Allt du behöver veta om CarrierIQ

Carrier IQ är ett företag som säljer mjukvara till trådlösa företag som rapporterar hur bra nätverk presterar i realtid, genom att skicka prestandadata från mer än 141 miljoner telefoner.

Trevor Eckhart demonstrerar Carrier IQ.

Låter tillräckligt tråkigt, men under de senaste två veckorna har Carrier IQ blivit centrum för en stor kontrovers bland avslöjanden att dess programvara kan fånga (och därför potentiellt överföra) tangenttryckningar, platsdata och nästan allt annat om dina telefonaktiviteter – och det de flesta användare var inte bara omedvetna om dess närvaro, utan kunde inte inaktivera den.

Företagets hemsida säger programvaran hjälper nätverksleverantörer att ge bättre service och är en välsignelse för batteritiden.

Vår programvara låter operatörer ta reda på varför problem uppstår, varför samtal avbryts och hur man förlänger batteriets livslängd... Carrier IQs Mobile Service Intelligence Platform (MSIP) … tar emot rådata (känd som Metrics) från telefoner och omvandlar dem till pålitliga, repeterbara åtgärder som matas in i analytiska applikationer.

Den 16 november gjorde en 25-årig säkerhetsforskare vid namn Trevor Eckhart, efter att ha granskat Carrier IQ-företagets utbildningsmanualer och dokument, sina första anspråk att dessa mätvärden inkluderade alla typer av personuppgifter.

Omfattningen av ordet metrisk är mycket bred … inklusive enhetstyp, såsom tillverkare och modell, tillgängligt minne och batterilivslängd, typen av applikationer som finns på enheten, enhetens geografiska plats, slutanvändarens knapptryckning på enhet, användningshistorik för enheten, inklusive de som kännetecknar en användares interaktion med en enhet. … När en användare surfar på en webbsida kan HTTP-rubrikinformation hämtas tillsammans med detaljerad information på sidan, eller så kan CarrierIQ logga knapptryckningar på vilken webbsida. När platsen ändras kan telefonen rapportera in. När ett samtal läggs eller data startas kan alla mätvärden efterfrågas. Det finns mycket mer, det här är bara vad som visades i offentliga dokument.

Företaget skickade ett upphörande-brev till honom, men backade senare efter att Electronic Frontier Foundation klev in på Eckharts vägnar. Saker exploderade sedan på måndagen när Eckhart har lagt upp en video visar, i realtid, programvaran som fångar texten i hans SMS (Hello World!), såväl som Googles söktermer, hans platsinformation (även om han hade inaktiverat GPS) och den fullständiga webbadressen till webbplatser han besöker .

I en av veckans finare retoriska blommor, Informationsveckan op-ed författaren Jonathan Feldman sa:

Du kan bara inte hitta på det här. Om jag hade sagt till dig för ett halvår sedan att vara mycket försiktig med att anförtro företagsdata till mobiloperatörer som förinstallerar app-skit, eftersom de skulle bygga in spionprogram i telefoner, samla in säker webbläsarinformation och bädda in den här programvaran så djupt att du måste ändra ROM för att bli av med den, du skulle ha avskrivit mig som en paranoid. Ändå verkar det vara situationen med CarrierIQ, ett bärarverktyg som blivit vild. Liksom Master Control Program i 80-talets science fiction-klassiker, Tron, samlar CarrierIQ in data för ett till synes ofarligt syfte: att hjälpa transportörer att förbättra kvaliteten på sitt nätverk och förbättra användarupplevelsen. Sedan blir den galen och försöker döda alla... Ur ett företagsperspektiv är detta enormt.

På torsdagen serverade Carrier IQ en högljudd försvar , och sa att det inte spelade in, lagrade eller överförde personlig information trots den uppenbara inspelningen som visas på Eckharts video, och citerade en tredjepartsforskare som försvarade företaget:

Även om ett fåtal individer har identifierat att det finns en hel del information tillgänglig för Carrier IQ-mjukvaran inuti handenheten, spelar vår programvara inte in, lagrar eller överför innehållet i SMS-meddelanden, e-post, fotografier, ljud eller video. Vi förstår till exempel om ett SMS skickades korrekt, men vi spelar inte in eller överför innehållet i SMS:et. Vi vet vilka applikationer som dränerar ditt batteri, men fångar inte skärmen. Efter att ha granskat Carrier IQ-implementeringen är det min åsikt att anklagelser om insamling av tangenttryckningar eller annan övervakning av mobilenhetsanvändares innehåll är felaktiga, hävdar Rebecca Bace från Infidel Inc. a respekterad säkerhetsexpert. Integriteten är skyddad.

