Lo senti continuamente: le auto moderne sono fondamentalmente smartphone su ruote. E proprio come il telefono che hai in tasca, l’auto nel tuo vialetto raccoglie enormi quantità di dati: su dove guidi, quanto velocemente acceleri, quanto forte freni, quanto aggressivamente sterzi e altro ancora.
La legalità di questa raccolta di dati rimane oggetto di dibattito. l’anno scorso, La Federal Trade Commission ha multato la General Motors Per aver raccolto e venduto illegalmente dati precisi sulla posizione e sul comportamento di guida senza consenso informato. Altri produttori di veicoli, come ad es Guado E HondaGli utenti hanno dovuto affrontare piccole sanzioni per aver reso eccessivamente difficile la rinuncia. Sebbene gli osservatori del settore sospettassero da tempo che altre case automobilistiche stessero facendo la stessa cosa, la pratica non è stata indagata in modo sistematico, fino ad ora.
Questa settimana, i ricercatori della Northeastern University, In collaborazione con Rapporti degli utentiha pubblicato un esame approfondito delle pratiche sulla privacy dei veicoli connessi. Vengono utilizzati circa due dozzine di veicoli CRdella flotta di prova, il team ha cercato di rispondere a domande cruciali: quali auto trasmettono dati? Chi riceverà? Attraversa i confini internazionali? E quali informazioni di identificazione personale vengono effettivamente divulgate?
David Choffnes, responsabile del progetto ed ex direttore del Cyber Security and Privacy Institute del Northeastern, ha affermato che l’obiettivo è quello di esporre l’intera portata del moderno tracciamento dei dati dei veicoli ed evidenziare quanto poca visibilità o controllo abbiano i proprietari su di essi.
“Penso che la conclusione sia che c’è molto di cui preoccuparsi”, ha detto Choffnes in un’intervista.
Per avere un quadro completo, i ricercatori hanno analizzato 21 veicoli ultimo modello di 19 marchi attualmente venduti negli Stati Uniti, nonché 30 app mobili collegate a veicoli attivi.
“Penso che la conclusione sia che c’è molto di cui preoccuparsi.”
-David Choffnes
Per il traffico inviato direttamente dalle auto, il team ha identificato i domini di destinazione, comprese varie società di tracciamento di terze parti, che non potevano decrittografare i dati crittografati del carico utile senza hackerare i veicoli.
Intercettare il traffico Wi-Fi si è rivelato relativamente semplice. I ricercatori hanno inserito un Raspberry Pi in ogni auto, collegandolo al Wi-Fi del veicolo e instradando Internet attraverso un hotspot mobile. Questa configurazione consente loro di monitorare il traffico Wi-Fi in uscita mentre l’auto è in movimento.
Catturare il traffico cellulare richiede un approccio più creativo. Per evitare di utilizzare una stazione base cellulare non autorizzata che avrebbe interrotto le reti pubbliche, il team ha costruito una tenda di Faraday grande quanto un’auto. La tenda blocca tutta la trasmissione del segnale tra il veicolo e le torri cellulari esterne, costringendo l’auto a ricorrere a una connessione Wi-Fi limitata.
I risultati sono stati chiari: ciascuno dei 21 veicoli ha trasferito i dati ad almeno un dominio di terze parti tramite Wi-Fi. Più della metà dei domini contattati riguarda pubblicità, tracciamento o analisi (ATA). Queste società, come Adobe, LexisNexis e Amplitude, raccolgono dettagli sul tuo veicolo o sul tuo comportamento di guida per venderli alle compagnie assicurative o indirizzarti con annunci pubblicitari.
I veicoli dotati di sistemi di infotainment avanzati, in particolare i veicoli che utilizzano il sistema operativo Android Automotive di Google con Google Automotive Services, hanno contattato il maggior numero di domini di terze parti. Choffnes ha osservato che la scelta della piattaforma software da parte di una casa automobilistica influisce direttamente sulla quantità di dati trasmessi a terzi. Ad esempio, la piattaforma Google dispone di routine integrate per comunicare con i servizi di Google e con organizzazioni esterne.
“Gran parte del tracciamento che vediamo avviene anche attraverso le app integrate nell’auto”, ha detto Choffnes. “Quindi ora le auto stanno essenzialmente diventando gli smartphone del mondo.”
Le app mobili forniscono un vettore altrettanto insicuro. Il team ha scoperto che sette app complementari – HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick e myGMC – trasmettono dettagli sensibili come numeri di identificazione del veicolo (VIN), numeri di telefono e posizioni esatte direttamente alle reti pubblicitarie. Oltre il 70% delle app complementari testate ha contattato almeno cinque domini ATA univoci.
I ricercatori sono particolarmente allarmati dall’associazione del VIN di un veicolo con dati personali identificabili, che consentono agli intermediari di dati di creare profili dettagliati sui singoli conducenti.
“Oh, beh, se le tue aziende online possono monitorare ciò che stai facendo online, ma tu sei nella tua macchina, stanno monitorando la tua macchina?” disse Chofnes. “Quindi stiamo vedendo che possono davvero farlo. E questi andranno ad aziende con cui molti consumatori non si identificano o di cui non hanno mai sentito parlare.”
Le case automobilistiche hanno avuto reazioni contrastanti ai risultati. Alcuni hanno difeso le proprie pratiche ritenendole legalmente conformi, mentre altri hanno identificato vulnerabilità e rilasciato correzioni software. Honda, ad esempio, ha richiesto al suo fornitore di analisi Amplitude di eliminare tutti i dati sulla posizione raccolti e di aggiornare l’app HondaLink per interrompere la trasmissione della geolocalizzazione dopo la presentazione dei risultati del team del Nordest.
Un problema più profondo, sottolinea Choffnes, è che i consumatori raramente capiscono cosa stanno accettando quando acquistano un’auto connessa o configurano la sua app. La maggior parte degli automobilisti non si siede nel parcheggio della concessionaria a leggere le fitte informative sulla privacy sul piccolo schermo del cruscotto prima di accettare i termini.
“Non penso che ci sia molta fiducia come risultato di questo,” ha detto Choffnes. “Penso che le case automobilistiche farebbero bene a riconquistare quella fiducia. Un modo per farlo è attraverso una maggiore trasparenza e aiutando i consumatori a evitare di raccogliere dati su se stessi dopo aver effettuato un acquisto molto costoso.