Bluetooth araç aküsü monitörü konum verilerini sızdırıyormuş

 (haxrob.net)
2 puan yazan GN⁺ 2023-06-27 | 1 yorum | WhatsApp'ta paylaş
  • Araç aküsü durumunu kontrol eden BM2 uygulaması, yalnızca GPS koordinatlarını değil, yakındaki Wi-Fi ve mobil baz istasyonu bilgilerini de toplayıp uzak bir sunucuya gönderiyordu
  • Veriler, ürün/uygulama geliştiricisi Leagend'in bm2.quicklynks.com sunucusuna ve konum hizmeti SDK geliştiricisi AMap sunucularına gidiyordu; bunların sırasıyla Alibaba Cloud Hong Kong ve Pekin ana makinelerinde barındırıldığı doğrulandı
  • Google Play'de 100K+ indirme seviyesindeki uygulamanın ilk uygulama mağazası gizlilik beyanlarında “veri paylaşımı yok”, “veri toplanmıyor”, “aktarım sırasında şifreleniyor” gibi ifadeler yer alıyordu, ancak bunlar gerçek davranışla uyuşmuyordu
  • Android'de Bluetooth taraması için konum izni gerektiğinden, kullanıcıların cihazı kullanabilmek için fiilen konum izni vermesi gerekiyordu; iOS uygulamasında ise konum izni reddedilse bile akü monitörü işlevi çalışıyordu
  • 25 Temmuz 2023 güncellemesinden sonra AMap SDK, her iki büyük uygulama mağazasındaki sürümlerden kaldırıldı; ancak GPS konum verileri hâlâ Alibaba Cloud Hong Kong sunucusuna gönderiliyor ve iPhone uygulaması kullanıcının sokak adresini de yolluyordu

Akü monitörü uygulamasının gönderdiği konum verileri

  • İncelenen ürün, araç aküsü terminallerine bağlandıktan sonra akıllı telefonla eşleşerek voltaj/yüzde gösteren ve marş testi çalıştıran bir Bluetooth akü monitörü
  • Analiz için Avustralyalı elektronik perakendecisi Jaycar Electronics'ten PowerTech markalı ürün satın alındı; bunun Leagend'in Bluetooth 4.0 Battery Monitor ürününün yeniden markalanmış bir sürümü olduğu görülüyor
  • Aynı ürün ailesi Repco'nun Century markası altında, ayrıca ZX-1689, Li Battery Monitor gibi adlarla da tanımlanıyor
  • Android uygulaması BM2, Google Play'de 100K+ indirme ve 1.55K yorum kaydına sahip
  • iPhone için BM2 uygulamasının da ağ trafiği incelemesinde uzak sunuculara konum verisi gönderdiği görüldü

Gönderim hedefleri ve toplama kapsamı

  • Uygulama yalnızca akü voltajını değil, GPS koordinatlarını, yakındaki mobil baz istasyonu verilerini ve yakındaki Wi-Fi erişim noktası bilgilerini de topluyor
  • O sırada doğrulanan konum verisi gönderim hedefleri iki gruptu
    • Leagend/BM2 uygulama sunucusu: bm2.quicklynks.com, 47.244.125.231, Alibaba Cloud Hong Kong
    • AMap SDK sunucusu: dualstack-cgicol.amap.com, 106.11.130.194, Alibaba Cloud Pekin
  • AMap, Alibaba'nın satın aldığı Çinli bir dijital harita sağlayıcısı ve SDK, yalnızca GPS'i değil telefonun toplayabildiği diğer konumla ilgili verileri de alıyor
  • 25 Temmuz 2023 güncellemesinden sonra her iki büyük uygulama mağazasındaki uygulamalardan AMap SDK kaldırıldı
    • Çin ana karasındaki AMap sunucularına giden GPS, Wi-Fi ve baz istasyonu verisi toplama durdu
    • GPS konum verileri hâlâ Alibaba Cloud Hong Kong sunucusuna gönderiliyor
    • iPhone uygulaması ayrıca kullanıcının sokak adresini de tespit edip gönderiyor

