Кількість трекерів, що відстежують користувачів, значно зростає через взаємодію автівок та їхніх супутніх застосунків.
Нове дослідження, проведене командою науковців з Північно-Східного університету та Consumer Reports, виявило, що сучасні автомобілі з підключенням до мережі залишаються серйозною проблемою для конфіденційності. Тестування 21 автомобіля 19 різних брендів показало, що вони передають дані рекламодавцям і трекерам, а також діляться інформацією з технологічними гігантами, такими як Microsoft та Adobe. Використання супутніх застосунків для автомобіля може посилити цю проблему.
У 2023 році Mozilla Foundation опублікувала звіт щодо політик конфіденційності понад двох десятків автовиробників, назвавши автомобілі “найгіршою категорією продуктів з точки зору конфіденційності”. Однак, попереднє дослідження базувалося на аналізі документів, тоді як нове включало вимірювання трафіку від реальних автомобілів у різних сценаріях, включно з роботою на холостому ходу та під час руху. Для перевірки, чи перенаправлятиметься трафік на Wi-Fi-з’єднання за відсутності стільникового сигналу, 11 електромобілів були розміщені у Фарадеєвій клітці.
Спроби перехопити дані за допомогою модифікованих сертифікатів були невдалими. Проте, як зазначають дослідники, “трасування мережі надало цінну інформацію, включаючи домени, до яких зверталися через DNS-трафік, індикацію імені сервера (SNI) у TLS-з’єднаннях, обсяг та час передачі даних, а також відмінності у поведінці між експериментальними сценаріями”.
Усі протестовані автомобілі зверталися до власних доменів (OEM). Деякі, як-от Buick Envista та Mercedes-Benz EQS, не виходили в мережу за межі власних ресурсів. Інші, зокрема Tesla Model 3, контактували з 34 рекламними, трекінговими та аналітичними доменами, а також з 37 доменами додатків, інтегрованих в інформаційно-розважальну систему.
Домени Alphabet були найчастіше використовуваними, що не дивно, враховуючи поширеність їхньої ОС Android Automotive. Дослідники зауважили, що багато з другорядних доменів (наприклад, doubleclick.net та googlesyndication.com) використовуються для рекламних цілей. Також значну частку становили компанії, що надають послуги потокового медіа (Spotify, Sirius XM) та навігаційні сервіси (HERE, TomTom, Mapbox).
Використання інформаційно-розважальної системи автомобіля призводило до звернення до найбільшої кількості доменів порівняно з перебуванням на холостому ходу або під час руху. Виняток склав Tesla Cybertruck, який під час руху контактував з 26 додатковими сторонніми доменами, ніж у стані спокою.
Через вихлопні гази електромобілі були єдиними, які можна було безпечно тестувати у Фарадеєвій клітці. Після відключення від стільникового сигналу деякі електромобілі, включно з Cadillac Lyriq, Chevrolet Blazer, Honda Prologue та Rivian R1S, припинили використовувати підключені підсистеми. Однак, деякі автівки перенаправили свій трафік до Wi-Fi, що дозволило дослідникам відстежити раніше невидимі потоки даних.
Наступним кроком було тестування 30 різних застосунків для автомобілів з підключенням до мережі. Деякі з них надавали доступ до понад 20 нових рекламних, трекінгових та аналітичних компаній. Найбільше таких випадків було зафіксовано у General Motors, Toyota та Nissan.
Автори дослідження звернулися до 17 автовиробників (Fisker вже припинив існування) і отримали відповіді від 14. Результати не були повністю втішними. Усі виробники повідомили, що обмін даними з третіми сторонами здійснюється відповідно до контрактів, які забороняють використання персональних даних поза межами угод про конфіденційність — тих самих угод, що викликали обурення Mozilla Foundation у 2023 році.
Деякі автовиробники також перекладали відповідальність на вбудований браузер інформаційно-розважальної системи, стверджуючи, що користувачі мають самостійно обирати, приймати чи відхиляти файли cookie. Семеро виробників заявили, що споживачі несуть відповідальність за ознайомлення та прийняття всіх умов використання підключених сервісів, навіть якщо програмне забезпечення вже встановлено на автомобілі. Як зазначають автори, відмова від угоди про обмін даними може призвести до втрати сервісів та функціональності, що є невигідним, якщо йдеться про втрату очікуваних функцій.
Водночас, було й позитивне зрушення: після звернення Honda змінила свою політику щодо даних та більше не передає точні дані про місцезнаходження принаймні одній компанії-трекеру.
Подробиці можна знайти на сайті: arstechnica.com