Kritische Android-ontwikkelaar haalt zijn gelijk
We registreren alleen gebruik, geen ingevoerde data, stelde Carrier IQ vorige week in het conflict met criticus Trevor Eckhart. Onzin, toont Eckhart nu aan met een video. De app van Carrier IQ registreert iedere 'toets'aanslag.
Carrier IQ biedt telecomaanbieders een app aan om het gebruik van het toestel en de prestaties ervan te registreren. Die app is door de telecomaanbieders op miljoenen Android-toestellen, BlackBerry's en Nokia-telefoons gezet zonder dat de gebruiker daar weet van heeft.
Eckhart bond vorige week de kat de bel aan met de bewering dat Carrier IQ's app zich gedroeg als een rootkit en keylogger. Daarbij baseerde hij zich op de handleiding van het bedrijf. Een kopie daarvan, die hij had gehaald vaneen publiek toegankelijk deel van Carrier IQ's site, publiceerde hij op zijn blog. Dat was voor Carrier IQ aanleiding om Eckhart met juridische stappen te dreigen.
Dat dreigement trok Carrier IQ al snel in, maar het bleef wel onderstrepen dat zijn app geen rootkit of keylogger is, niet in realtime data doorgeeft en niet geschikt is om inbreuk te maken op de privacy van eigenaren van een mobieltje met zijn app erop.
Video weerspreekt Carrier IQ's beweringen
Eckhart heeft nu een 17 minuten durende video op YouTube geplaatst die het ongelijk van Carrier IQ moet aantonen.
In het filmpje laat hij met een standaard mobieltje dat teruggezet is op de fabrieksinstellingen zien dat de Carrier IQ-app wel degelijk iedere handeling, dus ook alle tekstinvoer, in real-time registreert. Via de packetsniffer die Eckhart gebruikt om de communicatie van de Carrier IQ-app af te tappen zag Eckhart zijn invoer nog eerder verschijnen dan op het beeldscherm van het mobieltje.
Ook privacy-instellingen worden door de app niet gerespecteerd, demonstreert Eckhart. Dat doet hij door via wifi contact te leggen met Google, en het verzoek om zijn locatiegegevens te delen af te wijzen. De Carrier IQ-app slaat die gegevens we degelijk op. Ook het gebruik van SSL in de communicatie met Google maakt voor de app van Carrier IQ niet uit: voordat de invoer versleuteld kan worden, vangt de app deze al af.
Carrier IQ heeft voor zover bekend nog niet gereageerd op Eckharts bewijsvoering, hoewel het filmpje al ruim een dag op YouTube staat.
Reacties
Goede zaak dat dit bekend is gemaakt.
Overheidsdiensten zullen er niet zo snel mee wat doen, maar het zet te denken wat de fabrikant of Carrier IQ er precies mee doen, behalve 'ontwikkelen'.
Als consument zijn we teveel afhankelijk geworden van smartphones omdat ze onze behoeftes ondersteunen.
Maar dat houdt niet per definitie in dat wij in alles wat we doen gevolgd moeten worden.
Ik ben overigens benieuwd of het ook op Android zit, zelf heb ik het nog niet gevonden.