Uygulama mağazası gizlilik beyanları ile gerçek davranış

  • 27 Haziran 2023 itibarıyla BM2 uygulamasının geliştiricisi, Google Play ve Apple App Store gizlilik beyanlarını güncelleyerek kesin konum verisi toplandığını belirtti
  • Bundan önceki Google Play beyanı uygulamanın gerçek davranışıyla uyuşmuyordu
    • “Veriler üçüncü taraflarla paylaşılmıyor”: enlem-boylam verileri akü istatistikleriyle birlikte quicklynks.com sunucusuna gönderiliyordu; çökme analizi umeng.com'a, Wi-Fi/baz istasyonu/GPS koordinatları ise AMap'e gidiyordu
    • “Veri toplanmıyor”: konum verileri ve aküyle ilgili veriler toplanıyordu
    • “Aktarım sırasında şifreleniyor”: BM2 bulut sunucusuna gönderilen veriler şifrelenmemiş HTTP üzerinden iletiliyordu
  • Gizlilik politikası ayrıntılarında “Hong Kong” ve “location information” ifadeleri yer alıyordu

Android izinlerinin yarattığı yapısal sorun

  • Android uygulaması çalışmak için konum izni istiyor ve bu izin verilmezse donanım cihazı kullanılamıyor
  • Android 6.0'dan itibaren Bluetooth ve Wi-Fi taramalarıyla yakındaki harici cihazların donanım tanımlayıcılarına erişmek için ACCESS_FINE_LOCATION veya ACCESS_COARSE_LOCATION izni gerekiyor
  • BM2 uygulamasının aslında ihtiyaç duyduğu şey BLE taraması, ancak geniş konum izni GPS, baz istasyonu ve Wi-Fi verilerine erişimi de mümkün kılarak kötüye kullanım alanı bırakıyor
  • Android 12 ve sonrasında yalnızca BLUETOOTH_SCAN izniyle BLE taraması yapılabiliyor
  • Google belgelerine göre ACCESS_FINE_LOCATION için android:usesPermissionFlags="neverForLocation" belirtilebiliyor, ancak bu yalnızca Bluetooth tarama sonuçları fiziksel konum çıkarsamak için kullanılmıyorsa geçerli

Ağ trafiğinde doğrulananlar

  • Mobil uygulama trafiğini incelemek için Mitmproxy'nin WireGuard modu kullanıldı
  • BM2, HTTPS kullanmadığı için sertifika yüklemeye gerek kalmadan hem Android hem de iOS'ta enlem-boylam aktarımı doğrulanabildi
  • Uygulama akü monitörü cihazına bağlandıktan sonra http://bm2.quicklynks.com:8080/api/bm2/userDevice/upload? adresine POST isteği gönderiyor
  • İstekte enlem-boylam alanlarının yanı sıra akü voltajı örnekleri, donanım MAC adresi, nickname, serialNo da bulunuyor
  • O sıradaki DNS ve IP sorgularına göre bm2.quicklynks.com, 47.244.125.231 adresine çözülüyordu ve IP bilgisi bunu Hong Kong Sham Shui Po'daki Alibaba bağlantılı bir AS olarak gösteriyordu

AMap SDK'nın işlediği konum sinyalleri

  • AMap SDK; GPS, Wi-Fi ve mobil baz istasyonu verilerini topluyor
  • Mobil veriler içinde Cell Global Identity yer alıyor
    • MCC: Mobile Country Code
    • MNC: Mobile Network Code
    • MCC + MNC: PLMN, mobil operatör tanımlayıcısı
    • LAC: bölge içindeki baz istasyonu grubu
    • CI: bölge içindeki baz istasyonu alıcı-verici tanımlayıcısı
    • 4G'de TAC kullanılıyor
  • Wi-Fi verileri BSSID MAC adresi ile SSID erişim noktası adını içeriyor
  • AMap verileri, diske yazılmadan veya internet üzerinden gönderilmeden önce şifrelenmiş serileştirilmiş ikili blob biçiminde işleniyor
  • Konum verileri geçici bir AES anahtarıyla şifreleniyor ve bu AES anahtarı da açık bir RSA anahtarıyla tekrar şifreleniyor
    • Bu yöntem sertifika pinning'e bağlı değil
    • Uygulama değiştirilmeden veya karşılık gelen RSA özel anahtarı olmadan, ortadaki adam tipi ağ incelemesiyle içeriği görmek zor