Också torsdagen skickade den amerikanska senatorn Al Franken, D-Minn, företaget en brev kräva information från företaget, inklusive om det någonsin har delat data med brottsbekämpande myndigheter.

….[Jag] verkar inte som om Carrier IQ:s programvara fångar ett brett spektrum av extremt känslig information från användare som inte verkar ha något att göra med diagnostik – inklusive vem de ringer, innehållet i texterna de tar emot, innehållet i deras sökningar och de webbplatser de besöker. Dessa åtgärder kan bryta mot federala integritetslagar, inklusive Electronic Communications Privacy Act och Computer Fraud and Abuse Act. Detta är potentiellt en mycket allvarlig fråga.

Trådlösa operatörer och hårdvarutillverkare utfärdade också förklarande uttalanden. Till exempel sa Sprint:

Vi använder visserligen Carrier IQ, men vi ser inte och kan inte titta på innehållet i meddelanden etc., som vissa har spekulerat i. Carrier IQ tillhandahåller information som gör att Sprint, och andra operatörer som använder den, kan analysera vår nätverksprestanda och identifiera var vi bör förbättra servicen. Vi använder också data för att förstå enhetens prestanda så att vi kan ta reda på när problem uppstår. Vi samlar in tillräckligt med information för att förstå kundens upplevelse av enheter i vårt nätverk och hur vi åtgärdar eventuella anslutningsproblem, men vi kan inte och kan inte titta på innehållet i meddelanden, foton, videor, etc. med detta verktyg. Informationen som samlas in säljs inte och vi tillhandahåller inte en direkt feed av denna data till någon utanför Sprint.

Verizon sa att programvaran inte finns på någon av dess telefoner, och AT&T sa vi använder enbart CIQ mjukvarudata för att förbättra prestanda för trådlösa nätverk och tjänster, vilket återspeglar ett uttalande från T-Mobile.

Apple sa:

Vi slutade stödja Carrier IQ med iOS 5 i de flesta av våra produkter och kommer att ta bort det helt i en framtida programuppdatering. Med alla diagnostiska data som skickas till Apple måste kunder aktivt välja att dela denna information, och om de gör det skickas uppgifterna i en anonym och krypterad form och innehåller ingen personlig information. Vi har aldrig spelat in tangenttryckningar, meddelanden eller annan personlig information för diagnostiska data och har inga planer på att någonsin göra det.

Ekhart hade gjort sin video med en HTC Android-telefon. HTC sa:

Carrier IQ krävs på enheter av ett antal amerikanska operatörer, så om konsumenter eller media har några frågor om praxis relaterade till, eller data som samlas in av, Carrier IQ skulle vi råda dem att kontakta sin operatör. Det är viktigt att notera att HTC inte är kund eller partner till Carrier IQ och inte tar emot data från applikationen, företaget eller operatörer som samarbetar med Carrier IQ. HTC undersöker möjligheten att tillåta konsumenter att välja bort datainsamling med Carrier IQ-applikationen.

Nokia sa att Carrier IQ inte levererar programvara för Nokia-telefoner.

Samsung sa:

Vissa Samsung-mobiltelefoner inkluderar Carrier IQ, men det är mycket viktigt att notera att det är upp till operatören att begära att Samsung inkluderar den programvaran på enheter. En annan viktig punkt är att Samsung inte får någon konsumentinformation från de telefoner som är utrustade med Carrier IQ.

RIM sa:

RIM förinstallerar inte CarrierIQ-appen på BlackBerry-smarttelefoner och auktoriserar inte dess operatörspartner att installera CarrierIQ-appen före försäljning eller distribution. RIM har inte heller utvecklat eller beställt utvecklingen av CarrierIQ-applikationen och har ingen inblandning i testning, marknadsföring eller distribution av appen. RIM kommer att fortsätta att undersöka rapporter och spekulationer relaterade till CarrierIQ.

Dölj