- Do cấu trúc khiến thông báo trên smartphone đi qua máy chủ của Apple và Google, một bức thư của Thượng nghị sĩ Mỹ Ron Wyden đã tiết lộ cảnh báo rằng một số chính phủ có thể theo dõi người dùng bằng dữ liệu thông báo đẩy
- Wyden cho biết các quan chức nước ngoài đã yêu cầu dữ liệu từ hai công ty nhằm theo dõi cách sử dụng một số ứng dụng cụ thể, và ông nhận định cấu trúc này có thể trở thành điểm tiếp xúc cho giám sát của chính phủ
- Apple nói với Reuters rằng trước đây họ không thể công khai thông tin liên quan vì chính phủ liên bang Mỹ, nhưng sau tiết lộ lần này họ sẽ phản ánh chi tiết hơn các yêu cầu như vậy trong báo cáo minh bạch
- Theo các nguồn thạo tin, cả cơ quan chính phủ nước ngoài lẫn Mỹ đều đã yêu cầu siêu dữ liệu thông báo đẩy, và chúng đã được dùng để liên kết người dùng ứng dụng nhắn tin ẩn danh với một tài khoản Apple hoặc Google cụ thể
- Nội dung thông báo có thể được nhà phát triển mã hóa, nhưng siêu dữ liệu như ứng dụng nào gửi thông báo và tần suất gửi không được mã hóa, nên vẫn còn khả năng làm lộ mô hình sử dụng ứng dụng
Vì sao thông báo đẩy trở thành điểm tiếp xúc cho giám sát
- Một bức thư gửi Bộ Tư pháp của Thượng nghị sĩ Mỹ Ron Wyden cảnh báo rằng một số chính phủ chưa được nêu danh tính đang theo dõi thông báo đẩy của người dùng smartphone để giám sát
- Mục tiêu giám sát là dữ liệu thông báo đẩy đi qua máy chủ của Google và Apple
- Wyden cho biết các quan chức nước ngoài đang yêu cầu dữ liệu từ hai công ty công nghệ này để theo dõi smartphone
Yêu cầu của Wyden với Bộ Tư pháp
- Lưu lượng thông báo đẩy đặt Apple và Google vào vị trí đặc biệt, nơi họ có thể tiếp cận cách người dùng sử dụng ứng dụng
- Hai công ty có thể trở thành điểm tiếp xúc thúc đẩy giám sát của chính phủ đối với việc sử dụng các ứng dụng cụ thể
- Wyden yêu cầu Bộ Tư pháp bãi bỏ hoặc sửa đổi chính sách ngăn cản thảo luận công khai về việc giám sát thông báo đẩy
Phản ứng của Apple
- Apple nói với Reuters rằng nhờ bức thư của Wyden, họ nay có thể công khai thêm thông tin về cách chính phủ giám sát thông báo đẩy
- Trước đó, công ty cho rằng chính phủ liên bang Mỹ đã ngăn họ chia sẻ thông tin về vấn đề này
- Nay khi phương thức đã được công khai, Apple dự định cập nhật báo cáo minh bạch để đề cập chi tiết hơn đến loại yêu cầu này
Dữ liệu bị yêu cầu và cách sử dụng
- Trong thư của Wyden, nguồn gốc thông tin giám sát được nêu là một người tố giác
- Một nguồn thạo tin xác nhận rằng các cơ quan chính phủ nước ngoài và Mỹ đã yêu cầu Apple và Google cung cấp siêu dữ liệu liên quan đến thông báo đẩy
- Dữ liệu đó được cho là đã được dùng trong các nỗ lực liên kết người dùng ứng dụng nhắn tin ẩn danh với một tài khoản Apple hoặc Google cụ thể
- Nguồn tin của Reuters không nêu rõ chính phủ nào đã đưa ra yêu cầu, nhưng mô tả bên yêu cầu là “các quốc gia dân chủ đồng minh với Mỹ”
- Chưa rõ các yêu cầu này đã kéo dài trong bao lâu
Khuyến nghị cho nhà phát triển và các điểm còn lộ thông tin
- Apple khuyến nghị nhà phát triển không đưa dữ liệu nhạy cảm vào thông báo
- Họ cũng khuyến nghị mã hóa dữ liệu trước khi đưa vào payload của thông báo
- Tuy nhiên, biện pháp bảo vệ này phải do chính nhà phát triển thực hiện
- Siêu dữ liệu như ứng dụng nào gửi thông báo và gửi bao nhiêu lần thì không được mã hóa
- Bất kỳ chủ thể nào có thể truy cập siêu dữ liệu này đều có khả năng thu được thông tin về cách người dùng sử dụng ứng dụng
1 bình luận
Ý kiến trên Hacker News
Chạy UnifiedPush trên máy chủ Nextcloud, và dùng ứng dụng Nextpush trên thiết bị. Một số ứng dụng dùng cách này
Một số ứng dụng dùng websocket, nhưng theo tôi hiểu nếu chạy liên tục ở nền thì sẽ tốn nhiều tài nguyên
Một số ứng dụng có thể nhận thông báo đẩy dựa trên ứng dụng Cheogram
Tôi đang dùng một bản fork Android không có Google Play Services, còn trên iPhone thì không biết có thể làm gì
Nếu tắt trong chính ứng dụng thay vì trong cài đặt điện thoại thì có thể sẽ có hiệu quả