Donanım ve test ortamı

  • Donanımın iç yapısı basit; merkezde bir voltaj regülatörü ve Texas Instruments CC2541 Bluetooth Low Energy MCU bulunuyor
  • CC2541 CPU, 8 bit Intel 8051 tabanlı; sonraki CC ailesi ise ARM Cortex mimarisini kullanıyor
  • CC ailesi SoC'ler özel bir on-chip hata ayıklama arayüzünü destekliyor; JTAG veya SWD görünmüyor
  • Cihaz OTA güncellemeyi destekliyor ve firmware'i HTTP üzerinden döndüren bir REST endpoint'i part 3'te belgelenmiş
  • Akım algılama için shunt ya da başka bir akım ölçüm devresi görünmüyor; bu da donanımın çok basit bir yapıda olduğunu gösteriyor
  • Testler küçük bir 12V kurşun-asit akü, BM2 akü monitörü ve root erişimli bir Android cihazla yapıldı
  • AMap konum verileri yalnızca fiziksel hareket algılandığında bellekteki veritabanına yazıldığından, çalışma zamanı enstrümantasyonu için Frida ve Objection kullanıldı

Dinamik ve statik analiz süreci

  • GPS koordinatları, Frida ile android.location.Location.getLatitude ve getLongitude hook'lanarak sahte değerlerle değiştirilebiliyor
  • Objection'ın Wallbreaker eklentisiyle uygulamanın heap belleğinde GPS, operatör baz istasyonu ve Wi-Fi verisi örnekleri görüldü
  • APK, cihazdan adb shell pm path ile yol bilgisi alınıp çıkarıldı ve JADX ile decompile edildi
  • AndroidManifest.xml içinde FINE_LOCATION dışında CAMERA, IMAGE_CAPTURE, ACTION_VIDEO_CAPTURE, MODIFY_AUDIO_SETTINGS, RECORD_AUDIO gibi izinler de görüldü; ancak bu işlevlerin kullanılıp kullanılmadığı için ek inceleme gerekiyor
  • Uygulamanın giriş noktası com.stub.StubApp ve qihoo.util ticari packer'ı kullanılmış
  • frida-dexdump ile çalışan bellekteki özgün Dalvik yürütme bayt kodu döküldü, ardından dex2jar ve JADX ile okunabilir Java koduna dönüştürüldü
  • BM2 uygulamasının ana gövdesinde ek bir obfuscation yoktu, ancak amap konum hizmeti SDK'sı obfuscation'lıydı ve JADX'nin deobfuscation özelliğiyle bazı sınıf adları geri kazanıldı

İlgili okumalar

1 yorum

 
GN⁺ 2023-06-27
Hacker News yorumları

  • BLE araç aküsü monitörünü tersine mühendislik ile incelemenin sonucu. Bu uygulama yalnızca Google Play’de 100 binden fazla indirilmiş.
    Meğer GPS, cep telefonu baz istasyonu hücre kimliği ve Wi‑Fi beacon verilerini sürekli Hong Kong ve Çin ana karasındaki sunuculara gönderiyormuş. Google ve Apple uygulama mağazası sayfalarında kişisel veri toplamadığı ya da üçüncü taraflara göndermediği yazıyor.
    Bağlı cihaz uygulamalarını analiz etmek isteyenlere birkaç ipucu olmasını umarım.

