האייפון שומר תיעוד רציף של מיקום המשתמש ללא ידיעתו...

iDVDi · שליחה 22/04/2011 17:27

סתם עוד בועה של צרכני צומי. הקובץ הזה ידוע כבר מספטמבר וזה מופיע בספר iOS forensic analysis.
הקובץ לא מגיע לאפל אלא נשמר מקומית.
באנדרויד גם יש כזה קובץ.
האשמה של אפל זה בכתיבת הקוד, שבניגוד לגוגל, שכחה להוסיף מחרוזת שמוחקת את המיקומים האחרונים.
יבוא תיקון ושלום על ישראל.

osherov · שליחה 22/04/2011 17:34

nati-va,
עצוב שאתה לא מבין איפה הבעיתיות כאן והראייה שלך בעניין הזה היא צרה מאוד. ההבדל בין זה לבין מידע שיש לחברות הסלולר הוא שמים וארץ. שם, אף אחד לא יכול לקבל את הנתונים המסווגים האלה אפילו אתה, לא יכול לבוא, נניח, לחברת אורנג' ולבקש את המיקום שלך עצמך לפני יומיים. בטח לא של מישהו אחר. נדרש צו של בית משפט ממך על מנת לקחת את המיקום הזה. זה נכון שלמשטרה יש דרך עוקפת למידע הזה ויש לאנשים מסוימים שם יכולת לקבל מידע זה בלי אישור שופט, אבל כמובן שהיכולות הזאת (בעייתית שלעצמה) נתונה לפיקוח ומטרתה לעזור לעבודתה של המשטרה.

המידע הזה (קובץ ה consolidated.db המדובר בגירסה iOS4), כמו שנרשם פה, הוא לא נגיש לאפליקציות "רגילות" מה- AppStore (אגב, הוא ממוקם במחיצת ה User DATA) אבל הוא כן נגיש לכל אפליקציית מערכת ב iOS והוא כן נגיש לאפליקציות מהסידיה שבקלות מפחידה יכולות לקרוא את הקובץ הלא מוצפן הזה ולעשות איתו מה שמתחשק לה.

אבל וזה אבל חמור עוד יותר, כל מי שמצבע גיבוי דרך ה iTunes למחשב שלו (שזה כולם) מעתיק, בלי ידיעתו, את הקובץ המפחיד הזה למחשב הפרטי שלו. כל סינכרון אוטו' מעביר את המידע הזה שוב ושוב למחשב הפרטי שלכם (אגב, אם לא בחרתם בגיבוי מוצפן, אין לכם אפילו אבטחה מינימלית על הקובץ הזה). שם על המחשב שלכם הקובץ שוכב לו בתיקייה עמומה, בלי הגנה, מחכה למישהו שיעשה בה שימוש (בדומה לטבעת האחת המסוכנת כל כך שחושלה בהר הגזירה והלכה לאיבוד בנהר למשך תקופה ארוכה מאוד עד שההוביט מצא אותה (תתעלמו מהכתוב בסוגריים...זה דפיקות שלי

)). ברגע שאותו הקובץ מונח במחשב שלכם, באיזה תיקייה נגישה כמעט לכולם, הסיפור נגמר....כל אפליקצייה "מסכנה" של 100 שורות יכולה לקחת את הקובץ הזה ולעשות איתו ככל העולה על רוחה....ה-כ-ל...

חבר'ה, אנחנו מדברים פה על יותר מ 100 מיליון איש שיושב להם קובץ במכשיר ובמחשב שתיעד חלק עצום מהתנועות שלהם בשנה האחרונה. מהקובץ אפשר להסיק די בקלות, איפה אדם גר, איפה לומדים הילדים שלו, איפה הוא עובד, מתי הוא יצא לחופשה, באיזה מסעדות הוא אוכל, לאיזה מדינות הוא טס, באיזה בתי מלון הוא משתכן, כמה פעמים בשבוע הוא הולך למאהבת שלו. לא יודע מה איתכם, לי זה נשמע ^%$#Fu קובץ מסוכן

[left]What makes this issue worse is that the file is unencrypted and unprotected, and it’s on any machine you’ve synched with your iOS device. It can also be easily accessed on the device itself if it falls into the wrong hands. Anybody with access to this file knows where you’ve been over the last year, since iOS 4 was released.[/left]
...

