25 производителей роутеров — и ни одного четкого ответа: исследователи нашли «слепую зону» в приватности домашних маршрутизаторов и роутеров
iXBT.com ·
Исследователи Cybernews проанализировали политики конфиденциальности 25 крупнейших производителей потребительских роутеров на американском рынке и обнаружили неожиданную проблему: компании подробно описывают сбор персональных данных пользователей, но зачастую почти ничего не говорят о том, какую информацию собирают сами роутеры.
Исследователи Cybernews проанализировали политики конфиденциальности 25 крупнейших производителей потребительских роутеров на американском рынке и обнаружили неожиданную проблему: компании подробно описывают сбор персональных данных пользователей, но зачастую почти ничего не говорят о том, какую информацию собирают сами роутеры.
Важно, что исследование не проверяло фактическую работу устройств. Авторы не анализировали сетевой трафик, прошивки или поведение оборудования, а оценивали исключительно публичные документы производителей.
Главной проблемой оказалось отсутствие отдельных политик именно для роутеров. Многие бренды используют единый документ сразу для интернет-магазина, мобильных приложений, облачных сервисов, камер видеонаблюдения, устройств умного дома и сетевого оборудования. В результате покупателю сложно понять, какие положения относятся непосредственно к домашнему маршрутизатору.
Самым показательным примером стали DNS-запросы. Ни один из 25 производителей прямо не указал, регистрирует ли роутер обращения устройств к доменным именам. Хотя DNS не раскрывает содержимое конкретных страниц, история обращений к доменам способна многое рассказать о привычках, интересах и активности пользователя.
Похожая ситуация наблюдается и с анализом интернет-трафика. У 20 производителей документы не дают однозначного ответа, используется ли технология Deep Packet Inspection (DPI). Лишь Google Nest и Ubiquiti Cloud прямо заявляют об отсутствии такого анализа, а вот Amazon Eero, MSI Radix и AT&T Turbo Hotspot допускают его применение в отдельных конфигурациях.
При этом сбор обычных персональных данных описан значительно подробнее. 84% компаний сообщают о сборе адреса электронной почты и имени учетной записи, почти половина производителей прямо указывает сбор сразу четырех категорий информации: имени, e-mail, номера телефона и почтового адреса.
Отдельное внимание исследователи уделили геолокации и данным об окружающих Wi-Fi-сетях. Семь компаний допускают получение точного местоположения устройства, еще шесть — при определенных условиях. Идентификаторы соседних точек доступа Wi-Fi (SSID и BSSID), которые могут использоваться для определения физического местоположения, прямо упоминают лишь D-Link и Amazon Eero. Но у большинства производителей эта практика вообще не описана.
Для сравнения прозрачности Cybernews присвоила каждому бренду от 0 до 66 баллов. Подтвержденный сбор данных оценивался в 3 балла, отсутствие информации — в 2, условный сбор — в 1, а прямое заявление об отсутствии сбора — в 0. Чем выше итоговый результат, тем больше неопределенности или заявленного объема собираемой информации содержится в документах компании.
В группу с наиболее высокими показателями вошли D-Link (56 баллов), Omada от TP-Link (55), Amazon Eero (53), Xiaomi Mesh, Wyze и Cudy (по 52), а также TP-Link, Netgear и Ubiquiti Cloud (по 51). Наименьшие значения — у Asus (34), MSI Radix (38) и Google Nest (39). Однако в исследовании подчеркивается, что это не рейтинг самых приватных роутеров, а оценка содержания юридических документов.
Главный вывод исследования заключается не в том, что производители обязательно анализируют домашний интернет-трафик, а в том, что по их публичным политикам зачастую невозможно уверенно понять, делают они это или нет. Для устройства, через которое проходит практически весь трафик домашней сети, такой уровень неопределенности исследователи считают серьезной проблемой.