    • BM6 varyantı da var gibi görünüyor; burada kişisel hesap oluşturma ve araç takibi yapılabildiği açıkça belirtilmiş.
      https://www.amazon.de/dp/B0BLG9Z462
      Görsellerden üçüncüsüne tıklayınca bir karşılaştırma tablosu çıkıyor; bunu BM6’ya özgü özel bir özellikmiş gibi sunmaları ilginç, oysa aslında sadece uygulama özelliği.
      Cihaz QR kodu [0] şu uygulamaya yönlendiriyor: https://play.google.com/store/apps/details?id=com.dc.bm6
      Bu yüzden https://link.quicklynks.com/bm3.html ve https://link.quicklynks.com/bm4.html gibi diğer URL’leri de kontrol ettim; ikincisi https://www.leagend.com/ adresine yönlendiriyor ve şu YouTube kanalını işletiyor: https://www.youtube.com/channel/UCqkvyOFP5cXQ02f3h1Ns42Q
      [0] http://link.quicklynks.com/bm6.html
    • Daha kötüsü, en son kontrol ettiğimde Android’de BLE cihazına bağlanmak için konum izni gerekiyordu. Muhtemelen BLE taramasıyla konum tahmin edilebildiği için.
    • 100 bin kişinin neden bir araç aküsü izleme uygulamasına ihtiyaç duyduğunu anlamıyorum. Gösterge panelinde zaten gösteriliyor; bu uygulama daha ne sağlıyor, merak ediyorum.
      Telefonun pilini de sürekli tüketerek, gösterge panelinin zaten söylediği şeyi telefon ekranında görmeye gerçekten değer mi bilmiyorum. Sabit bir akü ise analog bir voltmetre kadranı kullanılsa olmaz mı?
      Günümüzde uygulamasız çalışan bağımsız cihaz bulmak çok zor. Örneğin, uygulama olmadan gövde üzerindeki düğmelerle renk seçilebilen bir LED lamba bulmak bile zordu; bir tane buldum ama uygulama olmadan renk döngüsü hâlâ mümkün değildi.
      İnsanlar böyle saçmalıkları tercih etmeseydi, yeniden normal elektronik ürünler bulmak daha kolay olurdu.

  • Android’de kullanıcının bir uygulamanın 1) başlangıçta çalışmasını 2) arka planda çalışmasını neden engelleyemediğini anlamıyorum. En azından kullanıcı onayına bağlı bir izin olmalı değil mi?
    Bu şekilde veri emen uygulamaların önemli bir kısmı engellenebilirdi; Google’ı da suç ortağı olarak görüyorum.

    • LineageOS eskiden uygulamalara sahte veri veren bağımsız bir izin sistemiyle bundan fazlasını yapabiliyordu ve uygulama da şikâyet edemiyordu. Google o özelliğin kaldırılmasını sağladı.
    • Mobil bu açıdan 90’lar ve 2000’lerdeki masaüstü deneyiminden çok daha kötü. Bariz bir gerileme gibi hissettiriyor; en azından Windows 98’de StartUp klasöründen öğe silebiliyordunuz.
    • İstediğiniz şey GrapheneOS’e daha yakın görünüyor.
      https://grapheneos.org/
    • Yakın zamanda Android’de birkaç saatte bir “X uygulaması konum verisi istediği için konumu açtı” gibi bildirim gösteren bir uygulamayla karşılaştım.
      Uygulamaların konum verisinin etkinleştirilmesini isteyebildiğini biliyorum ama bir uygulamanın bunu tek taraflı açabilmesine şaşırdım ve engellemenin bir yolunu da bulamadım.
      Bu tür nedenlerle herhangi bir telefona güvenmenin zor olduğunu hissediyorum.
    • iOS’ta uygulama bazında açılıp kapatılabilen arka planda uygulama yenileme ayarı var.

  • Bu tür vakalar yüzünden dijital mahremiyet ve onu koruyan yasalar için mücadeleyi bırakmamalıyız.
    Mesele “saklayacak bir şeyim yok” meselesi değil; üçüncü tarafların açık farkındalık ve rıza olmadan gözetim yapmasını ve kişisel verileri satmasını engelleme meselesi.
    Şu anda topyekûn bir veri savaşının ortasındayız ve sert biçimde karşı koymalıyız.

