Nokia «захватывает» трафик мобильного браузера, расшифровывает данные HTTPS

Nokia вызвала сенсацию, выполнив, по словам одного из исследователей в области безопасности, «атаки по принципу« человек посередине »», чтобы сжать данные и ускорить загрузку веб-страниц на некоторых своих телефонах.

По словам исследователя безопасности, телефоны Nokia Asha отправляют защищенные HTTPS-данные на серверы Nokia.

С тех пор финский телефонный гигант признал, что он расшифровывает защищенные данные, которые проходят через соединения HTTPS - включая учетные записи социальных сетей, онлайн-банкинг, электронную почту и другие безопасные сеансы - с целью сжатия данных и ускорения загрузки веб-страниц.

Но Nokia говорит, что беспокоиться не о чем.

Исследователь Гауранг Пандья обнаружил, что трафик браузера с его телефона Nokia (Series 40) «Аша» был маршрутизируется через серверы Nokia , Это ничем не отличается от того, как работает Opera Mini или даже браузер BlackBerry, и остается популярным в тех областях, где сотовый сервис плохой, или в развивающихся странах, где деньги не растут на деревьях.

Однако, по словам исследователя, Nokia делает еще один шаг вперед. Во втором посте Pandya, опубликованном на этой неделе, говорится, что Nokia была «человеком посередине» атаковать HTTPS-трафик на телефонах своего пользователя , Проще говоря, HTTPS-трафик направлялся через серверы Nokia и мог быть доступен для Nokia в незашифрованном виде.

Из проведенных тестов видно, что Nokia выполняет атаку «Человек посередине» для чувствительного трафика HTTPS, исходящего с их телефона, и, следовательно, у них есть доступ к чистой текстовой информации, которая может включать учетные данные пользователя для различных сайтов, таких как социальные сети, банковская информация, информация о кредитной карте или что-либо, что является чувствительным по своей природе.

Он отмечает, что, будь то «HTTP или HTTPS сайты при просмотре через телефон», Nokia имеет «полную незашифрованную информацию (в текстовом формате), которую они могут использовать или злоупотреблять».

Он также отметил, что в заявлении о конфиденциальности Nokia В нем говорится: «URL-адреса таких сайтов, к которым вы обращаетесь через браузер Nokia, хранятся в Nokia». Тем не менее, он указывает на то, что: «Ваш просмотр не связан с какой-либо личной идентификационной информацией, и мы не собираем никаких имен пользователей или паролей или любой связанной информации о ваших транзакциях покупки, такой как номер вашей кредитной карты во время ваших сеансов просмотра».

Nokia ответила на претензии и выступила с заявлением. Производитель телефонов отмечает, что эта практика исключительно для того, чтобы «пользователи могли быстрее просматривать веб-страницы и получать больше пользы от своих тарифных планов». В конце концов, телефоны Nokia по-прежнему популярны в развивающихся странах, где стоимость данных высока, а сокращение счетов является абсолютной необходимостью.

Мы очень серьезно относимся к конфиденциальности и безопасности наших потребителей и их данных.

Прокси-серверы не хранят содержимое веб-страниц, посещаемых нашими пользователями, или любую информацию, которую они вводят на них. Nokia приняла соответствующие организационные и технические меры для предотвращения доступа к частной информации. Утверждения о том, что мы получили бы доступ к полной незашифрованной информации, являются неточными.

Но производитель телефона также сказал:

Когда на наших прокси-серверах требуется временная расшифровка соединений HTTPS, чтобы преобразовать и доставить контент пользователей, это делается безопасным способом.

Другими словами, да, Nokia действительно расшифровывает ваши данные безопасного просмотра, но это не имеет большого значения.

Проблема в том, что Nokia никому не сказала, что делает это. То, что Nokia говорит в своей политике конфиденциальности, и то, что обнаружил исследователь безопасности, похоже, не суммируется. Хотя практика сокращения счетов за пользовательские данные далеко не плохая вещь - Опера делает это RIM делает это с помощью смартфонов BlackBerry - эти компании открыто заявляют о том, что происходит.

Почти нет сомнений, что Nokia ничего не делает с данными пользователя или клиента. Это не одна гигантская гнусная схема сбора имен пользователей и паролей для получения огромных сумм денег с банковских счетов, потому что финансы компании воняют. (Кроме того, Nokia находится в Финляндии, член ЕС , Если бы Nokia злоупотребляла пользовательскими данными и конфиденциальностью своих клиентов, европейские власти так сильно обрушились бы на компанию, что, по крайней мере, в том штате, в котором она находится, обанкротили ее.)

Nokia должна извлечь уроки из этого. То, что он делает, не так уж плохо. Если бы Nokia была в курсе всего процесса, то, возможно, были бы грохоты из индустрии безопасности, но они не пострадали бы от связей с общественностью для репутации компании.

Похожие