nati-va,
אני מבין שאין לך שום בעייה עם המידע הזה. אז האם אתה מוכן לשלוח אלי את הקובץ שלך (ושל המשפחה שלך במידה ויש להם אייפונים) כדי שנוכל לגלות את המידע הזה עלייך?! הוא פשוט יושב לו שם בתיקיית גיבוי בתוך אחת הספריות שלך במחשב:
[left] /Users/<your user name>/Library/Application Support/MobileSync/Backups/[/left]

לא יודע מה איתך, אבל אני לא הייתי מוכן שמידע כזה יהיה חשוף כל כך לאחרים (ואני אפילו לא דיברתי ל-האם אפל עצמה עושה שימוש כלשהו בקובץ הזה)

iDVDi,
אני מקווה שאתה מבין שה-שכחה הזה שאתה כל כך ממהר לקבל לזרועותיך (אפל אפילו לא הגיבו לעניין הזה) זה חתיכת הבדל "קטן" (אל תאמין לחלק מהשטויות שנכתבות ברשת על הנושא הזה)

שליחה 22/04/2011 20:23

לדעתי יש כאן בעייתיות עצומה. נמתין לתשובה של אפל לאל פרנקן. אני מהמר ליום שני.

shaulch · שליחה 22/04/2011 21:10

ע"פ הגו'רנל גם HTC android phones שולחים מידע הפעם לגוגל .....

http://online.wsj.com/article/SB1000142 ... TopStories

IamEzio · שליחה 22/04/2011 21:22

זה באמת מפתיע מישהו ?,אבל אם אני לא טועה כשעושים אקטיבציה ראשונית אפשר לבטל את זה.

shlomico · שליחה 22/04/2011 21:53

זה נשמע לי קצת יותר אגרסיבי - אנדרויד אוסף וגם שולח (על חשבוננו

) לגוגל

http://tech.walla.co.il/?w=/4/1817514&m=1&mid=113041

Shed · שליחה 22/04/2011 23:08

shlomico כתב:זה נשמע לי קצת יותר אגרסיבי - אנדרויד אוסף וגם שולח (על חשבוננו ) לגוגל

http://tech.walla.co.il/?w=/4/1817514&m=1&mid=113041
...

אל תאמין לכל דבר שאתה קורא בעיתון, בטח לא בעיתון אינטרנטי.
מערכת ההפעלה אנדרואיד לא אוספת שום נתון על מיקום ולא שולחת שום דבר לגוגל.
האפליקציה latitude עוקבת אחרי מיקום היוזר, ושולחת את הנתונים הנ"ל לגוגל, כך שחברים של אותו יוזר יכולים לראות היכן הוא נמצא.

שים לב להבדל העצום בין המיקרים:
אצל אפל - מערכת ההפעלה עוקבת אחרי היוזר בלי שהוא מודע לכך.
באנדרואיד: מערכת ההפעלה לא אוספת שום מידע על מיקום היוזר. יוזרים שרוצים להשתמש ב-latitude חושפים את מיקומם לגוגל ולעולם. בדיוק כמו שיוזרים שמשתמשים ב-waze חושפים את מיקומם ל-waze ולעולם.

osherov · שליחה 22/04/2011 23:49

IamEzio, iDVDi, shlomico
המשל: ב 1998 ברזיל הפסידה 3:0 בגמר המונידאל לנבחרת צרפת במה שנחשב לאחד המשחקים הגרועים של ברזיל בכל הזמנים. בסקר שנעשה אח"כ בברזיל, שם הכדורגל נחשב לדת, חלק עצום מהאנשים היה בטוח שהמשחק היה מכור ונבחרת ברזיל בעצם במכוון הפסידה את המשחק ההוא לנבחרת צרפת. כלומר, האוהדים השרופים העדיפו שתהיה להם נבחרת מושחתת שמכרה משחק של גמר מונידאל, על פני המצב שיש להם נבחרת גרועה "שפשוט" הובסה אז לנבחרת טובה ממנה!

הנמשל: אתם מעדיפים שאפל, לא רק תאגור את המידע הזה באיזה קובץ על מכשיר האייפון והמחשב שלנו, אלא אתם מוכנים שאפל תשלח את המידע הזה לשרתים שלה באופן קבוע (מעשה חמור פי כמה) ולו רק, אם יימצא שגוגל עושה אותו הדבר!