  • Kötü niyetli aktörler için fiilen hiçbir bedel yokken bunun standart hâline gelmiş olması sinir bozucu.
    Bu yazıyı görünce GrapheneOS kullandığım için sevindim. Birkaç aydır günlük kullanımda kullanıyorum; tüm uygulamaların kurulum sırasında ağ izni açıkça onaylanıyor ya da reddediliyor.
    Bu tür yerel uygulamalara asla ağ izni vermiyorum; içime hiçbir zaman sinmeyen klavye uygulamasına da vermiyorum.

    • İzinlerin gizlenmesi ve kullanıcının en az güvenmesi gereken taraflara neredeyse tamamen güvenmek zorunda bırakılması nedeniyle bu durum standart hâline geliyor ve aktif biçimde teşvik ediliyor.
      Gülünç seviyede olmanın ötesinde, kullanıcı mahremiyeti ve güvenliğine açıkça düşmanca.
    • GrapheneOS’e geçmeyi düşünüyorum ama yalnızca Google telefonlarda çalışması beni tereddütte bırakıyor. Diğer Android alternatif işletim sistemleri çok daha düşük uyumluluğa sahip görünüyor; acaba fazla mı şüpheciyim?
    • Hangi uygulamaların başlangıçta çalıştığını ve hangilerinin arka planda çalışabileceğini denetlemenin mümkün olup olmadığını merak ediyorum.

  • İşletim sistemleri internet erişimini, kullanıcının izin verebildiği veya geri alabileceği bir yetki haline getirmeli. Android’de eskiden böyle bir şey var gibiydi; iOS’ta ise mobil veri dışında yoktu sanırım.
    Bluetooth kullandığını iddia eden bir cihaz satın aldıysam ama aslında internet erişimine ihtiyaç duyuyorsa iade ederim.

    • Android’deki izin verme/geri alma modeli sonradan eklenmiş bir yapı. Eskiden mağazadan yüklemeden önce tüm izinleri tek seferde kabul etmeniz gerekiyordu; internet erişimi de bunlardan biriydi.
      Kabul etmezseniz uygulamayı alamıyordunuz. Bazı izinler hâlâ böyle, pek çok izin ise izin verme/geri alma modeline geçti.
      İnternet erişimi hâlâ bir izin, ancak Google Play artık bunu sormadığı için tüm uygulamalar buna sahip olabiliyor. Yine de manifest’te talep edilmemişse çalışmıyor.
    • Android’de belirli bir uygulamanın internet erişimini engellemek için NetGuard kullanmayı denedim.
      https://netguard.me/
    • Uygulamaların gönderip aldığı ağ isteklerini görebilsek iyi olurdu.
      Yeni başlayanlara alan adlarını gösterebilir; Apple’ın bir şekilde izin listesine aldığı alan adları yeşil renkle işaretlenebilir. Ne izin listesinde ne de engel listesindeyse sarı renkle gösterilebilir; renkler kafa karıştırıyorsa sadece adını göstermek de yeterli olabilir.
      Engel listesindeki adreslere istek atan uygulamalar, ek inceleme yapılana kadar App Store’dan engellenebilir.
      İleri seviye kullanıcıların dokunarak payload ve header gibi ayrıntıları görebilmesi iyi olurdu. Bu işleve gerçekten ihtiyaç var ve eklemesi de o kadar zor görünmüyor.
    • En komik kısım bu. Tüm izinler içinde gerçekten önemli olanlar fiilen sadece iki tane: tam dosya erişimi ve ağ erişimi. Uygulama deposu dışındaki verileri okuyamıyor ya da yazamıyorsa Bluetooth izni olup olmamasının ne önemi var ki?
    • Kullanıcının doğrudan izin verdiği bir yetki değil ama sandbox’a alınmış macOS uygulamalarında ağ erişimi için bir entitlement[1] var. Apple, Mac App Store’da satılan tüm uygulamalar için sandboxing’i zorunlu tutuyor.
      [1]: https://developer.apple.com/documentation/bundleresources/en...

