Vídeo: Se você usa uma dessas EXTENSÕES, Pare de usar AGORA! (Outubro 2024)
Você instalou esse conjunto de segurança para proteger seu computador e sua privacidade, mas exatamente o que está relatando ao fabricante? O seu conjunto poderia ser um risco de segurança? Um par de revistas alemãs de computadores encomendou a AV-Comparatives para descobrir. Seus resultados estão agora disponíveis ao público, e o relatório faz uma leitura interessante.
Fontes de dados
Para começar, os pesquisadores carregaram 21 pacotes de segurança populares nos PCs de teste e analisaram seu tráfego de rede, observando apenas quais dados foram enviados. O relatório observa que "em alguns casos" os dados foram criptografados, para que não pudessem ser lidos. É assim que deve ser, mas implica que em outros casos os dados não foram criptografados. Infelizmente, o relatório não identifica quais eram.
Eles também examinaram o Contrato de Licença do Usuário Final (EULA) e a política de privacidade fornecida com cada produto. Esses documentos devem especificar exatamente quais dados o programa pode enviar de volta ao seu criador.
Como etapa final, eles enviaram um questionário detalhado a cada fornecedor, embora tenham dado às outras duas fontes de dados mais peso que os resultados do questionário. O relatório observa que, em alguns casos, os fornecedores não responderam perguntas específicas, por vários motivos. "Entendemos que muita transparência pode ser útil para criminosos", observou o relatório. "Assim, aceitamos que os fornecedores não possam nos fornecer nenhuma informação que possa comprometer a segurança".
O que eles compartilham
Há muita variação na quantidade e no tipo de informação compartilhada pelos vários fornecedores. Todos eles necessariamente compartilham a versão do produto, a fim de manter-se atualizado, e isso é perfeitamente razoável. Quase todos atribuem a cada instalação um identificador exclusivo, para que possam agregar informações de uma máquina específica sem necessariamente identificar o usuário.
E, no entanto, as informações do sistema compartilhadas por muitos dos produtos podem muito bem identificar o usuário. Quase metade dos produtos compartilha o nome de usuário do Windows, que em muitos casos é o nome completo do usuário. Mais da metade transmite o nome do computador. Hmm, talvez eu não devesse ter nomeado o meu "Computador de Neil".
Muitas funções de segurança devem enviar informações adicionais sobre o uso do computador. Um produto cujos recursos incluem um verificador de vulnerabilidades necessariamente envia os números de versão dos programas de terceiros instalados, por exemplo. Os componentes de proteção contra phishing e controle dos pais podem transmitir cada URL que você visitar. E qualquer antivírus que inclua um componente de detecção baseado em nuvem precisará enviar hashes de arquivo ou, em alguns casos, arquivos inteiros suspeitos.
Burning Questions
É concebível que um fornecedor de segurança possa ser exigido pelas agências governamentais para entregar os dados que eles coletaram sobre um usuário específico. Diferentes jurisdições possuem leis diferentes nessa área, portanto, saber onde os dados são armazenados pode ser bastante importante. Nove dos fornecedores testados armazenam seus dados na União Europeia, sete nos Estados Unidos. A UE possui leis de privacidade mais rígidas, portanto isso é significativo. Havia também um na Rússia (Kaspersky) e um na Coréia do Sul (AhnLab). Três fornecedores recusaram-se a indicar onde seus dados são armazenados.
Aqui está algo que eu não tinha pensado. É possível que, sob uma ordem judicial, um fornecedor possa ser forçado a fornecer uma atualização "especial" para IDs de usuário específicos, talvez para monitorar suspeitos de terrorismo. 13 dos fornecedores disseram que não, eles nunca fazem isso. O resto se recusou a responder, o que é um pouco irritante.
Na verdade, seu conjunto de segurança absolutamente precisa enviar um pouco de informações de volta à sua base, a fim de fazer seu trabalho. O relatório oferece detalhes completos sobre a coleta de dados de cada fornecedor. O meu maior argumento é que você deve realmente ler o EULA e a política de privacidade do seu pacote de segurança e optar por não receber nenhuma coleta de dados que não seja necessária para segurança. Para simplificar a verificação dos EULAs, o relatório termina com os links do EULA para os fornecedores que os disponibilizam on-line.