[left]Android smartphones regularly transmit their locations back to Apple and Google, respectively, according to data and documents analyzed by The Wall Street Journal—intensifying concerns over privacy and the widening trade in personal data.
[/left]
...

האמת:
כמו שקודמי Shed רשם לכם וכמו שרשמתי מקודם, אל תאמינו לכל השטויות שנרשמות בכל פינה ופינה. גופים גדולים ואינטרסנטים זורקים פיסות אינפורמציה לרשת, כדי שמישהו "קטן וטיפש" יפרסם אותם באיזה בלוג או יעלה את זה כאיזה ציטוט ויהפוך את העניין לאמת מסולפת, בלי שמישהו באמת נכנס לעובי הקורה. ממליץ לכם, להיכנס לפעמים קצת יותר לעומק כדי להגיע למקור הידיעה, כדי להבין במה מדובר והאם הדברים סולפו.

האנדרואיד שומר קובץ cache של מיקומו ושל רשתות Wi-Fi אליו הוא מתחבר בתוך תיקייה נסתרת במחיצת ה Data אצלו (לא נגישה לאפליקציות אחרות ולא מגובה לשום מקום) אבל:
-היסטוריית הנתונים שנשמרת קבצבים האלה היא קצרה מאוד (זה בדיוק המשמעות של קובץ cache) ולמרות שלא בדקתי לעומק, על פי גודל הקבצים, אפשר להבין שזה משהו ששומר נתונים של כמה שעות מידע ולא שנה שלמה! (לדעתי אפילו לא יום)

-וחשוב ומגוחך מכך, כדי שהנתונים האלה בכלל ישמרו באותה תיקיית מערכת, המשתמש צריך להפעיל בהגדרות המכשיר שלו אופציה שנקראת: Use wireless network. כברירת מחדל בכל מכשירי האנדרואיד האופציה הזאת כבויה. אבל, רגע....עכשיו תקפצו ותגידו שאולי זה אומנם מכובה, אבל יכול אדם "פשוט" שלא מבין את המשמעות של הסימון הזה ולהדליק אותו, בלי שהוא באמת מבין מה מתרחש שם מאחורי הקלעים! הרי הטקסט של ההגדרה הזאת הוא לא ברור מספיק (ההגדרה נמצאת תחת אזור בהגדרות שנקרא Location & security settings).......אני זורם עם העניין הזה ואפילו מסכים לו....אבל, תראו את ה-הודעה הדרקונית שמוצגת על מסך האנדרואיד שלכם ברגע שאתם בוחרים באופציה הזאת:

sam22 · שליחה 22/04/2011 23:59

השיווק הגאוני של אפל בטח ימכור את זה כאפליקציה לחולי אלצהיימר

osherov · שליחה 23/04/2011 0:10

אם אנשים לא מבינים את ההבדל בין שני המקרים אז יש כאן בעייה עמוקה. רק כדי לסגור את העניין הזה (עד לרגע שמישהו מכם יעלה לכאן עוד איזה ציטוט מאיזה בלוג שאומר שחברת נוקיה או חברת RIM או השד מי יודע מי עושה דבר דומה) יש טענה נוספת של אדם בשם Samy Kamkar שהתפקיד שלו הוא security analyst (לא יודע בדיוק מה התפקיד הזה אומר) שטוען שיש לו הוכחה שמכשירי HTC (רק HTC?!) שולחים את נתוני המיקום שלהם באופן קבוע לשרתי גוגל. אני לא יודע מי זה מר "קל-קר

" הזה ולא ראיתי את התחקיר שהוא עשה, אבל אוי לנו (או לו) אם בסוף התברר שהוא גילה שהנתונים האלה נשלחים לשרתי גוגל, אחרי שהמשתמש הפעיל את האופציה אותה הצגתי בהודעה הקודמת שלי. כלומר, אחרי ש-המשתמש אישר לגוגל לאסוף את נתוני המיקום שלו ולשלוח אותם לשרתי החברה. אגב, ייתכן שבתחקיר שלו הוא מציין את זה, אבל שוב, האינטרסנטים החליטו להשמיט את הסעיפים "הלא חשובים" האלה

