Αυτοκίνητα και privacy: Το αυτοκίνητό σου σε παρακολουθεί περισσότερο απ’ όσο νομίζεις

Το αυτοκίνητό σου ξέρει πού πηγαίνεις. Το πιο ανησυχητικό όμως είναι ότι ενδέχεται να μην είσαι ο μόνος που το ξέρει.

Νέα έρευνα του Northeastern University σε συνεργασία με το Consumer Reports βάζει ξανά στο μικροσκόπιο τα αυτοκίνητα και τα προσωπικά δεδομένα, εξετάζοντας 21 σύγχρονα οχήματα από 19 διαφορετικές μάρκες αλλά και 30 εφαρμογές που τα συνοδεύουν. Και αυτό που βρήκαν οι ερευνητές δείχνει πόσο πολύ έχει αλλάξει το αυτοκίνητο χωρίς να το έχουμε καταλάβει.

Δεν αγοράζουμε πλέον μόνο τέσσερις τροχούς, έναν κινητήρα και μια μεγάλη οθόνη στο ταμπλό.

Αγοράζουμε έναν υπολογιστή με GPS, σύνδεση στο internet, εφαρμογές, λογαριασμό χρήστη, αισθητήρες και σε αρκετές περιπτώσεις κάμερες και μικρόφωνα.

Και όπως συμβαίνει με το smartphone, μαζί με όλα αυτά έρχεται και το tracking.

21 αυτοκίνητα μπήκαν στο μικροσκόπιο

Η ομάδα του Northeastern εξέτασε 21 μοντέλα από 19 μάρκες και παράλληλα ανέλυσε 30 mobile companion apps. Στόχος ήταν να διαπιστώσει με ποιους servers επικοινωνούν τα αυτοκίνητα και οι εφαρμογές τους και πόσο συχνά εμφανίζονται τρίτες εταιρείες στο παρασκήνιο.

Τα αποτελέσματα δεν είναι ιδιαίτερα καθησυχαστικά.

Κάθε ένα από τα 21 οχήματα που εξετάστηκαν μετέδωσε μέσω Wi-Fi κίνηση προς τουλάχιστον ένα domain τρίτου μέρους, σύμφωνα με την ανάλυση που παρουσίασε το Northeastern. Σε περισσότερα από τα μισά αυτοκίνητα εμφανίστηκαν domains που σχετίζονταν με advertising, tracking ή analytics.

Και κάπου εδώ χρειάζεται μια σημαντική διευκρίνιση.

Οι ερευνητές μπορούσαν να δουν πού κατευθυνόταν η δικτυακή κίνηση των αυτοκινήτων, αλλά όχι απαραίτητα τι ακριβώς περιείχε κάθε μετάδοση, καθώς μεγάλο μέρος της ήταν κρυπτογραφημένο.

Άρα δεν μπορούμε να πούμε ότι κάθε επικοινωνία με έναν τρίτο server σημαίνει αυτομάτως ότι «πουλήθηκαν τα προσωπικά σου δεδομένα».

Αυτό που μπορούμε να πούμε είναι ότι το οικοσύστημα ενός σύγχρονου αυτοκινήτου επικοινωνεί με πολύ περισσότερους εξωτερικούς παίκτες από όσους πιθανότατα φαντάζεται ο οδηγός.

Το μεγαλύτερο πρόβλημα μπορεί να βρίσκεται στο κινητό σου

Εδώ η έρευνα γίνεται ακόμη πιο ενδιαφέρουσα.

Οι companion εφαρμογές που εγκαθιστούμε για να ξεκλειδώνουμε το αυτοκίνητο, να βλέπουμε την αυτονομία, να ενεργοποιούμε τον κλιματισμό ή να εντοπίζουμε πού το παρκάραμε δημιουργούν ένα δεύτερο επίπεδο συλλογής δεδομένων.

Και εκεί οι ερευνητές είχαν μεγαλύτερη δυνατότητα να εξετάσουν τι πραγματικά μεταδίδεται.

