Akıllı telefon üreticileri kullanıcıları nasıl izliyor?

Akıllı telefonunuza varsayılan olarak yüklenen ve genellikle kaldırılamayan sistem uygulamaları çok fazla ilgilenilen bir şey değildir. Ancak kullanıcıların, izleme ve gözetleme faaliyetleri konusunda diğer uygulama ve hizmetlerde en azından seçim şansı varken, sistem uygulamalarında bu, cihazların yapısına entegre edilmiştir.

Bu durum, yakın zamanda İngiltere’deki Edinburgh Üniversitesi ve İrlanda’daki Trinity College Dublin’deki araştırmacılar tarafından yapılan ortak bir çalışma sonucu elde edilen bulgulardan biri. Araştırmacılar aktarılan bilginin kapsamını öğrenmek için tanınmış dört üreticinin akıllı telefonlarını incelediler. Elde ettikleri sonuçları referans olarak aldıkları Android, LineageOS ve /e/OS tabanlı açık kaynaklı işletim sistemleriyle karşılaştırdılar. İşte çalışmanın sonucunda ortaya çıkanlar.

Araştırma metodu

Deneyin saflığı için, araştırmacılar dört akıllı telefon için bir kullanıcının gerçek hayatta karşılaşması pek olası olmayan, oldukça katı bir kullanım senaryosu belirlediler: Araştırmacılar tüm akıllı telefonların yalnızca arama ve mesajlaşma için kullanılacağı varsayımı ile cihazlarda yalnızca üretici tarafından kurulanlar uygulamaları bırakarak, başka herhangi bir uygulama yüklemediler.

Dahası, hayali kullanıcı, genellikle cihaz ilk açıldığında yanıtlanması gereken “Verilerinizi paylaşarak hizmetin gelişimine katkı sunmak ister misiniz?” tarzı soruların tümüne olumsuz yanıt verdi. Üreticilerin sunduğu bulut depolama veya Cihazımı Bul gibi isteğe bağlı hiçbir hizmeti de etkinleştirmediler. Diğer bir deyişle, akıllı telefonları kullandıkları süre boyunca mümkün olduğunca özel ve el değmemiş durumda tuttular.

Kullanılan “casus izleme” teknolojisi temel olarak bu tür araştırmaların hepsinde aynıdır. Akıllı telefon, Wi-Fi erişim noktası görevi gören bir Raspberry Pi mini bilgisayara bağlanır. Raspberry Pi’ye yüklenen yazılım, telefondan gelen veri akışını yakalar ve şifresini çözer. Veriler daha sonra tekrar şifrelenir ve alıcıya, yani telefonun, uygulamanın veya işletim sisteminin geliştiricisine teslim edilir. Aslına bakılırsa, makale yazarlarının yaptığı şey (gönüllü) bir izinsiz izleme (man-in-the-middle) saldırısıydı.

Çalışmada akıllı telefondan iletilen verileri ele geçirmek için kullanılan yöntem. Kaynak

İyi haber şu ki iletilen tüm veriler şifrelenmişti. Endüstri sonunda, herhangi bir koruma olmadan, açık metinle iletişim kuran cihaz, program ve sunucu problemini çözmüş gibi görünüyor. Aslında, araştırmacılar tam olarak neyin gönderildiğini anlayabilmek için verileri deşifre ve analiz etme konusunda çok zaman ve çaba harcadılar.

Bundan sonra, araştırmacıların işleri nispeten kolay hale geldi. Her cihazdaki verileri tamamen sildiler ve ilk kurulumu gerçekleştirdiler. Ardından, bir Google hesabı ile giriş yapmadan, akıllı telefonları birkaç gün boyunca açık bıraktılar ve cihazın veri aktarımını izlediler. Daha sonra, bir Google hesabı ile giriş yaptılar, coğrafi konumu geçici olarak etkinleştirdiler ve telefonun ayarlarına girdiler. Her aşamada, hangi verilerin nereye gönderildiğini izlediler. Dördü üreticinin yazılımını, ikisi de LineageOS ve /e/OS açık kaynaklı Android sürümünü kullanan toplam altı akıllı telefonu test ettiler.

Veriyi kim topluyor?

Araştırmacıların, verileri toplayanın akıllı telefon üreticileri olduğunu öğrenmesi hiç de şaşırtıcı değil. Orijinal yazılımı (ve önceden yüklenmiş bir dizi programı) kullanan 4 cihazın tümü, cihaz seri numarası gibi kalıcı tanımlayıcılarla birlikte telemetri verilerini üreticiye iletiyordu. Bu noktada, makalenin yazarları, standart yazılımlar ile özel yazılımlar arasındaki farkı ortaya koyuyor.