אפשר עכשיו לחזור לנושא השרשור?.....או שממשיכים לדבר על גוגל ועל אנדרואיד

mrunderhill · שליחה 23/04/2011 0:23

חלאס! נמאס מהכל.
האייפון החדש שלי:
תמונה

והאייפד החדש שלי:
תמונה

Shed · שליחה 23/04/2011 0:47

osherov,

כל מה שכתבת אכן נכון - אבל שים לב שהמידע שנאסף עבור wireless network locations (לאחר אישור משתמש כמובן) הוא מידע אנונימי, שאין שולח IMEI של המכשיר, google account או כל מידע חד-חד ערכי שמזהה את היוזר.
מידע חד-חד ערכי שכזה נשלח אך ורק אם המשתמש החליט לבצע sign in לשרותי google latitude (או שהוא משתמש ב-waze).

לסיכום:
1. באנדרואיד אין שום מצב שבו מערכת ההפעלה אוספת נתוני מיקום המכילים מידע על המשתמש ושולחת אותם.
2. ישנן אפליקציות לאנדרואיד אשר אוספות מידע כזה, ושומרות אותו על שרתים מרוחקים כגון: google latitude ו-waze הישראלית.

שורה תחתונה - למרות תדמית ה"אח הגדול" שמוצמדת לגוגל (והרבה פעמים בצדק) במקרה הזה, גוגל פועלת "לפי הספר" ולא עוברת על כללי פרטיות, לעומת אפל, שמוכיחה שוב, שגם אם קניתי אייפון, זה לא הטלפון שלי, זה הטלפון של סטיב.

Irus · שליחה 23/04/2011 6:52

אני מציע להתמקד כרגע בנושא שמירת המידע ע״י אפל ולראות מה הפתרון והאם בימים הקרובים אכן ייצא עדכון שיבטל את הפעולה.

שוב נכנסים פה להשוואה בין IOS לאנדרויד... האמת אריה, אני מתפלא שאתה מתפתה ונכנס לכל הוויכוחים האלה...

מעבר לזה, לחובבי האנדרויד יש מספיק במה להתעסק, בטח אחרי כל פרצות האבטחה החמורות שנתגלו לאחרונה במערכת שלהם, או ע״י אפליקציות אחרות אשר מותירות את פרטי המשתמשים, כולל הססמאות, חשופים לחלוטין...

Shed · שליחה 23/04/2011 7:50

Irus כתב:אני מציע להתמקד כרגע בנושא שמירת המידע ע״י אפל ולראות מה הפתרון והאם בימים הקרובים אכן ייצא עדכון שיבטל את הפעולה.

שוב נכנסים פה להשוואה בין IOS לאנדרויד... האמת אריה, אני מתפלא שאתה מתפתה ונכנס לכל הוויכוחים האלה...

מעבר לזה, לחובבי האנדרויד יש מספיק במה להתעסק, בטח אחרי כל פרצות האבטחה החמורות שנתגלו לאחרונה במערכת שלהם, או ע״י אפליקציות אחרות אשר מותירות את פרטי המשתמשים, כולל הססמאות, חשופים לחלוטין...
...

יש הבדל גדול בין פרצת אבטחה (שאגב תוקנה במהירות הבזק) לבין תכנון המערכת לביצוע מעקב ללא ידיעת היוזר
יש הבדל גדול מאוד בין אפליקצית צד ג' (במקרה הנ"ל סקייפ) שכתב אותה מתכנת דביל שהחליט להשתמש ב-flag שאומר שהקבצים שלו עם הרשאות קריאה לכל המערכת לבין מערכת הפעלה שמבצעת פעולות ללא ידיעת המשתמש, וללא הסכמתו.

על האנדרויד שלי אין סקייפ, עד שסקייפ יתקנו את שגיאות האבטחה שלהם. מה יעשו 100 מליון משתמשי האייפון? יזרקו אותו לפח? יפרמטו את המחשב שלהם?

עם אנדרויד ישלי את החופש לבחור האם אני רוצה לספר לגוגל / waze / 4sq איפה אני נמצא או לא. באייפון - אפל פשוט שלחה יד ארוכה מאוד וניכסה את המידע הזה לעצמה.
אני לא אתפלא אם אנחנו נגלה שהאייפון גם מבצע הקלטות ולוקח תמונות בלי שהיוזר יודע על זה על מנת לבצע ניתוח של האווירה והאיזור שבו נמצא היוזר. ניצנים ראשונים כבר נחשפו (בתוכנת פייסטיים), ולאפל יש פטנט בנושא הזה.