Σε επτά από τις 30 εφαρμογές εντοπίστηκε μετάδοση ευαίσθητων αναγνωριστικών ή προσωπικών πληροφοριών, όπως VIN, email, αριθμοί τηλεφώνου και ακριβής τοποθεσία, προς τρίτες εταιρείες που συνδέονται με tracking και advertising.

Οι εφαρμογές που αναφέρονται στην έρευνα περιλαμβάνουν HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick και myGMC.

Ακόμη πιο χαρακτηριστικό είναι ότι η σύνδεση του companion app με το όχημα μπορούσε, σύμφωνα με τα ευρήματα, να διπλασιάσει περίπου την έκθεση σε advertising και tracking εταιρείες.

Δηλαδή εγκαθιστάς μια εφαρμογή για να ανάψεις το air condition πριν μπεις στο αυτοκίνητο και μαζί με την άνεση μπορεί να αποκτάς ένα αρκετά μεγαλύτερο ψηφιακό αποτύπωμα.

Ωραία τα connected features. Απλώς ο λογαριασμός δεν έρχεται πάντα σε ευρώ.

Γιατί VIN και τοποθεσία είναι τόσο σημαντικά

Ένα VIN από μόνο του ίσως δεν ακούγεται ιδιαίτερα τρομακτικό. Είναι ουσιαστικά ο μοναδικός αριθμός ταυτότητας ενός αυτοκινήτου.

Το πρόβλημα ξεκινά όταν συνδυάζεται με άλλα δεδομένα.

VIN μαζί με email, αριθμό τηλεφώνου ή ακριβή γεωγραφική θέση μπορεί να επιτρέψει τη σύνδεση ενός συγκεκριμένου οχήματος με έναν συγκεκριμένο άνθρωπο και στη συνέχεια με άλλα δεδομένα που υπάρχουν ήδη γι’ αυτόν.

Οι ίδιοι οι ερευνητές προειδοποιούν ότι τέτοια σταθερά identifiers μπορούν να χρησιμοποιηθούν για cross-context tracking, συνδέοντας την ιδιοκτησία ενός οχήματος με συμπεριφορικά δεδομένα και αγορές από άλλες εφαρμογές και websites.

Και εδώ είναι που η ιστορία παύει να αφορά αποκλειστικά τα αυτοκίνητα.

Αφορά ολόκληρη τη βιομηχανία των data brokers.

Το έχουμε ήδη δει με τα smartphones και ειδικά με τα δεδομένα τοποθεσίας. Πρόσφατα γράφαμε στο FreakUnboxer για το πρόστιμο των 403 εκατ. ευρώ στην Google για το location tracking. Το αυτοκίνητο προσθέτει τώρα μία ακόμη εξαιρετικά πλούσια πηγή δεδομένων σε αυτή την εξίσωση.

Και πώς ανακάλυψαν τι στέλνουν τα αυτοκίνητα;

Αυτό είναι ίσως το geekiest και καλύτερο κομμάτι της έρευνας.

Για την κίνηση μέσω Wi-Fi, οι ερευνητές τοποθέτησαν Raspberry Pi μέσα στα αυτοκίνητα και δρομολόγησαν την επικοινωνία τους μέσω δικτύων που μπορούσαν να παρακολουθούν.

Το cellular connection ήταν δυσκολότερο.

Αντί να δημιουργήσουν έναν μη εξουσιοδοτημένο σταθμό κινητής τηλεφωνίας, κατασκεύασαν ουσιαστικά ένα Faraday tent αρκετά μεγάλο ώστε να χωράει ολόκληρο αυτοκίνητο. Με αυτό μπλόκαραν την επικοινωνία του οχήματος με τα δίκτυα κινητής και το ανάγκασαν να χρησιμοποιήσει την ελεγχόμενη σύνδεση Wi-Fi.

Όχι, δεν είναι η πιο εύκολη δοκιμή privacy που έχουμε δει.

Αλλά δείχνει και πόσο δύσκολο είναι για έναν απλό καταναλωτή να γνωρίζει τι πραγματικά συμβαίνει στο παρασκήνιο.