  • Uygulama mağazası sağlayıcıları “kişisel veriler toplanmaz veya üçüncü taraflara aktarılmaz” gibi ifadeleri tamamen kaldırmalı gibi geliyor.
    Bunun yerine “Bu uygulamanın ağla ilgili izinleri var; istediği veriyi istediği yere gönderebilir” ya da “Uygulama geliştiricisi verileri üçüncü taraflara vermediğini iddia ediyor, ancak bizim bunu doğrulama yöntemimiz kesinlikle yok” diye uyarmalılar.
    Gerçekçi olarak Apple veya Google, neyin üçüncü taraf olduğunu bilemez. Çin ve Hong Kong’daki sunucular birinci taraf da olabilir; kim bilebilir? Uygulamanın geliştiricisi dışında kimse bilemez.

    • Çin’le bağlantılı dijital veya elektronik teknolojilerle uğraşıyorsanız, mevcut tüm kişisel bilgilerin, konum bilgilerinin ve diğer verilerin çıkarılıp toplandığını ve Çin Komünist Partisi tarafından erişilebilir olduğunu varsaymak daha doğru olur.
      Çin Komünist Partisi belirli bir bireyin verileriyle pek ilgilenmeyebilir, ancak toplu verilerle son derece ilgilenir. Ayrıca yıllar boyunca toplanmış milyonlarca ABD hükümeti çalışanının verileri gibi belirli hedeflerle birleştiğinde çok kullanışlı hale gelir [0][1].
      Açık ticaret ve etkileşimin Çin’de demokrasi ve özgürlüğe yol açacağı yönündeki “büyük deney” tamamen başarısız oldu. Sonuçta sadece küresel genişleme peşindeki acımasız bir diktatörlüğü daha da güçlendirdi. Çin’le iş yapılmamalı.
      [0] https://en.wikipedia.org/wiki/Office_of_Personnel_Management...
      [1] https://www.nbcnews.com/tech/security/china-spent-years-coll...

  • İzleyen cihazın da sonunda izlediği şeyin kendisini yavaş yavaş tükettiğini fark etmek gerekiyor. Sonunda monitörü yeniden aktif biçimde izlemek zorunda kalıyorsunuz.
    Bu BLE cihazı otomobil aküsünü yavaş ama kesin biçimde tüketiyor. Bir gün uyarı gönderdiğinde aküyü şarj etmeniz gerekecek; kısa süre sonra uyarı göndermeyi bile bırakacak.
    Üstelik telefon verinizi de emip Çin’e gönderecek, telefonun pilini de tüketecek. Bayramlarda verilebilecek en kötü hediye olarak bundan daha iyisini düşünmek zor; nadir görülen bir üçlü tüketici tehdidi.

    • Tipik bir 70Ah otomobil aküsünde bu monitörün 1mA akım tüketimiyle aküyü boşaltması 8 yıl sürer. “%25 kaldı” uyarısı aldığınızda, yeniden şarja kadar sadece 2 yılınız kalmış demektir.
      Ciddi konuşmak gerekirse, kendi kendine deşarj bu monitörden kabaca bir büyüklük mertebesi daha fazladır.

  • Android’in gerçek cihazlarda sahte GPS verisi verebilen bir özelliğe ihtiyacı var. Sebepsiz yere GPS isteyen uygulamalar için yararlı olurdu.
    El feneri uygulamasının açılmak için GPS’e ihtiyacı varsa sorun değil. Şu anki konumum Kilimanjaro Dağı.