שליחה 23/04/2011 8:59

אריה

אני מבקש, אנשים באים פה להירגע, תפסיק להלחיץ לי אותם..
עוד יומיים כולנו נשכח מהשרשור הזה..

shlomico · שליחה 23/04/2011 10:54

osherov כתב:IamEzio, iDVDi, shlomico
המשל: ב 1998 ברזיל הפסידה 3:0 בגמר המונידאל לנבחרת צרפת במה שנחשב לאחד המשחקים הגרועים של ברזיל בכל הזמנים. בסקר שנעשה אח"כ בברזיל, שם הכדורגל נחשב לדת, חלק עצום מהאנשים היה בטוח שהמשחק היה מכור ונבחרת ברזיל בעצם במכוון הפסידה את המשחק ההוא לנבחרת צרפת. כלומר, האוהדים השרופים העדיפו שתהיה להם נבחרת מושחתת שמכרה משחק של גמר מונידאל, על פני המצב שיש להם נבחרת גרועה "שפשוט" הובסה אז לנבחרת טובה ממנה!

הנמשל: אתם מעדיפים שאפל, לא רק תאגור את המידע הזה באיזה קובץ על מכשיר האייפון והמחשב שלנו, אלא אתם מוכנים שאפל תשלח את המידע הזה לשרתים שלה באופן קבוע (מעשה חמור פי כמה) ולו רק, אם יימצא שגוגל עושה אותו הדבר!
/quote]

אני לא ציטטתי כדי להגיד שזה בסדר אם גוגל עושים את זה. (למרות שהרבה חברות מנסות תמיד להיצמד אליה)
פשוט כדי להכניס ידיעה שקשורה לנושא.

ועכשיו כדי לתת לכם עוד פרספקטיבה על כך שהדבר הזה לא נורא כל כך (משום שהוא לא נשלח לשום מקום ומשום שאפשר לעשות backup מוצפן ומשום שאם למישהו יש גישה למחשב שלכם אז הוא כנראה יכול להוציא משם הרבה יותר מהמיקום שהייתם בו)

אני עובד בתעשיית התוכנה ואני יכול לספר לכם שעוקבים אחריכם מאות חברות בין אם תבחרו או לא , כל עולם הפרסום היום מפתח אפליקציות שישלחו כל מידע אפשרי לשרתי החברות והן מצתיידות במסדי נתונים גדולים מאד כדי להיות מסוגלות להכיל את כל המידע הזה . (מדובר בדברים כמו של גוגל BIG table)

כל אפליקציה חינמית היום מכילה פרסומות שיכולות לאסוף מידע (כולל המיקום שלכם ) ולשלוח לשרתי החברה.
וזה חוקי !!! אבל על זה אתם לא מתרעמים

אני מכיר את הנושא מקרוב ושנכנסתי אליו הייתי בשוק כמה חיוויים אפשר לשלוח לשרת למשל אם הפכתם את הטלפון בעת שימוש באפליקציה. אז נכון זה זמין רק שהאפליקציה עובדת אבל גם פה שומרים מידע מקומי ואז שאתה פותח אותה שולחים לשרת.
מציע לכולם לשבת עם SNIFFER על הטלפון ולראות מה הוא עושה שאתם משתמשים בו (לפעמים גם שלא)

שלומי
...

Shed · שליחה 23/04/2011 11:43

shlomico,

אתה לא היחיד שעובד בתעשיית התוכנה מבין באי הפורום. יש כאן עוד כמה חבר'ה עם למעלה מעשור בפיתוח, בין השאר גם עבור תחום המובייל. מה שאפל עשתה הוא מעשה שלא יעשה - זה ריגול ברמת מערכת ההפעלה. לא ברמת תוכנה X או Y (שהמשתמש יכול להחליט האם הוא מתקין או לא).

