Birkaç gün önce Forbes, Xiaomi ’nin Mi kullanıcıları tarafından ziyaret edilen URL’ler de dahil olmak üzere tarayıcı verilerini nasıl topladığı hakkında büyük bir haber yayınladı. Aslında veri toplama bugün piyasadaki çoğu tarayıcı arasında yaygın olan bir konu. Ancak, rapor arama terimlerinin ve URL’lerin tarayıcının özel, yani gizli modda olduğu zaman bile izlendiğini vurguladı. Bugün, Xiaomi bu hikayeye yanıt olarak bir blog yayınladı.
Xiaomi’nin yanıtı
Xiaomi’nin resmi olarak bulunduğu tüm global pazarlarda, mümkün olan en iyi kullanıcı deneyimini sunmak, işletim sistemi ve çeşitli uygulamalar arasındaki uyumluluğu artırmak ve kullanıcı gizliliğini koruma yükümlülüğünü üstlenmek için toplanan tüm kullanım verileri kullanıcılarımız tarafından açıkça verilen izin ve rıza ile saklanmaktadır. Ayrıca, tüm sürecin anonim ve şifreli olmasını sağlıyoruz. Kullanıcıların kullanım istatistikleri verilerinin depolanması dahili analiz için kullanılmaktadır ve kişisel olarak tanımlanabilir hiçbir bilgiyi bu verilerin hiçbiriyle ilişkilendirmiyoruz. Dahası, bu, dünya çapında internet şirketleri tarafından çeşitli ürünlerin genel kullanıcı deneyimini geliştirmek ve aynı zamanda kullanıcı gizliliğini ve veri güvenliğini korumak için benimsenen ortak bir çözümdür.
Mi Blog’un resmi açıklamasına ek olarak, Xiaomi Hindistan’ın CEO’su bugün özel bir videoda Xiaomi’nin yalnızca kullanıcıların kabul ettiği verileri topladığını söyledi. Ayrıca gizli modda toplanan verilerin “şifreli ve anonimleştirildiğini” vurguladı. Aşağıdaki videoyu görebilirsiniz (bazı bölümleri Hintçe, ancak İngilizce olarak da açıklamış.)
Xiaomi gizli modda kullanıcı verilerini toplamayı reddederken, Andrew birkaç dakika önce Xiaomi’nin Mint Tarayıcısının özel modda bile önemli kullanıcı verilerini nasıl topladığını gösteren yeni bir video yayınladı. Burada ilginç olan şey, toplanan verilerin en az 24 saat boyunca değişmeyen bir UUID’ye (evrensel olarak benzersiz tanımlayıcı) sahip olmasıdır. Böylece toplanan ve sunuculara gönderilen veriler potansiyel olarak tek bir kullanıcıya kadar izlenebilmekte.
İddia 2
Xiaomi, Mi kullanıcı verilerini Pekin ve Rusya gibi ülkelerdeki uzak sunucularda depoluyordu ve web alanları Pekin’de kayıtlıydı.
Xiaomi’nin yanıtı
Xiaomi, sektörde yaygın ve iyi bilinen bir bulut altyapısına sahip. Yurtdışı hizmetlerimizden ve kullanıcılarımızdan gelen tüm bilgiler, kullanıcı gizlilik koruma yasalarına ve yönetmeliklerine harfiyen uyularak çeşitli yurtdışı pazarlarındaki sunucularda saklanmaktadır.
İddia 3
Sunuculara gönderilen kullanıcı verileri, kolayca izlenebilir olan base64 kullanılarak kodlandı. Böylece veriler en azından istemci tarafında okunabilir. Aşağıda firmanın cevabı mevcut. Bu cevaba yanıt olarak da “Kime gönderildiği gerçekten umurumda değil istemediği veriler gönderiliyor.” denildi.
Xiaomi’nin yanıtı
Xiaomi, blog gönderilerinde bu noktaya gerçekten değinmedi. Gönderilen verilerin TLS 1.2 şifrelemesi kullanılarak şifrelendiğinden bahsetti. Dolayısıyla, aktarılan veriler ele geçirilemiyor. Ancak şirket, müşteri tarafındaki verilerin base64 kodlaması hakkında hiç konuşmadı.
Xiaomi tarafından paylaşılan bu görüntü kullanım istatistik verilerinin TLS 1.2 şifrelemesinin HTTPS protokolü ile aktarıldığını göstermektedir.
Son İddia
Araştırmacılara göre toplanan kullanıcı verileri anonim değildi. Gabi ve diğer araştırmacılar, Xiaomi sunucularına gönderilen kullanıcı verilerinin belirli bir kullanıcıya potansiyel olarak tanımlanabileceğini keşfettiler. Çünkü atanmış bir UUID’ye (evrensel olarak benzersiz tanımlayıcı) sahip olduğunu anladılar.
Xiaomi’nin yanıtı
Kullanıcılar Mi Hesaplarına giriş yaptıktan sonra farklı cihazlar arasında geçiş yaptığında kullanıcılara daha önce görüntülenen web sitelerine hızlı erişim sağlamak amacıya bu siteler karşılarına çıkar. Gizli modda, kullanıcı tarama verileri senkronize edilmez, ancak toplam kullanım istatistikleri verileri yine de toplanır.
Bu ekran görüntüsü, toplu kullanım istatistiklerine eklemek üzere rastgele oluşturulan benzersiz belirteçleri nasıl oluşturduğumuza ilişkin kodu gösteriyor ve bu kodlar herhangi bir kişi tarafından ele geçirilemez.