Örneğin LineageOS’ta, geliştiricilere veri gönderilmesi seçeneğini bulunuyor (örneğin programların çalışma kararlılığını izlemek için), ancak bu seçenek devre dışı bırakıldığında veri gönderimi durduruluyor. Fabrika standardı cihazlarda, ilk kurulum sırasında veri gönderiminin engellenmesi gerçekten de gönderilen veri miktarını azaltabiliyor ancak veri iletimini tamamen ortadan kaldırmıyor.

Akıllı telefon üreticilerinin ardından bir diğer veri toplayan da önceden yüklenmiş uygulamaların geliştiricileri. Burada da ilginç bir nüans olduğunu görüyoruz: Google’ın kurallarına göre, Google Play’den yüklenen uygulamalar, kullanıcı etkinliğini izlemek için belirli bir tanımlayıcı (Google’ın Reklam Kimliği) kullanmak zorunda. Dilerseniz bu tanımlayıcıyı telefonun ayarlarından değiştirebiliyorsunuz. Ancak bu zorunluluk, üreticinin önceden yüklediği, çok büyük miktarda veri toplamak için kalıcı tanımlayıcılar kullanan uygulamalar için geçerli değil.

Örneğin önceden yüklenmiş bir sosyal ağ uygulaması, kullanıcı tarafından hiç açılmamış dahi olsa, telefonun sahibiyle ilgili verileri kendi sunucularına gönderiyor. Daha da ilginç bir örnek: Bir akıllı telefonda bulunan sistem klavyesi, telefonda hangi uygulamaların çalıştığı hakkında veri gönderiyordu. Bazı cihazlarda, kullanıcıyla ilgili verileri de toplayan operatör uygulamaları yer alıyordu.

Son olarak, Google sistem uygulamalarından ayrıca bahsetmek gerekiyor. Telefonların büyük çoğunluğu Google Play Hizmetleri ve Google Play Store ile birlikte geliyor ve genellikle YouTube, Gmail, Haritalar ve birkaç tanesi önceden yüklenmiş oluyor. Araştırmacılar, Google uygulamalarının ve hizmetlerinin önceden yüklenmiş diğer programlardan çok daha fazla veri topladığını belirtiyor. Aşağıdaki grafikte, Google’a (solda) ve diğer tüm telemetri alıcılarına (sağda) gönderilen verilerin oranı yer alıyor:

Farklı kullanıcı verisi alıcılarına kilobayt cinsinden saatte aktarılan veri miktarı. Ortalamada, Google (solda), diğer tüm hizmetlerin toplamından düzinelerce kat daha fazla veri gönderiyor. Kaynak

Hangi veriler gönderiliyor?

Bu bölümde araştırmacılar yine tanımlayıcılara odaklanıyor. Tüm veriler, göndereni tanımlamak için bir tür benzersiz koda sahiptir. Bazen bu tek seferlik bir koddur ve geliştiriciler açısından sistemin çalışma kararlılığı gibi faydalı istatistiksel verilerin toplanması konusunda gizlilik açısından en doğru yoldur.

Ancak, toplanan veriler ile kullanıcı gizliliğini ihlal eden uzun süreli ve hatta kalıcı tanımlayıcılar da vardır. Örneğin, cihaz sahipleri yukarıda belirtilen Google Reklam Kimliğini manuel olarak değiştirme seçeneğine sahip olsa da çok azı bunu yapar, bu nedenle hem Google’a hem de cihaz üreticilerine gönderilen tanımlayıcıyı kalıcı olarak değerlendirebiliriz.

Cihazın seri numarası, telsiz modülünün IMEI kodu ve SIM kart numarası kalıcı tanımlayıcılardır. Telefon numarası değiştirilse ve cihaz sıfırlansa bile cihazın seri numarası ve IMEI kodu ile kullanıcıyı tanımlamak mümkündür.

Cihaz modeli, ekran boyutu ve telsiz modülün ürün yazılım sürümü bilgilerinin düzenli olarak aktarılması, gizlilik açısından daha az risklidir; çünkü aynı telefon modelini kullanan çok sayıda kişi için bu veriler aynıdır. Ancak belirli uygulamalardaki kullanıcı etkinliğine dair veriler, sahipleri hakkında çok fazla şey ifade eder. Burada araştırmacılar, uygulama hata ayıklaması için gereken veriler ile hedefli reklamlar gibi ayrıntılı bir kullanıcı profili oluşturmak için kullanılabilecek bilgiler arasındaki ince çizgiden bahsediyorlar.

