Quand la collecte de données fait tache sur les smartphones Xiaomi - abusive, non anonymisée et mal chiffrée - Android

Un expert en cybersécurité vient de mettre le doigt sur plusieurs failles de sécurité dans la collecte de données sur les smartphones Xiaomi. Les données seraient transférées via un chiffrement partiel laisseraient des informations visibles qui permettraient d'identifier utilisateur. Plus grave encore, ces données sont aussi collectées en navigation privée sur les navigateurs Mi Browser Pro et Mint Browser.

Xiaomi Mi Note 10

C’est une enquête que l’on peut lire sur Forbes qui a collaboré avec un chercheur spécialisé en cybersécurité nommé Gabi Cirlig. Après avoir analysé plusieurs modèles de smartphones Xiaomi, il explique que ces smartphones enregistrent et partagent sur des serveurs distants une quantité importante de données personnelles qui ne sont ni anonymisées ni correctement chiffrées. L’accusation est grave.

Mise à jour : Xiaomi précise sa position après la publication de l’enquête de Forbes, nous avons repris certains points dans cet article.

Xiaomi a été déçu de lire le récent article de Forbes. Nous avons le sentiment qu’ils ont mal compris ce que nous avons communiqué concernant nos principes et notre politique en matière de protection des données. La protection de la vie privée de nos utilisateurs et la sécurité sur Internet sont des priorités absolues chez Xiaomi ; nous sommes convaincus que nous suivons strictement et que nous nous conformons pleinement aux lois et réglementations locales. Nous avons pris contact avec Forbes afin de clarifier cette interprétation erronée.

Des données ni anonymes ni correctement chiffrées

Le chercheur spécialiste en cybersécurité a observé ce comportement sur les navigateurs développés par Xiaomi — Mi Browser Pro et Mint Browser — et cela même en navigation privée. D’autres données seraient également collectées, l’appareil enregistre et envoie les données également des dossiers qu’il ouvrait, de la navigation dans les menus et les applications, de la barre d’état et des pages des paramètres ouverts. Selon ses observations, toutes les données sont regroupées et envoyées à des serveurs distants à Singapour et en Russie.

Lien YouTube

Cette vidéo réalisée par Gabi Cirlig montre comment les termes d’une recherche peuvent être retrouvés dans les données envoyées aux serveurs distants de collecte, même en navigation privée.

Initialement menée sur un Redmi Note 8, l’analyse a été poussée sur d’autres appareils du constructeur chinois : Xiaomi Mi 10, Xiaomi Redmi K20 et Xiaomi Mi Mix 3. L’observation est la même sur tous ces appareils. Les données transférées sont chiffrées, mais il est possible d’extraire et d’analyser un bloc d’informations caché sous une forme d’un encodage facilement accessible (base64), comme vous pouvez le constater en vidéo.

The parameter data_list is the one I am interested in.

URL decode.

base64 decode.

Gunzip.

JSON data.

I don't think that should be there. pic.twitter.com/5CYH5FU9E4

— Cybergibbons (@cybergibbons) April 30, 2020