تدقيق هواتف Xiaomi و Huawei التي تم الإبلاغ عنها باللون الأحمر ولكنها أعطت OnePlus تمريرة.
نشر مركز الأمن السيبراني الوطني الليتواني (NCSC) مؤخراً تقييماً أمنياً لثلاثة هواتف ذكية حديثة الصنع صينية الصنع - Huawei P40 5G و Xiaomi Mi 10T 5G و OnePlus 8T 5G . يمكن للمتسوقين الأمريكيين المصممين بشكل كافٍ العثور على P40 5G على Amazon و Mi 10T 5G على Walmart.com - لكننا لن نقدم روابط مباشرة لهذه الهواتف ، بالنظر إلى نتائج تدقيق أمان NCSC.
يشتمل هاتف Xiaomi على وحدات برمجية مصممة خصيصاً لتسريب البيانات إلى السلطات الصينية وفرض الرقابة على الوسائط المتعلقة بالموضوعات التي تعتبرها الحكومة الصينية حساسة.
يستبدل هاتف Huawei متجر تطبيقات Google Play القياسي ببدائل الجهات الخارجية التي وجد مركز NCSC أنها تحتوي على إعادة حزم سطحية وربما ضارة للتطبيقات الشائعة.
كان OnePlus 8T 5G - الذي يمكن القول أنه أكثر الهواتف شهرة وتسويقاً على نطاق واسع بين الثلاثة - هو الوحيد الذي هرب من تدقيق NCSC دون رفع أي علامات حمراء.
هاتف Xiaomi Mi 10T 5G
يأتي هاتف Mi 10T 5G من Xiaomi مع متصفح غير قياسي يسمى "Mi Browser". وجد NCSC عنصرين في Mi Browser لم يعجبهما - Google Analytics ، ووحدة أقل شيوعاً تسمى Sensor Data.
يمكن لوحدة Google Analytics في Mi Browser القراءة من سجل التصفح والبحث بالجهاز ويمكنها بعد ذلك إرسال تلك البيانات إلى خوادم Xiaomi لتحليلها واستخدامها بشكل غير محدد. يتم تنشيط وحدة Google Analytics تلقائياً بشكل إفتراضي أثناء التنشيط الأول للهاتف أو بعد إعادة ضبط المصنع.
وجد مركز NCSC أن وحدة Sensor Data تجمع إحصاءات عن 61 معلمة متعلقة بنشاط التطبيق ، بما في ذلك وقت تنشيط التطبيق واللغة المستخدمة وما إلى ذلك. يتم تشفير هذه الإحصائيات وإرسالها إلى خوادم Xiaomi في سنغافورة ، وهي دولة لا يغطيها القانون العام لحماية البيانات (GDPR) الخاص بالإتحاد الأوروبي والتي يلاحظها NCSC وتم ربطها بجمع البيانات المفرط وإساءة إستخدام خصوصية المستخدم.
وجد NCSC أيضاً أن رقم الهاتف المحمول للمستخدم مسجل بصمت على الخوادم في سنغافورة عبر رسالة SMS مشفرة عند تنشيط خدمات Xiaomi السحابية الإفتراضية. يتم إرسال رقم الهاتف المحمول سواء قام المستخدم بربطه بحساب سحابي جديد أم لا ، والرسائل القصيرة المشفرة غير مرئية للمستخدم.
العديد من تطبيقات نظام Xiaomi على Mi 10T 5G تقوم بانتظام بتنزيل ملف يسمى MiAdBlackListConfig من خوادم في سنغافورة. في هذا الملف ، وجد المركز الوطني للأمن الرياضي 449 سجلاً تحدد المجموعات الدينية والسياسية والإجتماعية. تستخدم فئات البرامج في تطبيقات Xiaomi هذه MiAdBlackListConfig لتحليل الوسائط المتعددة التي قد يتم عرضها على الجهاز وحظر هذا المحتوى إذا كانت الكلمات الرئيسية "غير المرغوب فيها" مرتبطة بها.
على الرغم من أن NCSC إكتشف أن تصفية المحتوى الفعلية عبر MiAdBlackListConfig معطلة على الهواتف المسجلة في الإتحاد الأوروبي ، لا تزال الهواتف تقوم بتنزيل قائمة الحظر نفسها بانتظام ، وتقول الوكالة إنه يمكن إعادة تنشيطها عن بُعد في أي وقت.