Το Android Automotive μπαίνει επίσης στην εξίσωση

Η έρευνα εντόπισε αυξημένη επικοινωνία με τρίτα domains σε οχήματα με πιο προηγμένα infotainment συστήματα και ιδιαίτερα σε αυτοκίνητα που χρησιμοποιούν Android Automotive OS μαζί με Google Automotive Services.

Αυτό δεν σημαίνει ότι «το Android Automotive κλέβει τα δεδομένα σου».

Σημαίνει κάτι πιο απλό και τεχνικά λογικό: όσο περισσότερες online υπηρεσίες, εφαρμογές και integrations υπάρχουν μέσα στο infotainment, τόσο περισσότερες πιθανές επικοινωνίες με εξωτερικά συστήματα δημιουργούνται.

Και τα αυτοκίνητα κινούνται ακριβώς προς αυτή την κατεύθυνση.

Τα βλέπουμε πλέον να αποκτούν app stores, streaming υπηρεσίες, cloud profiles, φωνητικούς assistants και οικοσυστήματα που πριν από λίγα χρόνια θα περιμέναμε μόνο σε smartphone.

Ακόμη και η συζήτηση γύρω από το Tesla Cybercab και το μέλλον των πλήρως αυτόνομων αυτοκινήτων δείχνει πόσο γρήγορα το όχημα μετατρέπεται από μηχανή μετακίνησης σε υπολογιστική πλατφόρμα.

Το privacy λοιπόν δεν είναι πια δευτερεύον feature.

Είναι κομμάτι της αρχιτεκτονικής του αυτοκινήτου.

Η Honda άλλαξε πρακτική μετά τα ευρήματα

Υπάρχει τουλάχιστον ένα ενδιαφέρον αποτέλεσμα που προέκυψε απευθείας από την έρευνα.

Όταν η Honda ενημερώθηκε για τα ευρήματα σχετικά με το HondaLink, ζήτησε από την Amplitude να διαγράψει δεδομένα γεωγραφικής θέσης που είχε λάβει και άλλαξε την εφαρμογή ώστε να σταματήσει τη συγκεκριμένη μετάδοση location data.

Αυτό είναι σημαντικό για έναν απλό λόγο.

Αποδεικνύει ότι δεν μιλάμε μόνο για ένα θεωρητικό debate σχετικά με όρους χρήσης που κανείς δεν διάβασε.

Η ίδια η δημοσιοποίηση των ευρημάτων οδήγησε τουλάχιστον μία εταιρεία σε αλλαγή πρακτικής.

Μπορείς να σταματήσεις το tracking του αυτοκινήτου σου;

Μέχρι ενός σημείου.

Ο χρήστης μπορεί να ελέγξει τις άδειες της companion εφαρμογής στο smartphone, ειδικά όσον αφορά location, Bluetooth και background activity. Μπορεί επίσης να εξετάσει τα privacy settings του λογαριασμού του κατασκευαστή και να αναζητήσει δυνατότητα opt-out από analytics, personalized advertising ή sharing με τρίτους.

Το Consumer Reports έχει ήδη δημοσιεύσει οδηγίες για τον περιορισμό της συλλογής και κοινοποίησης driving data, αν και οι διαθέσιμες επιλογές διαφέρουν σημαντικά ανά κατασκευαστή και υπηρεσία.

Το πρόβλημα είναι ότι η πλήρης αποσύνδεση δεν είναι πάντα πρακτική.

Αν απενεργοποιήσεις όλες τις connected υπηρεσίες, μπορεί να χάσεις remote start, live navigation, vehicle location, ενημερώσεις κατάστασης ή άλλες λειτουργίες για τις οποίες ουσιαστικά πλήρωσες όταν αγόρασες το αυτοκίνητο.

Και αυτό δημιουργεί το πραγματικό privacy δίλημμα: πόσα προσωπικά δεδομένα πρέπει να ανταλλάξεις για να χρησιμοποιήσεις κανονικά ένα προϊόν που ήδη αγόρασες;

Το αυτοκίνητο έγινε smartphone με ρόδες

Για χρόνια ανησυχούσαμε για το πόσα γνωρίζει το κινητό μας.