    • Android, kullanıcıyı konumla ilgili izin gerektiği konusunda uyarıyor. Sorun şu ki Bluetooth taraması için bu izin gerekiyor ve uygulama geliştiricileri bunu kötüye kullanarak başka konum verileri de topluyor.
      Uygulama geliştiricileri açılır pencerede kullanıcıya “Bluetooth’un çalışması için izin ver’e basın” gibi açıklamalar yapmaya da çalışıyor.
    • Geliştirici ayarlarında mock location özelliği var. Anladığım kadarıyla “sahte konum verisi” sağlayan bir uygulama indirip seçiyorsunuz; o uygulama nasıl uygulanmışsa sahte konumu o şekilde sağlıyor.

  • Bu noktada bu tür cihazların büyük miktarda veri toplayıp merkeze gönderdiğini varsaymak makul. TP-Link router’ların da her şeyi Çin’e gönderiyor olması şaşırtıcı olmaz.
    Ancak bu yalnızca Çin’le sınırlı bir mesele değil; şu an kullandığınız iPhone’un da tüm tuş vuruşlarını ve konum verilerini ABD’ye gönderiyor olma ihtimali var.

    • Bu şekilde “öyle olduğunu varsayma” düşünce biçimi pek hoşuma gitmiyor. Örneğin bir TP-Link router verileri geri gönderiyorsa, gerçek casusluk teknolojisi kullanılmadığı sürece bunu açık internet üzerindeki paketlerle gönderir. Bu doğrulanabilir.
      TP-Link router’ın her şeyi uzak sunuculara gönderdiğinden şüpheleniyorsanız trafiği izlemek yeterli.

  • Arkadaşlarım gizlilik ve veri toplama konusundaki takıntımla dalga geçtiğinde, işte tam da böyle örnekleri gösteriyorum.
    Bunu kötü niyetli nedenlerle yaptıklarına inanmak için bir dayanak yok, ama gerçekte bunu bilmenin bir yolu da yok. Belki de sadece cehalet ya da beceriksizliktir.

    • Bunu belgelememin nedenlerinden biri farkındalığı artırmak ve başkalarını da evlerindeki cihazların ve uygulamaların ne yaptığını incelemeye teşvik etmek.
      Cihaz üreticisinin topladığı konum verisi miktarı kayda değer. Eğer bundan para kazanıyorlarsa, son kullanıcıya açıklanmamış olsa bile bunun kötü niyetli sayılıp sayılamayacağını merak ediyorum.
      Uygulamanın kullandığı AMap SDK çok daha fazla konum verisi topluyor. Burada amacın konum servislerinin ve harita yazılımının doğruluğunu artırmak olması daha olası gibi geliyor; bunu kendi başına kötü niyetli görmüyorum.
      Ancak bu davranış kullanıcılara ve geliştiricilere açıklanmadıysa durum değişir. Site Çince [1]; ayrıntılı şartları okuyup bunu doğrulayacak biri çıkar mı, ondan da emin değilim.
      [1] https://lbs.amap.com/api/lightweight-android-sdk/download
    • Niyetin kötü görünmemesi bunun kabul edilebilir olduğu anlamına gelmez. Saklayacak bir şey yoksa veri topladıklarını en başından neden dürüstçe açıklamadıkları da ayrı bir sorun.
      Bir zamanlar tüm web sitelerindeki Facebook “Like” düğmelerinin zararsız olduğunu sanıp, sonradan izinsiz olarak ne kadar geniş çapta izleme yapıldığını öğrendiğimiz günleri hatırlatıyor.
      Çin’in tipik yöntemi, dışarıdan zararsız görünen yollarla bilerek veri toplamak ya da ileride kötüye kullanılabilecek güvenlik açıklarını kasıtlı olarak ardına kadar açık bırakmak. Yakalanınca da “Özür dileriz, hemen düzelteceğiz” diyorlar.
      Daha da kötüsü, bu davranışların hiçbir sonucu olmaması. Google, AB ya da FTC’den biri para cezası kesmeli.
    • İnsanların pek düşünmeden kendi verilerini vermesi, ortak malların trajedisinin özel bir örneği ya da bunun tersine benziyor. Elbette her yerde geçerli değil, ama en saf kullanıcıya uyum sağlamanın bir bedeli var.