- macOS için MuMu Player Pro, çalışırken her 30 dakikada bir sistem bilgilerini otomatik olarak topluyor; buna ağ, süreç, uygulama ve çekirdek verileri dahil
- Toplanan veriler arasında yerel ağ cihazları listesi, çalışan tüm süreçler, yüklü uygulama meta verileri, hosts dosyası ve çekirdek parametreleri yer alıyor
- Bu bilgiler, Mac'in seri numarası ve SensorsData analiz platformu üzerinden ilişkilendirilerek cihaz tanımlama için kullanılıyor
- MuMu'nun gizlilik politikasında bu toplama faaliyetleri açıkça belirtilmiyor ve bunlar emülatör işlevi için gerekli değil
- Tekrarlayan ve kamuya açıklanmayan veri toplama nedeniyle şeffaflık eksikliği ve olası gizlilik ihlali riski gündeme geliyor
Sistem verisi toplama davranışı
- MuMu Player Pro, macOS'te çalışırken her 30 dakikada bir otomatik olarak sistem bilgisi topluyor
- Her toplama döngüsünde
~/Library/Application Support/com.netease.mumu.nemux-global/logs/ yolu altında zaman damgalı bir klasör oluşturuluyor
- Her klasörde 17 komutun çalıştırma sonuçları saklanıyor
- Çalıştırılan komutlar arasında
arp -a, ifconfig, netstat, ps aux, sysctl -a, launchctl print system bulunuyor
- Yerel ağ cihazları (IP·MAC), aktif ağ bağlantıları, çalışan tüm süreçler ve argümanları, yüklü uygulama listesi ve meta verileri, çekirdek ve donanım bilgileri kaydediliyor
ps aux çıktısı yaklaşık 200KB boyutunda ve kullanılan uygulamalar, VPN, geliştirme araçları ve güvenlik yazılımlarına dair bilgiler içeriyor
- Her toplama oturumu yaklaşık 400KB veri üretiyor ve günde ortalama 16 kez çalışıyor
Toplanan verilerin içeriği
- Ağla ilgili bilgiler:
arpAll.txt, ifconfig.txt, networkDNS.txt, networkProxy.txt, netstat.txt
- Sistem ve uygulama bilgileri:
listProcess.txt, listApplications.txt, mdlsApplications.txt, sysctl.txt, launchctlPrintSystem.txt
- Ortam yapılandırma bilgileri:
/etc/hosts dosyası, bağlanan dosya sistemleri, LaunchAgents/Daemons listesi
- MuMu API bağlantı testine yönelik
curl komutu sonuçları da dahil
- Her oturumda toplamanın başarılı olup olmadığını kaydetmek için
collect-finished dosyası oluşturuluyor
Süreç listesi toplamanın sorunları
ps aux komutuyla tüm süreçlerin tam komut satırı argümanları toplanıyor
- Çalışan uygulamalar, VPN ayarları, geliştirme araçları, oturum belirteçleri, kullanıcı dizini yolları ve güvenlik yazılımı bilgileri açığa çıkıyor
- Bunun 30 dakikalık aralıklarla tekrarlanması, kullanım davranışının zamana göre kaydını oluşturuyor
Analiz ve cihaz tanımlama
- MuMu, Çin merkezli analiz platformu SensorsData kullanıyor
report/ dizininde sensorsanalytics-com.sensorsdata.identities.plist dosyası bulunuyor- Bu dosyada
$identity_mac_serial_id girdisi olarak Mac donanım seri numarası yer alıyor
sensorsanalytics-super_properties.plist içinde uygulama sürümü, kanal, UUID, UTM kaynağı gibi pazarlama özellikleri kaydediliyor- Yaklaşık 86KB boyutundaki bir mesaj kuyruğu (
sensorsanalytics-message-v2.plist) sunucuya gönderiliyor
Gizlilik politikasıyla uyumsuzluk
- MuMu Player Pro'nun resmi gizlilik politikasında aşağıdaki maddeler açıkça belirtilmiyor
ps aux, arp -a, /etc/hosts, sysctl -a, mdls gibi komutların çalıştırılması- Mac seri numarasının toplanması
- 30 dakikalık döngüyle tekrarlanan toplama işi
- Bu nedenle fiili davranış, kamuya açık politika ile uyuşmuyor
Sonuç
- MuMu Player Pro, emülatör işlevi için gerekmeyen düzeyde sistem bilgisini periyodik olarak topluyor
- Toplanan veriler; ağ yapılandırması, süreç listesi, yüklü uygulamalar, DNS ayarları ve çekirdek parametreleriyle kapsamlı bir sistem profili oluşturuyor
- SensorsData analizi ile donanım seri numarasının birleştirilmesi, kalıcı ve ayrıntılı bir cihaz parmak izi (fingerprint) oluşturuyor