Τώρα έχουμε ένα δεύτερο connected device αξίας δεκάδων χιλιάδων ευρώ που γνωρίζει πού βρίσκεται, πότε κινείται και διαθέτει έναν συνεχώς αυξανόμενο αριθμό online υπηρεσιών.

Και σε αντίθεση με ένα smartphone, δεν αλλάζεις αυτοκίνητο κάθε δύο ή τρία χρόνια ούτε μπορείς εύκολα να εγκαταστήσεις άλλο λειτουργικό επειδή δεν σου αρέσουν οι όροι χρήσης.

Η δική μου άποψη είναι ότι εδώ βρίσκεται το πραγματικά ανησυχητικό κομμάτι της έρευνας.

Δεν είναι ότι ανακαλύψαμε ξαφνικά πως τα connected cars συλλέγουν δεδομένα. Αυτό το γνωρίζαμε.

Είναι ότι ο μέσος οδηγός δύσκολα μπορεί να γνωρίζει πόσες διαφορετικές εταιρείες συμμετέχουν τελικά στο οικοσύστημα ενός αυτοκινήτου και ακόμη δυσκολότερα μπορεί να αποφασίσει ποιες από αυτές θα πάρουν τα δεδομένα του χωρίς να θυσιάσει λειτουργίες.

Το επόμενο μεγάλο specification λοιπόν ίσως να μην είναι τα άλογα, η αυτονομία ή πόσα λεπτά χρειάζεται μια μπαταρία για να φορτίσει — όπως είδαμε πρόσφατα με το Geely Smart Charging.

Ίσως πρέπει επιτέλους να αρχίσουμε να ρωτάμε και κάτι πολύ πιο απλό:

Όταν οδηγώ το αυτοκίνητό μου, ποιος άλλος έρχεται μαζί για τη βόλτα;

FAQ

Τι δεδομένα μπορεί να συλλέγει ένα σύγχρονο αυτοκίνητο;

Ανάλογα με το μοντέλο και τις υπηρεσίες του, ένα connected car μπορεί να δημιουργεί δεδομένα σχετικά με τη θέση και τη λειτουργία του οχήματος, ενώ οι συνδεδεμένες εφαρμογές μπορούν να επεξεργάζονται στοιχεία όπως VIN, στοιχεία λογαριασμού και δεδομένα τοποθεσίας. Η ακριβής συλλογή διαφέρει ανά κατασκευαστή.

Στέλνουν τα αυτοκίνητα δεδομένα σε διαφημιστικές εταιρείες;

Η νέα έρευνα εντόπισε επικοινωνία πολλών αυτοκινήτων και companion apps με domains που σχετίζονται με advertising, tracking και analytics. Αυτό δεν σημαίνει ότι κάθε τέτοια σύνδεση περιέχει προσωπικά δεδομένα, καθώς η κίνηση των οχημάτων ήταν σε μεγάλο βαθμό κρυπτογραφημένη.

Είναι χειρότερες οι εφαρμογές των αυτοκινήτων;

Οι εφαρμογές αποτελούν σημαντικό μέρος του προβλήματος. Σε επτά από τις 30 που εξετάστηκαν εντοπίστηκε μετάδοση ευαίσθητων identifiers ή προσωπικών πληροφοριών προς τρίτους που σχετίζονται με tracking ή advertising.

Μπορώ να απενεργοποιήσω τη συλλογή δεδομένων;

Σε ορισμένες περιπτώσεις ναι, μέσω privacy settings, permissions και opt-out επιλογών. Ωστόσο, ο πλήρης περιορισμός της συνδεσιμότητας μπορεί να απενεργοποιήσει χρήσιμες λειτουργίες του οχήματος.

Πρέπει να σταματήσω να χρησιμοποιώ το companion app του αυτοκινήτου;

Όχι απαραίτητα. Αξίζει όμως να ελέγξεις ποιες άδειες έχει, εάν χρειάζεται πραγματικά συνεχή πρόσβαση στην τοποθεσία σου και ποιες επιλογές privacy παρέχει ο κατασκευαστής.