כמו שכתבתי קודם, לאפל יש גם פטנט המתאר שימוש במצלמה ובמיקרופון של האייפון בלי ידיעת המשתמש על מנת לאפשר לאפל להחליט האם השימוש שנעשה במכשיר "הוגן" (כגדרתה) ואם לא - היא שומרת לעצמה את הזכות לבצע wipe מרחוק.

osherov · שליחה 23/04/2011 11:46

shlomico,
-אילו היית היחיד בפורום שעובד בתעשיית התוכנה דיינו....
-אילו היית מספר לנו על חדירה דומה לפרטיות שנעשית ע"י חברות אחרות בסדר גודל עצום כל כך דיינו....
-אילו היית מסביר לנו מאיפה מגיע הידע שלך לגבי זה שאפל לא שולחים\שלחו את המידע הזה לשרתים שלהם דיינו....
-אילו כברירת מחדל, הגיבוי הנ"ל של 100 מיליון איש למחשב שלהם היה מוצפן דיינו....
-אילו המידע הנ"ל שנמצא על מכשיר האייפון עצמו היה מוצפן דיינו....
-אילו היית מראה לנו איך אפליקצייה יכולה לשלוח מידע מיקום ממכשיר אנדרואיד לשרת, בלי שהיא קיבלה בזמן ההתקנה אישור להשתמש בשירותי מיקום ואינטרנט דיינו....
-אילו המידע הזה היה נשמר על ה iOS למשך מספר ימים ולא למשך כמעט שנה שלמה דיינו....
-אילו היית יכול למצוא דרך אחרת, פשוטה כל כך, לגלות איפה בדיוק אדם היה לפני X ימים, בשעה ##:##:## דיינו....
-אילו לא רק לאדם אדום "שרוט" אחד בפורום אין צורך לשלוף מידע פרטי כזה מכיוון שהוא ידוע וגלוי לכולנו (בית-בלומפילד-בית-בלומפילד-טדי-בית-קפיצה שהכל בסדר בוולפסון-בלומפילד-בית-בלומפילד...) דיינו....

די דיינו, די דיינו, די דיינו, דיינו דיינו....

maor404 · שליחה 23/04/2011 15:03

osherov כתב:shlomico,
-אילו היית היחיד בפורום שעובד בתעשיית התוכנה דיינו....
-אילו היית מספר לנו על חדירה דומה לפרטיות שנעשית ע"י חברות אחרות בסדר גודל עצום כל כך דיינו....
-אילו היית מסביר לנו מאיפה מגיע הידע שלך לגבי זה שאפל לא שולחים\שלחו את המידע הזה לשרתים שלהם דיינו....
-אילו כברירת מחדל, הגיבוי הנ"ל של 100 מיליון איש למחשב שלהם היה מוצפן דיינו....
-אילו המידע הנ"ל שנמצא על מכשיר האייפון עצמו היה מוצפן דיינו....
-אילו היית מראה לנו איך אפליקצייה יכולה לשלוח מידע מיקום ממכשיר אנדרואיד לשרת, בלי שהיא קיבלה בזמן ההתקנה אישור להשתמש בשירותי מיקום ואינטרנט דיינו....
-אילו המידע הזה היה נשמר על ה iOS למשך מספר ימים ולא למשך כמעט שנה שלמה דיינו....
-אילו היית יכול למצוא דרך אחרת, פשוטה כל כך, לגלות איפה בדיוק אדם היה לפני X ימים, בשעה ##:##:## דיינו....
-אילו לא רק לאדם אדום "שרוט" אחד בפורום אין צורך לשלוף מידע פרטי כזה מכיוון שהוא ידוע וגלוי לכולנו (בית-בלומפילד-בית-בלומפילד-טדי-בית-קפיצה שהכל בסדר בוולפסון-בלומפילד-בית-בלומפילד...) דיינו....

די דיינו, די דיינו, די דיינו, דיינו דיינו....
...

שליחה 23/04/2011 17:44

-אילו לא רק לאדם אדום "שרוט" אחד בפורום אין צורך לשלוף מידע פרטי כזה מכיוון שהוא ידוע וגלוי לכולנו (בית-בלומפילד-בית-בלומפילד-טדי-בית-קפיצה שהכל בסדר בוולפסון-בלומפילד-בית-בלומפילד...) דיינו....
...

אריה
הכל נכון, עד לפני חודשיים וחצי, כשהקטנה הגיחה אלינו...
שכחת שמאז יש לי תחום עיסוק נוסף..

האייפון שומר תיעוד רציף של מיקום המשתמש ללא ידיעתו...

גם אנדרויד ?