هواوي P40 5G
على الرغم من أن NCSC لم يعثر على نفس فئة برامج التجسس ووحدات تصفية المحتوى في Huawei P40 5G كما هو الحال في Mi 10T 5G ، إلا أنه لا يزال غير راضٍ عن البنية التحتية لبرامج الهاتف - ولسبب وجيه.
تنبع أكثر مشاكل P40 5G وضوحاً من إستبدال Google Play Store بمتجر AppGallery الخاص بشركة Huawei ، والذي يعتبر "مكاناً أكثر أماناً للحصول على جميع تطبيقاتك المفضلة". وجد NCSC أنه إذا بحث مستخدم في AppGallery عن تطبيق معين ، فسيتم إعادة توجيهه بصمت إلى متاجر تطبيقات الطرف الثالث إذا لم يتم العثور على تطابق في AppGallery نفسه.
تتضمن منصات التوزيع التابعة لجهات خارجية والتي وجد مركز NCSC أنها مرتبطة بـ AppGallery ، على سبيل المثال لا الحصر ، Apkmonk و APKPure و Aptoide. إستخدم NCSC VirusTotal لفحص العديد من التطبيقات المثبتة عبر AppGallery ومنصات الطرف الثالث المرتبطة به ، واكتشف برامج ضارة محتملة في ثلاثة: وسائل التواصل الإجتماعي All in One ، و CNC Machinist Tapping Calculator ، و تطبيق Messenger ، Light All-in-One ، تطبيق Live Free Chat Pro.
لسنا متأكدين من مقدار الملح الذي يجب أن نتعامل معه مع نتائج "البرامج الضارة" الخاصة بـ NCSC نظراً لأن الوكالة لم تقم بإجراء هندسة عكسية لأي من التطبيقات الثلاثة التي لم تعجب VirusTotal - كما أن الإيجابيات الكاذبة لمكافحة الفيروسات في التطبيقات الأقل شهرة تحدث ببعض الإنتظام . ومع ذلك ، فإن الإرتباط الصامت على ما يبدو من AppGallery إلى متاجر التطبيقات التابعة لجهات خارجية يمثل خطراً حقيقياً لإختراق الجهاز.
على الرغم من أن Apkmonk و APKPure و Aptoide كلها "متاجر بديلة" معروفة جيداً ، إلا أنها أقل دقة من متجر Google Play Store.
على سبيل المثال ، يقدم كلاً من المستودع الرئيسي الخاص به - والذي يتم تنسيقه وفحصه ويبدو أنه آمن مثل متجر Play. لكن Aptoide يسمح أيضاً بالإستضافة الذاتية السهلة لمستودعات APK لأي شخص يريد تحميل ملفاته الخاصة - سواء كان مستخدماً يريد "نسخ إحتياطي" لملفات APK التي يمكن أن تختفي من متجر Play ، أو مطوراً يستضيف برامجه الأصلية الخاصة.
إن سهولة إنشاء المستودع على Aptoide - وانتشار التطبيقات المقرصنة والمتصدعة على مستودعات المستخدمين - تجعل "التسوق" غير الحذر من قبل مستخدمين أقل دراية خطراً أمنياً شديداً ، لا سيما عندما لا يدرك هؤلاء المستخدمون أنهم تركوا أمان التيار الرئيسي في المقام الأول.
حتى المستخدمين الذين لا يبحثون عن برامج مقرصنة قد يتعثرون عن غير قصد في إعادة حزم البرامج الضارة المضافة أو النسخ المقلدة من التطبيقات المشروعة ، مع إضافة "شرعية" واضحة من خلال إعادة توقيع التطبيق المعدل أو المقلد باستخدام مفتاح القائم بالتحميل.
الإستنتاجات
إستناداً إلى نتائج NCSC ، لا يبدو أن هناك أي مشكلة في هاتف OnePlus - وهو ما لم يكن مفاجئاً ، لأنه العلامة التجارية الوحيدة من بين الثلاثة التي لم تخضع لتدقيق سلبي متكرر من الإدارات غير الصينية.
قد يكون المستهلكون المغامرون و / أو الذين يكرهون Google مهتمين بشكل معقول بـ Huawei P40 ، والذي يبدو أنه يعاني من نقص في الحواجز الوقائية للبرامج الضارة أكثر من الرقابة الفعلية و / أو برامج التجسس المفروضة بشكل مباشر.
أخيراً ، ننصح بشدة بتجنب Xiaomi Mi 10T - وظيفة قائمة الحظر المعطلة ولكن المحدثة بانتظام تبدو لنا كتحذير من الرقابة الإستبدادية المباشرة التي لا ينبغي تجاهلها بسهولة.
