мегапіксельну фронтальну камеру, а також три задні камери, що складаються із сенсорів на 48, 8 та 5 мегапікселів.

Пристрій вже доступний для замовлення на сайті виробника за ціною €399. Компанія обіцяє два роки гарантії та три роки випуску оновлень програмного забезпечення. У продаж Simple Phone надійде 1 листопада.

Повторення історії Huawei?

У 2019 році, після ряду судових засідань у США китайському виробнику електроніки Huawei було заборонено використовувати пропріетарне ПЗ, яке Google постачає у комплекті до своєї ОС Android. Google Play, Google Maps, утиліти телефонної книги та календаря – все це за символічну суму доступне для розробників – якщо вони не підпадають під згадані вище санкції. Однак китайський технологічний гігант знайшов вихід з ситуації шляхом створення своїх замісних рішень. Успіх такого виходу з ситуації, однак, досі сумнівний. Велика кількість програм з альтернативного “плеймаркету” отримує оновлення з запізненням; крім того, Huawei розміщує там ПЗ, яке більше підходить для китайського ринку. Багато користувачів з України та інших країн Європи скаржаться на відсутність таких речей як YouTube (він у Китаї заборонений) та нормально деталізованих карт.

Чи не стане Simple Phone повторенням історії китайського бренду? Звісно, тут причиною відмови від базового ПЗ стало бажання зробити телефон, що використовує виключно програми з відкритим програмним кодом. На відміну від Android, первинний код прикладного ПЗ до операційної системи є закритим, і користувачі, які найбільше турбуються про свою приватність, бачать у цьому загрозу своїй безпеці.

Однак приклад відмови від “рідного” для ОС набору програм вже продемонструвало цілий ряд труднощів для користувача. Альтернативні джерела програм та ігор, такі як вищезгаданий F-Droid, хоч і пропонують набір найільш потрібних програм, але навряд чи дадуть доступ до усього можливого ПЗ, яке може знадобитись у щоденному житті. Окрім того, переважна більшість програм, які ми використовуємо щодня, не є опен-сорсними, що суперечить правилам магазину F-Droid. Тож скоріше за все, цей телефон буде цікавинкою лише для поціновувачів ідеології Free Open Source Software (FOSS).

Quarkslab опублікували подробиці про критичну помилку, виявлену ними в чіпі Google Titan M в цьому році.

Нагадаємо, що Titan M, випущений у 2018 році, є системою-на-чіпі (SoC), призначеною виключно для обробки конфіденційних даних і процесів, таких як Verified Boot, шифрування диска, захист екрану блокування, безпечні транзакції та багато іншого. Зокрема, Titan M призначений для підвищення безпеки пристроїв Pixel, включаючи Secure Boot.

Нещодавно ми також писали про те, що Google намагається позбутися інженера, який припустив, що їх штучний інтелект має самосвідомість, а також про те, що Google пропонує до $91 000 за вразливість ядра Linux.

Фахівці Quarkslab кажуть, що виявлена ними вразливість отримала ідентифікатор CVE-2022-20233 та була усунена з виходом патчів для Android в червні місяці. Тоді Google описав цю помилку, як критичну проблему ескалації привілеїв.

За словами дослідників, ця вразливість пов’язана не тільки з підвищенням привілеїв, але і може використовуватися для виконання коду на мікросхемі Titan M. З технічної точки зору ця помилка є проблемою запису за межі виділеної пам‘яті, пов’язаної з некоректною перевіркою меж. При цьому у звіті наголошується, що використання цієї проблеми для локального підвищення привілеїв не потребує взаємодії з користувачем.

Quarkslab зауважує, що баг був виявлений при фазингу Titan M, коли було помічено, що «прошивка намагається записати 1 байт в нерозподілену область пам’яті». З’ясувалося, що повторення цієї дії провокує вхід за кордон і зрештою призводить до виникнення CVE-2022-20233.

Дослідники зазначають, що пам’ять Titan М є повністю статичною. Тому їм доводилося безпосередньо підключатися до UART-консолі, щоб отримати доступ до логів налагодження. Тільки після цього було створено експлойт, який дозволяв їм зчитувати довільну пам’ять з чіпа, красти секрети, що зберігаються там, а також отримувати доступ до завантажувального ПЗП.

“Одним із найцікавіших та найнебезпечніших наслідків цієї атаки є можливість отримати будь-який ключ, захищений StrongBox, зламавши найвищий рівень захисту Android Keystore. Як і TrustZone, ці ключі можна використовувати всередині Titan M тільки в тому випадку, якщо вони зберігаються в зашифрованому BLOB-об’єкті на пристрої.” — каже Quarkslab.

Дослідники повідомили Google про вразливість ще у березні 2022 року. Компанія випустила виправлення в червні і спочатку виплатила експертам лише 10 000 доларів як винагороду за виявлення помилок. Однак після надання експлойту, який демонструє виконання коду та крадіжку секретів, компанія збільшила винагороду до 75 000 доларів.