- Bu uygulamalar kamuya açıklanmadan ve tekrarlı biçimde yürütüldüğü için, en azından ciddi bir şeffaflık eksikliği vakası olarak değerlendiriliyor
1 yorum
Hacker News görüşleri
Bu tür olayları görünce Çin yapımı video oyunlarının Batı'da yayılmasından endişe duyuyorum
Çocuğum Genshin Impact ya da Black Myth: Wukong oynarken yerel ağdaki verileri Çin'e gönderiyor olabilir diye düşünüyorum
Batılı hükümetler düzgün tepki verseydi bunları şimdiye kadar yasaklamış olmaları gerekirdi
Buna rağmen “Tim Sweeney, Valve ve Apple tekellerini kıran kahraman” anlatısı Batı teknoloji medyasında hâlâ popüler
İlgili bağlantılar: Hacker News tartışması, Reddit analiz yazısı
Bu tür sistemler, ağın içinde keşif yapmak ya da yetki yükseltmek isteyen biri için adeta rüya gibi bir ortam
Ben VLAN ile ayırıyorum ve router üzerinde güvenlik duvarı günlüklerini sıkı şekilde takip ediyorum
Tabii bütün bunları Çin malı router'ın güvenli biçimde halledeceğine inanıyorum
VLAN ya da misafir Wi-Fi ile yalıtım kusursuz olmasa da en azından riski yaklaşık %75 azaltabiliyor
Yine de internete bağlı yüksek performanslı bir makine ortada kalıyor ve Bluetooth·Wi-Fi konum takibi gibi riskler sürüyor
Sonuçta devlet düzeyindeki sızmaları engellemek, bireyin tek başına üstlenebileceği bir mücadele değil
Çinli şirketlerin yazılımlarını her zaman sadece sandbox içinde çalıştırıyorum
Mobilde Android/iOS izin kısıtlamalarından yararlanıyorum, masaüstünde ise VM kullanıyorum
Çin anakarasındaki büyük teknoloji şirketlerinin kullanıcı mahremiyeti algısı neredeyse yok ve veri satarak gelir elde eden bir yapıları var
WeChat gibi uygulamaları her kurduğumda içime sinmeyen bir his oluyor
Şirketler ayrım yapmadan veri topluyor ve uygulamanın çalışması için her zaman internet bağlantısı gerektiğini iddia ediyor
Yine de güvenlik duvarı ile LAN erişimini engellerseniz dosya erişimini kesebilirsiniz
Çinli bir şirket sorun çıkardığında yorumlarda her zaman “Amerikan şirketleri de aynı” tepkisi tekrarlanıyor
Fazlasıyla öngörülebilir bir kalıp
Eğitim yazılımlarını ve VMware'in uzak VM istemcisini Mac'in yerel VM'i içinde çalıştırıyorum
Başka ülkelerde veri toplamanın kötüye kullanıldığı örnekler çıksa da şaşırmam
Apple Security'ye bildirip bunun RCE ya da C&C saldırısı olup olmadığını değerlendirmelerini istemek iyi olabilir
Umarım bu, Apple'ı Discord'un sistem genelindeki veri toplamasını sınırlamaya da iter
Bu arada UTM.app, OS düzeyindeki sandbox'tan yararlanarak Discord'u izole etmek için fena bir seçenek değil
Bu tür olaylar sonuçta “Çin yapımı yazılım·donanım = etik yokluğu” imajını güçlendiriyor
Kullanıcı bilgilerine ulaşmak için hiçbir yöntemden kaçınmayacaklarmış gibi görünüyor
Durumun çirkin olduğunu düşünüyorum
Yine de her şeyi topladıklarını belirtiyorlar
MuMu Player gizlilik politikası bunu gösteriyor
Dünyanın bu hale gelmiş olması sadece üzücü
ps auxçıktısını topladıkları özellikle yazmıyormacOS'un mahremiyet odaklı olduğu söyleniyor ama bu tür davranışlara hâlâ izin verilmesi şaşırtıcı
Uygulama sandbox'ı isteğe bağlıysa bunun pek anlamı yok
Öncelik “Bu özelliğin reklamını yapabilir miyiz?” sorusu
iOS için belki denebilir ama macOS için değil
NetEase'in yaptığı mobil oyunları her kurduğumda huzursuz oluyorum
Özellikle Dead by Daylight mobil sürümünde böyle hissettim
Persona 5X, NetEase oyunu değil ama yine de insanın içine kurt düşürüyor
Android olduğu için veri toplamayı sınırlayacağını umuyorum ama tam yalıtımın bir yolu var mı merak ediyorum
Bu tür casus yazılımı yapanların en az 10 yıl hapis cezası alması gerektiğini düşünüyorum
Buna karışan CEO'lar da sorumlu tutulmalı
Eskiden herkes Little Snitch gibi kişisel güvenlik duvarları kullanır ve bu tür davranışları kendi gözüyle görebilirdi
Bugünlerde işletim sisteminin güvenlik özelliklerine fazla körü körüne güvenilip güvenilmediğini sorguluyorum