Örneğin, bir uygulamanın çok fazla pil harcadığını bilmek geliştirici açısından önemli olabilir ve sonuçta kullanıcıya fayda sağlar. Sistem programlarının hangi sürümlerinin yüklü olduğuna ilişkin veriler, bir güncellemenin ne zaman indirileceğini belirleyebilir ve bu da yararlıdır. Ancak, telefon görüşmesinin ne zaman başlayıp ne zaman bittiğine dair bilgi toplamanın faydalı olup olmadığı, dahası etik olup olmadığı konusu bir soru işareti olmaya devam ediyor.

Sıklıkla iletilen başka bir kullanıcı verisi türü ise yüklü uygulamaların listesidir. Bu liste, örneğin siyasi ve dini tercihler dahil olmak üzere kullanıcıya dair çok fazla şey söyleyebilir.

Farklı kaynaklardan gelen kullanıcı verilerinin bir araya getirilmesi

Yürüttükleri kapsamlı çalışmaya rağmen araştırmacılar, çeşitli telefon ve yazılım üreticilerinin kullanıcı verilerini nasıl toplayıp işlediğine dair tam bir resim çizemediler. Bu nedenle bazı varsayımlarda bulunmak zorunda kaldılar.

Birinci varsayım: Kalıcı tanımlayıcılar toplayan akıllı telefon üreticileri, söz konusu kullanıcı telefondaki tüm verileri silip SIM kartı değiştirse bile kullanıcı etkinliğini izleyebiliyor.

İkinci varsayım: Tüm piyasa katılımcıları, kalıcı ve geçici kimlikleri ve farklı telemetri türlerini birleştirerek, veri alışverişi yapma yeteneğine sahiptir ve kullanıcı alışkanlıkları ve tercihlerinin mümkün olabilecek en net resmini oluşturur. Bunun gerçekte nasıl gerçekleştiği — ve geliştiricilerin gerçekten veri alışverişinde bulunup bulunmadığı veya üçüncü taraf veri toplayıcıların verileri satıp satmadığı — çalışmanın kapsamı dışındadır.

Araştırmacılar, akıllı telefon sahibinin tam bir profilini oluşturmak için veri kümelerini birleştirildiği olasılığını düşünüyorlar (gaid Google Reklam Kimliği anlamına geliyor). Kaynak

Çıkarılan sonuçlar

Gizlilik açısından bakıldığında kazanan, kendi Google Play Hizmetleri türevini kullanan ve hiçbir veri iletmeyen Android /e/OS versiyonuna sahip telefon oldu. Açık kaynaklı yazılıma sahip diğer telefon (LineageOS), geliştiricilere veri göndermese de telefonda Google’ın hizmetleri yüklü olduğu için Google’a bilgi gönderdi. Cihazın düzgün bir şekilde çalışması için bu hizmetlerin yüklü olması gerekir — bazı uygulamalar ve birçok özellik, Google Play Hizmetleri olmadan çalışmaz veya verimsiz çalışır.

Popüler üreticilerin kendi yazılımlarına gelince, onları birbirinden ayıran çok fazla şey yok. Hepsi, kullanıcıların iyiliğini öne sürerek oldukça büyük bir veri seti topluyor. Yazarların ifadesiyle, kullanıcıların “kullanım verilerini” toplama ve göndermekten vazgeçme seçeneğini görmezden geliyorlar. Bu durum sadece müşteri gizliliğinin artırılmasını sağlamak amacıyla daha fazla düzenleme yapılması ile değiştirebilir ve şimdilik yalnızca standardın dışında (popüler yazılımların kullanımıyla ilgili kısıtlamaları olan) bir işletim sistemi kurabilen ileri düzey kullanıcılar telemetriyi tamamen ortadan kaldırabilir.

Güvenlik açısından, telemetri verilerinin toplanması doğrudan herhangi bir risk oluşturmuyor gibi görünüyor. Durum, kötü amaçlı yazılımın doğrudan fabrikada yüklenebildiği üçüncü sınıf akıllı telefonlardan tamamen farklıdır.

Çalışma sonucunda ortaya çıkan iyi haber ise, veri iletiminin oldukça güvenli olması ve bunun da en azından dışarıdan kişilerin verilere erişimini zorlaştırmasıdır. Bununla birlikte araştırmacılar, test ettikleri telefonların, Avrupa’da satılan ve yerelleştirilmiş yazılımlara sahip akıllı telefon modelleri olduğunun altını çizdiler. Yasalara ve gizlilik düzenlemelerine bağlı olarak ülkeden ülkeye sonuçlar farklılık gösterebilir.